El dato habla solo: en apenas quince meses, la Agencia Española de Protección de Datos abrió 147 expedientes relacionados con el uso de inteligencia artificial. Un incremento del 340% respecto a todo el año 2024. Y eso fue antes de que el AI Act activara sus obligaciones completas el pasado 2 de agosto.
Si pensabas que la IA era todavía un territorio sin regular donde podías moverte con libertad, los números te están diciendo otra cosa.
Por qué se disparan los expedientes
El RGPD ya exigía antes del AI Act que cualquier tratamiento automatizado de datos que produzca efectos jurídicos sobre una persona —o que le afecte significativamente— requiere garantías específicas. Eso incluye sistemas de puntuación de clientes, filtros automáticos en procesos de selección, o herramientas que segmentan usuarios para ofrecerles o denegarles servicios.
Lo que ha cambiado en 2026 no es que estas obligaciones sean nuevas, sino que la AEPD tiene ahora más herramientas, más recursos y más base legal para actuar. El AI Act refuerza y complementa el RGPD en vez de sustituirlo, y eso amplía significativamente el margen de actuación del regulador.
Los tres errores más sancionados
Según los expedientes conocidos, el patrón se repite: empresas que usan sistemas de IA para tomar decisiones sobre personas sin haber realizado una Evaluación de Impacto en Protección de Datos, sin informar a los afectados de que existe un proceso automatizado, y sin tener documentado qué sistema usan, para qué y con qué datos.
El caso de Aena es el más llamativo: más de 10 millones de euros de sanción por implementar reconocimiento facial en aeropuertos sin la evaluación de impacto exigida por el artículo 35 del RGPD. No fue el sistema en sí lo que generó la multa, sino no haber hecho los deberes antes de desplegarlo.
Qué necesitas tener documentado
Si tu empresa usa cualquier herramienta de IA que procese datos de personas, necesitas tres cosas como mínimo: un inventario de esos sistemas, una evaluación de riesgo para cada uno, y un registro que demuestre que los afectados han sido informados y que existe supervisión humana. Con el AI Act en vigor, además, los sistemas de alto riesgo tienen que estar inscritos en la base de datos de la UE.
No es un trámite que pueda esperar. La AESIA tiene desde este mes capacidad plena para inspeccionar y sancionar, y la AEPD lleva ya más de un año acumulando expedientes. El coste de prepararse es mucho menor que el de que te pillen sin los papeles en orden.
