La inteligencia artificial ya está en el radar de la Agencia Española de Protección de Datos. Y no hace falta esperar a las obligaciones de alto riesgo del AI Act, aplazadas hasta diciembre de 2027: el RGPD ya se aplica a cualquier tratamiento de datos personales que use IA.
Si pensabas que la IA era todavía un territorio sin regular donde podías moverte con libertad, los números te están diciendo otra cosa.
Por qué se disparan los expedientes
El RGPD ya exigía antes del AI Act que cualquier tratamiento automatizado de datos que produzca efectos jurídicos sobre una persona —o que le afecte significativamente— requiere garantías específicas. Eso incluye sistemas de puntuación de clientes, filtros automáticos en procesos de selección, o herramientas que segmentan usuarios para ofrecerles o denegarles servicios.
Lo que ha cambiado en 2026 no es que estas obligaciones sean nuevas, sino que la AEPD sigue aplicando el RGPD a estos tratamientos. El AI Act refuerza y complementa el RGPD en vez de sustituirlo.
Los tres errores más sancionados
El patrón que más se repite es este: empresas que usan sistemas de IA para tomar decisiones sobre personas sin haber realizado una Evaluación de Impacto en Protección de Datos, sin informar a los afectados de que existe un proceso automatizado, y sin tener documentado qué sistema usan, para qué y con qué datos.
El caso de Aena es el más llamativo: en noviembre de 2025 la AEPD le impuso una multa de 10.043.002 euros por desplegar reconocimiento facial en aeropuertos sin una evaluación de impacto válida (artículo 35 del RGPD). Aena ha anunciado que recurrirá. Lo que se sanciona no es el sistema en sí, sino no haber hecho los deberes antes de desplegarlo.
Qué necesitas tener documentado
Si tu empresa usa cualquier herramienta de IA que procese datos de personas, necesitas tres cosas como mínimo: un inventario de esos sistemas, una evaluación de riesgo para cada uno, y un registro que demuestre que los afectados han sido informados y que existe supervisión humana. Y cuando se apliquen las obligaciones de alto riesgo del AI Act (2 de diciembre de 2027 para el Anexo III), esos sistemas tendrán que estar inscritos en la base de datos de la UE.
No es un trámite que pueda esperar. La AESIA es la autoridad de vigilancia del mercado de IA, aunque su régimen sancionador depende de una ley nacional en tramitación, y la AEPD ya aplica el RGPD a estos usos. El coste de prepararse es mucho menor que el de que te pillen sin los papeles en orden.
