El RGPD se aplica a la IA siempre que un sistema de IA trata datos personales, ya sea que usted entrene un modelo, lo ajuste o simplemente deje que su equipo pegue registros de clientes en un asistente. Necesita una finalidad documentada, una base jurídica para cada fase, una evaluación de impacto relativa a la protección de datos cuando el riesgo sea alto y una vía para que las personas obtengan una decisión humana cuando una decisión automatizada les afecte. El Reglamento de IA de la UE se superpone a lo anterior y añade sus propias obligaciones, entre ellas la transparencia. Esta guía explica cómo encajan ambos para una empresa SaaS B2B y qué hacer primero.

Es información general, no asesoramiento jurídico. Su delegado de protección de datos o su asesor jurídico debe confirmar cómo se aplica cada punto a su empresa.

Resumen

Índice

Cómo se aplica el RGPD a la IA

El RGPD regula los datos personales, no la tecnología. Un análisis de la norma señala que la IA no se menciona de forma explícita y que el artículo 22, sobre decisiones individuales automatizadas, funciona como un control indirecto de la IA. Todo lo demás procede de los principios generales: licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, seguridad y responsabilidad proactiva.

Para una empresa SaaS, la cuestión práctica es sencilla. ¿Ve la IA nombres, correos electrónicos, registros de uso vinculados a un usuario, tickets de soporte, facturas o cualquier otro dato que identifique a una persona? Si es así, se aplica el RGPD, aunque la IA sea una herramienta que usted compró y no desarrolló.

Finalidad y base jurídica, fase por fase

La guía del regulador británico de protección de datos indica que, para cada operación de tratamiento diferenciada en el desarrollo y el despliegue de IA, conviene identificar y documentar su finalidad y una base jurídica adecuada antes de tratar ningún dato. Añade que los datos de categoría especial requieren una condición aparte. Esa guía se refiere al RGPD del Reino Unido, que reproduce de cerca las normas de la UE, y es una referencia útil para entender la lógica.

La misma guía señala que el entrenamiento y el despliegue son fases distintas y pueden apoyarse en bases jurídicas diferentes. Una base que sirve para construir un modelo no cubre automáticamente su uso con datos reales de clientes.

En la práctica, escriba una línea por cada caso de uso de IA:

  1. ¿Cuál es la finalidad (por ejemplo, resumir tickets de soporte)?
  2. ¿Qué datos personales lee?
  3. ¿Cuál es la base jurídica (contrato, interés legítimo, consentimiento, obligación legal)?
  4. ¿Quién es el responsable del tratamiento y quién el encargado?
  5. ¿Dónde se almacenan y se tratan los datos?

Si desea un recorrido en lenguaje sencillo sobre cómo elegir y documentar una base jurídica y aplicar los principios fundamentales, este artículo sobre los principios básicos de protección de datos del RGPD muestra el mismo razonamiento aplicado a un sistema de reservas, y la lógica es trasladable a los proyectos de IA.

Limitación de la finalidad, minimización y exactitud

La autoridad neerlandesa de protección de datos enumera la limitación de la finalidad, la minimización de datos y la exactitud como requisitos básicos del RGPD para la IA. Cada uno influye directamente en cómo se construye.

La misma guía neerlandesa remite al artículo 32: se necesitan medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, el contexto del tratamiento y los riesgos para las personas.

Lo que dijo el Comité Europeo de Protección de Datos sobre los modelos de IA

En diciembre de 2024, el Comité Europeo de Protección de Datos publicó el Dictamen 28/2024 sobre los modelos de IA. Una revisión académica del dictamen explica que los modelos entrenados con datos personales pueden retener o inferir información sobre personas identificables, por lo que no cabe presumir sin más que sean anónimos. También aborda cómo puede justificarse el interés legítimo una vez terminado el entrenamiento. La conclusión para los compradores: no acepte de un proveedor que “el modelo es anónimo” sin preguntar cómo se evaluó.

