La Ley de IA y el GDPR para la automatización con IA en la UE: ¿Qué se aplica en qué casos?

Las empresas de la UE que automatizan el trabajo con IA se enfrentan a dos conjuntos de normas al mismo tiempo: el GDPR, en vigor desde mayo de 2018 y que regula los datos personales independientemente de que haya participación de IA, y la Ley de IA, Reglamento (UE) 2024/1689, que entrará en vigor de forma gradual. Este es un resumen de un ingeniero sobre lo que diseñamos al crear automatizaciones con IA. No constituye asesoría legal; para su caso específico, consulte a un abogado o a su responsable de protección de datos.

Calendario de la Ley de IA a noviembre de 2026

La Ley de IA entró en vigor el 1 de agosto de 2024 y se aplica de forma gradual. En julio de 2026 fue modificada por el Reglamento Digital Omnibus sobre IA, Reglamento (UE) 2026/1744, el cual modificó las fechas aplicables a los sistemas de alto riesgo. Situación actual:

Las fechas y detalles pueden cambiar nuevamente debido a futuras enmiendas y directrices, por lo que consulte las fuentes oficiales antes de confiar en ellos.

Dónde encaja la automatización empresarial típica

La Ley de IA clasifica los sistemas según su uso, no según la tecnología. La mayor parte de la automatización de procesos internos, como la extracción de datos de facturas, la verificación de certificados de proveedores contra una lista de requisitos o la síntesis de contratos para su revisión interna, no se encuentra en las categorías de alto riesgo. Los usos de alto riesgo se enumeran en el Anexo III e incluyen áreas como la contratación y la gestión de empleados, la evaluación de la solvencia de las personas, el acceso a servicios esenciales, la educación e infraestructuras críticas.

Vale la pena revisar esa línea con antelación. Una herramienta que clasifica a los solicitantes de empleo o decide quién recibe un préstamo es un proyecto muy diferente de una que lee notas de entrega, incluso si el código parece similar.

Incluso fuera de los entornos de alto riesgo, existen algunas obligaciones que deben cumplirse: se espera que las empresas fomenten la alfabetización en inteligencia artificial entre los empleados que utilizan estos sistemas, se debe informar a las personas cuando hablan con un chatbot, y ciertos contenidos generados deben marcarse como tales.

Lo que ya exige el GDPR

Para la mayoría de las tareas de automatización de documentos, el GDPR representa la principal preocupación en el día a día, ya que los contratos, facturas y archivos de recursos humanos contienen datos personales. Los puntos clave en torno a los cuales diseñamos nuestras soluciones son:

• Base legal y finalidad. Los datos recopilados para un propósito determinado no pueden reutilizarse simplemente para entrenamiento o un nuevo análisis.
• Minimización de datos. Procese únicamente los campos que la tarea requiere; oculte o elimine el resto antes de que lleguen al modelo.

Procesadores y transferencias. Cualquier servicio externo que acceda a datos personales, incluidas las APIs de modelos en la nube, es un procesador que requiere un acuerdo de tratamiento de datos, y las transferencias fuera del EEE necesitan un mecanismo válido.

Decisiones automatizadas. El artículo 22 restringe las decisiones basadas únicamente en el procesamiento automatizado que tengan efectos legales o similarmente significativos para una persona. La solución habitual es contar con una persona que revise realmente el caso y tenga la autoridad para modificar el resultado.

Evaluación de impacto. El tratamiento que pueda generar un alto riesgo para los individuos necesita una evaluación de impacto en la protección de datos antes de iniciarse.

Retención y acceso. Los archivos en bruto, los datos extraídos y los registros requieren períodos de retención definidos y acceso basado en roles.

Elecciones de diseño que facilitan el cumplimiento

La mayor parte de lo que exigen las normas también constituye buenas prácticas de ingeniería:

• mantener un registro de lo que hizo el sistema, con qué versión del modelo y quién aprobó el resultado;
• tener a una persona involucrada en las decisiones relacionadas con las personas, y realizar revisiones reales, con el documento original visible;
• ejecutar los modelos en la infraestructura que usted controla cuando los datos son sensibles (véase IA local para documentos confidenciales);
• mantener un conjunto de pruebas y medir la precisión antes y después de cada cambio (véase evaluaciones y revisión humana);
• escribir claramente para qué sirve el sistema y para qué no debe utilizarse.

Fuentes oficiales

• Ley de IA: Reglamento (UE) 2024/1689 en EUR-Lex
• Omnibus digital sobre IA: Reglamento (UE) 2026/1744 en EUR-Lex
• GDPR: Reglamento (UE) 2016/679 en EUR-Lex
• Las páginas del Acta de IA de la Comisión Europea y las orientaciones de su autoridad nacional de protección de datos

Construimos soluciones de automatización con IA que incluyen registro de actividades, revisión humana y minimización de datos desde el primer prototipo. Consulte de la demostración a la producción y agentes de IA para la revisión de documentos. La evaluación legal de su caso específico corresponde a sus abogados.