Inteligencia artificial: normativa europea, seguridad y protección de datos

El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, establece reglas para desarrollar y utilizar IA. Las exigencias dependen de su finalidad, su riesgo y del papel de cada empresa.

Hay prácticas prohibidas, sistemas de alto riesgo y obligaciones de transparencia para determinados usos. Un asistente que informa sobre horarios no equivale a un sistema que selecciona candidatos para un empleo. Ser un negocio pequeño no elimina las obligaciones que correspondan. Consultar el Reglamento de IA.

El Reglamento se suma a las normas que ya protegen los datos personales, los consumidores, la igualdad y la seguridad. Utilizar una herramienta de IA no sustituye esas obligaciones. Tampoco todos los programas automáticos son sistemas de IA: enviar un recordatorio a una hora prefijada puede ser una automatización convencional.

• Prácticas prohibidas: determinados usos especialmente dañinos, como la manipulación perjudicial o ciertas formas de puntuación social. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, sin perjuicio del régimen de cada modificación posterior.
• Alto riesgo: usos concretos en ámbitos como empleo, educación o acceso a determinados servicios esenciales, y ciertos componentes de seguridad de productos. La clasificación exige analizar la finalidad y las condiciones de la norma; no basta con el nombre del producto.
• Transparencia: determinados asistentes que interactúan con personas y contenidos generados o manipulados por IA requieren información o marcado, según el papel de cada operador y el supuesto legal.
• Otros usos: las tareas corrientes que no encajan en esas categorías no heredan automáticamente las obligaciones del alto riesgo. Aun así, deben respetar el RGPD y las demás normas aplicables.

Por ejemplo, reservar una cita de peluquería con una agenda conectada es distinto de decidir automáticamente si una persona puede obtener un crédito. Si el proyecto cambia de finalidad, debe revisarse su clasificación. IA Gestiona se centra inicialmente en tareas administrativas y de atención habituales, con un alcance acotado.

El Reglamento 2024/1689 entró en vigor el 1 de agosto de 2024. Su reforma, el Reglamento 2026/1744, está vigente desde el 27 de julio de 2026.

La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026. La reforma aplaza determinadas obligaciones de alto riesgo: al 2 de diciembre de 2027 para los usos del anexo III y al 2 de agosto de 2028 para los sistemas vinculados a productos del anexo I.

El plazo hasta el 2 de diciembre de 2026 para ciertos sistemas anteriores afecta al marcado técnico del artículo 50.2; no aplaza el aviso de que un asistente es IA. Consultar la reforma y sus plazos.

Cuando se aplica el artículo 50.1, el proveedor debe diseñar el sistema para informar de esa interacción, salvo que resulte evidente en las circunstancias previstas por la norma. Nuestro criterio para los asistentes es explicarlo claramente desde el inicio: «Hola, soy el asistente de IA de este negocio. Puedo ayudarte con consultas y citas».

En una llamada, el aviso debe oírse al comenzar. Si además se graba o transcribe, hay que facilitar la información de privacidad correspondiente y contar con una base jurídica adecuada. Directrices de la Comisión Europea.

Podemos configurar la IA para resolver tareas habituales de principio a fin: consultar una agenda conectada, ofrecer horas libres, confirmar una cita y enviar el recordatorio. Necesita permisos, información fiable y reglas acordadas.

Si no consigue resolver la consulta, falla una conexión o se sale del alcance permitido, debe detener esa acción, avisar al responsable y explicar al cliente que una persona continuará la atención. También debe permitir solicitar ayuda humana.

La supervisión se adapta al riesgo. Las garantías legales de ciertas decisiones sobre personas no desaparecen porque una IA pueda ejecutarlas: en esos casos hay que estudiar previamente su viabilidad y los controles exigibles.

El RGPD exige una finalidad y una base jurídica válidas, información clara, datos limitados a lo necesario y medidas de seguridad adecuadas. Tener acceso a un dato no autoriza a utilizarlo para cualquier fin.