Dónde añade obligaciones el Reglamento de IA de la UE al RGPD

Las dos normas tienen raíces distintas. Según un estudio del Parlamento Europeo, el Reglamento de IA se inspira en un modelo de seguridad de producto, mientras que el RGPD protege los datos personales mediante derechos y principios. El mismo estudio señala que las obligaciones pueden solaparse: una evaluación de impacto sobre los derechos fundamentales (FRIA) y una evaluación de impacto relativa a la protección de datos (EIPD) pueden duplicarse, y los deberes de transparencia y de registro pueden resultar redundantes.

Los roles también difieren. El RGPD distingue entre responsables y encargados del tratamiento. El Reglamento de IA habla de proveedor, importador, distribuidor y responsable del despliegue. Una empresa SaaS puede ser a la vez proveedora de sus propias funciones de IA y responsable del despliegue del modelo de un tercero, y además responsable o encargada del tratamiento de los datos personales implicados. Defina cada rol por caso de uso.

GDPR Reglamento de IA de la UE
Punto de partida Datos personales y derechos de las personas El sistema de IA y su nivel de riesgo
Funciones clave Responsable del tratamiento, encargado del tratamiento Proveedor, responsable del despliegue, importador, distribuidor
Documentos habituales Registros de actividades de tratamiento, EIPD Documentación técnica, registros, FRIA para algunos usos de alto riesgo
Intervención humana Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos Supervisión humana para los sistemas de alto riesgo

Algunas autoridades nacionales han señalado que un sistema puede cumplir una ley e incumplir la otra, por lo que es necesario un enfoque caso por caso. La autoridad belga añade que el Reglamento de IA se apoya en la responsabilidad proactiva del RGPD con la notificación formal de incidentes y una gobernanza con intervención humana.

NIS2 es una tercera pieza, y trata de la ciberseguridad y la gestión de riesgos de las entidades incluidas en su ámbito de aplicación, no de la IA en concreto. Si su empresa entra en su ámbito, las medidas de seguridad que establezca en torno a los sistemas de IA forman parte del mismo proceso de gestión de riesgos. Si está o no dentro del ámbito es una cuestión para su asesor jurídico.

Obligaciones de transparencia cuando la IA interactúa con personas

La transparencia aparece en ambas normas, y es habitual confundirlas.

El calendario importa. El AI Act Service Desk de la Comisión indica que las obligaciones del artículo 50 pasaron a ser exigibles el 2 de agosto de 2026, y que los proveedores de sistemas comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para cumplir determinados requisitos de marcado y detección.

En una empresa SaaS, los casos más comunes son un chatbot en su producto o en el widget de soporte, y los textos o imágenes generados que usted publica. Indique que el chatbot es una IA y compruebe cómo marcan sus herramientas el contenido generado. Para profundizar en los artículos 4 y 50, consulte nuestra guía sobre los artículos 4 y 50 del Reglamento de IA de la UE para SaaS.

Especialista de soporte probando el chatbot de un producto

EIPD, supervisión humana y decisiones automatizadas

Hay tres salvaguardas que aparecen con más frecuencia.

EIPD. La autoridad belga explica que la EIPD es obligatoria en algunos casos, entre ellos el tratamiento de alto riesgo y el uso de nuevas tecnologías. La autoridad neerlandesa afirma igualmente que es necesaria cuando los sistemas algorítmicos tratan datos personales y los riesgos para la privacidad son altos. Si tiene dudas, realice una. Es más barato que explicar después por qué no lo hizo.

Supervisión humana. El Reglamento de IA exige supervisión humana para los sistemas de alto riesgo a lo largo del desarrollo, el despliegue y el uso, y la misma fuente belga lo señala junto con el requisito de la FRIA.

Decisiones automatizadas. Según el RGPD, las personas tienen derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre ellas. Si un agente de IA pudiera decidir quién obtiene un contrato, un límite de crédito o el acceso a un servicio, diseñe en el proceso un paso de aprobación humana.

