Si tu empresa usa herramientas de IA, aunque solo sea para cribar currículums, atender a clientes por chatbot o analizar tendencias de ventas, es probable que ya tengas obligaciones que desconoces.

Qué regula el Reglamento de IA y a quién afecta

La norma clasifica los sistemas de inteligencia artificial en función del riesgo que representan. Esa clasificación es la que determina qué obligaciones aplican en cada caso.

Riesgo inaceptable: sistemas directamente prohibidos en la UE. Reconocimiento facial masivo en espacios públicos por fuerzas de seguridad, manipulación subliminal de personas, puntuación social por parte de administraciones. Punto final.

Riesgo alto: sistemas que inciden en derechos fundamentales. Contratación de personal, concesión de crédito, acceso a la educación, servicios esenciales. Aquí las obligaciones técnicas y documentales son estrictas.

Riesgo limitado: chatbots y generadores de contenido. La exigencia principal es la transparencia: quien interactúa con el sistema tiene que saber que hay una IA al otro lado.

Riesgo mínimo: la mayoría de aplicaciones cotidianas. Filtros de spam, recomendaciones de contenido, herramientas de productividad estándar. Sin cargas adicionales.

Dónde se cruzan el Reglamento de IA y el RGPD

Son dos normativas distintas, pero con mucho terreno compartido. Si tu sistema de IA trata datos personales —que es el caso de casi todos— tienes que cumplir con las dos al mismo tiempo.

El punto de fricción más habitual: los sistemas de IA de alto riesgo requieren registros de actividad y supervisión humana. Esos mismos registros son datos personales que el RGPD exige proteger. La evaluación de impacto que ya contempla el RGPD para tratamientos de alto riesgo se vuelve obligatoria también cuando el sistema de IA entra en esa categoría.

Hay otra coincidencia relevante: el artículo 22 del RGPD prohíbe desde 2018 las decisiones totalmente automatizadas que afecten de forma significativa a una persona. El Reglamento de IA no lo repite, pero sí concreta cómo deben documentarse y controlarse esos sistemas para garantizar que existe supervisión humana real.

Obligaciones concretas según cómo uses la IA en 2026

Si usas IA en selección de personal: el sistema cae en la categoría de alto riesgo. Necesitas documentación técnica del sistema, supervisión humana en las decisiones y un procedimiento que permita al candidato impugnar una decisión automatizada. Esto ya venía del RGPD, pero el Reglamento de IA precisa los requisitos técnicos que antes cada empresa interpretaba a su manera.

Si usas un chatbot de atención al cliente: tienes que informar al usuario desde el inicio de que está hablando con una IA. Sin excepciones.

Si usas herramientas generativas para crear contenido, imágenes o vídeos: el material generado por IA debe etiquetarse cuando pueda inducir a confusión al receptor.

Si eres proveedor de sistemas de IA que vende a otras empresas: las obligaciones son bastante más exigentes. Registro en la base de datos de la UE, certificación para sistemas de alto riesgo y documentación técnica detallada antes de poner el sistema en el mercado.

El papel del Delegado de Protección de Datos ante el IA Act

Las empresas que ya tienen un Delegado de Protección de Datos tienen que ampliar su función para cubrir los riesgos del Reglamento de IA en todo lo que afecte a datos personales. En la práctica, el DPD pasa a ser el interlocutor entre la empresa y las autoridades reguladoras cuando un sistema de IA trata datos de personas.

Si tu empresa usa IA en procesos que afectan a trabajadores o clientes y todavía no tienes DPD, vale la pena valorar si deberías contar con uno. No siempre es obligatorio, pero en empresas con tratamientos de datos a escala puede serlo.

Por dónde empezar si no sabes qué herramientas de IA usa tu empresa

Muchas empresas usan IA sin ser conscientes de ello. El algoritmo de un CRM que predice qué clientes van a irse, el filtro automático del email de soporte, el software de contabilidad que detecta facturas duplicadas. Todo eso es inteligencia artificial.

El primer paso es hacer un inventario: qué herramientas usas y con qué finalidad. El segundo, clasificarlas por nivel de riesgo. La documentación que ya tienes si completaste la adaptación RGPD es un buen punto de partida: el registro de actividades de tratamiento describe qué datos usas y para qué, que es exactamente lo que necesitas para clasificar tus sistemas.

Para saber si tu empresa cumple con el RGPD y está preparada para las obligaciones del Reglamento de IA, una auditoría de protección de datos te da ese diagnóstico completo.

La normativa sobre inteligencia artificial no va a suavizarse. Al contrario: 2026 y 2027 traen las obligaciones más exigentes para empresas que usen IA en procesos que afecten a personas. Cuanto antes lo tengas en orden, menos trabajo acumulado cuando lleguen los plazos.

Adaptar mi empresa al IA Act y al RGPD desde 119€

La entrada Qué obliga el Reglamento de IA a tu empresa y cómo afecta al RGPD se publicó primero en Adaptación RGPD.