Antes de conectar WhatsApp, correo o un programa de gestión, hay que definir quién accede, qué proveedores intervienen, dónde se trata la información y cuándo se elimina. Si existen transferencias internacionales, deben contar con las garantías que correspondan. El consentimiento no es la única base jurídica ni se pide por defecto para todo.

Las decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar requieren el análisis específico del artículo 22. Consultar el RGPD · Guía de la AEPD sobre IA.

Tu negocio aporta información correcta, define precios y condiciones, autoriza los accesos y determina para qué utiliza los datos. IA Gestiona concreta el alcance técnico, configura las conexiones acordadas, prueba el funcionamiento y documenta las incidencias y la derivación a una persona.

Los papeles legales se determinan por el trabajo real: integrar una herramienta, ofrecer un sistema propio o usarlo para atender clientes puede implicar obligaciones distintas. El contrato no puede trasladar obligaciones que la ley asigna a cada parte. Cuando corresponda, también se adoptan medidas para apoyar el aprendizaje del personal sobre el uso de la IA.

Antes de trabajar con datos reales, se determinan los accesos mínimos, las cuentas autorizadas, la protección de credenciales y la separación entre pruebas y funcionamiento real. Según el servicio, se acuerdan copias de seguridad, registros de actividad, actualizaciones y recuperación ante fallos. Estas medidas deben comprobarse en la instalación concreta; mencionarlas en un contrato no las implanta por sí solo.

También se establecen plazos de conservación y un procedimiento para retirar permisos, devolver o eliminar datos al finalizar. Los proveedores de IA, correo, mensajería o alojamiento se revisan por su función, condiciones y ubicación del tratamiento. No se da por supuesto que todo quede en Europa ni que los datos se excluyan del entrenamiento de modelos: debe comprobarse la configuración y el contrato del proveedor elegido.

Si se produce una brecha de datos, cada parte tiene obligaciones según su papel. El encargado debe avisar al responsable sin dilación indebida. El responsable evalúa la notificación a la autoridad y, cuando proceda, a las personas afectadas conforme a los artículos 33 y 34 del RGPD. No todo incidente exige la misma respuesta.

El artículo 4, modificado en 2026, pide adoptar medidas que apoyen la alfabetización en IA del personal y de quienes operan los sistemas por cuenta de la empresa. No impone garantizar un nivel individual específico ni convierte cualquier curso en un certificado obligatorio.

En un negocio pequeño, lo práctico es entender qué hace el asistente, qué datos puede utilizar, cómo detectar un resultado incorrecto y cuándo detenerlo o atender una excepción. Las instrucciones y la formación deben guardar relación con el uso, los conocimientos y el contexto del equipo. No se trata de convertir al propietario en programador.

Un presupuesto aceptado y un contrato con los anexos necesarios pueden recoger el alcance, los accesos, las pruebas, el precio, las licencias, el soporte y la finalización. No hace falta duplicar esos contenidos en muchos documentos.

Si tratamos datos personales por cuenta de tu negocio, será necesario el acuerdo del artículo 28 del RGPD. En él se concretan las instrucciones, la confidencialidad, las medidas de seguridad y los subencargados. Otros documentos o consentimientos dependen del servicio; no todos son obligatorios en todos los proyectos.

Empezar con una tarea concreta, limitar los permisos, probar situaciones normales y excepcionales, mantener una vía de aviso y poder detener una automatización cuando sea necesario. La IA puede equivocarse; estos controles ayudan a reducir el riesgo.

Esta web presenta posibilidades de servicio y ejemplos ilustrativos. Sus botones abren los canales de contacto: no incorporan por sí solos un asistente de IA ni confirman reservas automáticamente.

Esta información es general. Cada implantación necesita su propia evaluación y, cuando proceda, asesoramiento jurídico especializado. No supone una certificación ni una garantía de cumplimiento absoluto.