Una lista de comprobación del Reglamento de IA para equipos SaaS

La visión general del Reglamento de IA publicada por la Comisión indica que los sistemas de alto riesgo deben abarcar la evaluación y mitigación de riesgos, la calidad de los conjuntos de datos, el registro de actividad, la documentación técnica, la información para los responsables del despliegue, la supervisión humana, la solidez, la ciberseguridad y la precisión. La mayoría de los productos SaaS no son de alto riesgo, pero la lista es un buen estándar para cualquier IA que toque datos de personas.

Los plazos para los sistemas de alto riesgo son más tardíos de lo que muchos esperan. Las preguntas frecuentes del Service Desk indican que los sistemas en áreas sensibles como el empleo (Anexo III) deben cumplir antes del 2 de diciembre de 2027, y los integrados en productos regulados (Anexo I) antes del 2 de agosto de 2028. Consulte la página oficial para conocer la situación actual, ya que los plazos pueden cambiar.

Una lista de verificación práctica:

  1. Inventaríe cada uso de IA. Incluya las herramientas que las personas hayan adoptado por su cuenta.
  2. Clasifique cada uno. ¿Es un chatbot, un asistente interno, un modelo de scoring o algo que toma decisiones sobre personas? Pregunte a su asesor jurídico si algún uso es de alto riesgo.
  3. Asigne las funciones. Proveedor, responsable del despliegue, responsable del tratamiento, encargado del tratamiento.
  4. Documente la finalidad y la base jurídica de cada fase.
  5. Realice una EIPD cuando el riesgo sea alto.
  6. Defina los permisos. La IA solo debe leer y modificar lo que podría el usuario.
  7. Añada pasos de aprobación para las acciones con consecuencias reales.
  8. Conserve registros de lo que la IA leyó, escribió y desencadenó.
  9. Indique cuándo se trata de interacciones con IA y de contenido generado.
  10. Forme a las personas. El artículo 4 exige alfabetización en IA.
  11. Revise a los proveedores. ¿Dónde se tratan los datos y se utilizan para entrenar sus modelos?
  12. Asigne un responsable. Una persona designada debe rendir cuentas.

Nuestro marco de gobernanza de IA para empresas SaaS B2B convierte esto en una estructura que funciona.

Dónde no tiene cabida la IA

Un buen cumplimiento normativo incluye decidir qué no debe hacer la IA. Nosotros mantendríamos la IA fuera de estos ámbitos:

Construya primero la base de datos

La mayoría de los problemas de RGPD con la IA empiezan en los datos, no en el modelo. Si no puede decir dónde están los datos de un cliente, qué sistema es el correcto y quién puede leerlos, no podrá atender las solicitudes de acceso o supresión ni controlar lo que lee una IA.

Por eso trabajamos en un orden fijo:

  1. Base de datos. Sus datos de CRM y de finanzas pasan a ser la fuente de verdad, y los sistemas que los rodean se concilian en una única versión acordada.
  2. Capa de IA. El asistente que su equipo ya utiliza se conecta a esos datos mediante MCP, dentro de los permisos establecidos.
  3. Agentes departamentales. Agentes diseñados para Finanzas, Ventas y Customer Success, de modo que las personas puedan consultar, elaborar informes y buscar información entre sistemas, y actualizar registros o activar procesos con aprobación cuando sea necesario y con un registro de auditoría.

La construcción, el piloto y las pruebas se ejecutan en una infraestructura europea autoalojada en Alemania, y el RGPD, NIS2 y el Reglamento de IA de la UE se tratan como requisitos de diseño desde el principio. Ningún diseño garantiza el cumplimiento, y ese juicio sigue en sus manos y en las de su asesor jurídico. Pero un sistema con permisos, aprobaciones y registros hace mucho más fácil responder a las preguntas que plantean los reguladores. Puede ver cómo funciona en la práctica en nuestra página sobre agentes de IA para Finanzas, Ventas y Customer Success, y el Admin Portal muestra cómo se gestionan en un solo lugar los accesos y las aprobaciones.

Nuestra perspectiva

Vemos el mismo patrón en las empresas SaaS en crecimiento. Las personas ya usan IA, en el CRM, en soporte, en finanzas, y nadie es responsable de ella. Nadie ha decidido qué datos puede leer, nadie guarda un registro de lo que hizo, y el aviso de privacidad se redactó antes de que nada de esto existiera.

Nuestra opinión es que el cumplimiento normativo es sobre todo un problema de operaciones. Una política de privacidad no impide que un asistente lea un registro que no debería. Los permisos, las aprobaciones y los registros, sí. Por eso empezamos por la base de datos, después conectamos la capa de IA y luego construimos los agentes departamentales, y por eso adoptamos la IA un proceso a la vez, empezando por el más costoso.

También ayuda contar con una persona que decida dónde rinde la IA y que además la construya, para que la estrategia y el sistema operativo no se alejen. Esa es la idea detrás de un Chief AI Officer fraccional respaldado por 25 años dirigiendo operaciones. Diseñamos conforme al RGPD, NIS2 y el Reglamento de IA de la UE desde el primer día, y usted se queda con el código fuente, la documentación y la infraestructura en la entrega.

No ofrecemos asesoramiento jurídico, y nada de lo que construimos garantiza el cumplimiento. Hacemos que los sistemas sean más fáciles de gobernar y trabajamos junto a su asesor jurídico.

Claus Nielsen

Por dónde empezar

Si la IA ya se utiliza y nadie es responsable de ella, el primer paso es obtener una imagen honesta de lo que tiene. Nuestro AI Readiness Assessment parte de €4,500 y analiza sus datos, sus procesos y su exposición regulatoria, para que sepa dónde rinde la IA y dónde no. Para una responsabilidad continuada, el servicio de Chief AI Officer fraccional tiene tres niveles: Advisor desde €3,000 al mes, Operating desde €6,500 al mes y Embedded desde €11,000 al mes.

Los desarrollos se facturan, o bien al 30% del ahorro del primer año, una vez medido y demostrado, o bien a un precio fijo acordado antes de empezar el trabajo. También puede reservar una llamada de descubrimiento gratuita de 30 minutos a través de nuestro sitio principal.

FAQ

¿Se aplica el RGPD si solo utilizamos una herramienta de IA de terceros?

Sí, si se introducen datos personales en ella. Normalmente usted es el responsable del tratamiento y el proveedor de la herramienta es un encargado, por lo que necesita un contrato, una finalidad y una base jurídica, y debe saber dónde se tratan los datos. Compruebe si el proveedor utiliza sus entradas para entrenar sus modelos.

¿Sustituye el Reglamento de IA de la UE al RGPD?

No. Se aplican en paralelo. El RGPD protege los datos personales, mientras que el Reglamento de IA regula los sistemas de IA según su nivel de riesgo. Un mismo caso de uso de IA puede generar obligaciones en virtud de ambos, y algunos documentos, como las evaluaciones de impacto, pueden solaparse.

¿Necesitamos una EIPD para cada proyecto de IA?

No necesariamente. Según la autoridad belga, una EIPD es obligatoria en algunos casos, entre ellos el tratamiento de alto riesgo y las nuevas tecnologías. Si un sistema de IA trata datos personales de un modo que podría afectar gravemente a las personas, realícela. Consulte a su delegado de protección de datos cuando no esté claro.

¿Qué tenemos que decir a los usuarios sobre la IA?

Conforme al RGPD, explique qué datos personales trata y por qué. Conforme al artículo 50 del Reglamento de IA, exigible desde el 2 de agosto de 2026, se debe informar a las personas cuando interactúan directamente con un sistema de IA, y el contenido generado por IA debe marcarse en un formato legible por máquina. Su asesor jurídico puede confirmar qué partes se aplican a sus productos.

¿Puede un agente de IA tomar decisiones sobre clientes por sí solo?

Para tareas rutinarias y de bajo impacto, sí, dentro de los permisos y con registros. Para decisiones con efectos jurídicos o significativos de modo similar sobre una persona, el RGPD reconoce a las personas el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado. Incorpore revisión humana para esos casos.

Fuentes