Si tu organización desarrolla, despliega o depende de la IA en selección de personal, evaluación crediticia, infraestructuras críticas o contextos fronterizos y policiales, el 2 de agosto de 2026 era una fecha que no podías dejar pasar. Ese día las obligaciones del Reglamento de IA de la UE para los sistemas de alto riesgo pasaron a ser plenamente exigibles, y con ello el RGPD dejó de ser la única norma de datos capaz de arruinarte el presupuesto de cumplimiento.
Por primera vez, dos regímenes sancionadores europeos distintos se aplican en paralelo a la misma actividad subyacente: el tratamiento de datos personales mediante un sistema de IA. Entender dónde se solapan, dónde divergen y dónde pueden golpear a la vez es la cuestión de cumplimiento del segundo semestre de 2026.
Qué cambió el 2 de agosto
Los sistemas de IA de alto riesgo —definidos en el anexo III del Reglamento, que abarca usos como la contratación de personal, la evaluación de solvencia, la gestión de infraestructuras digitales críticas y el control fronterizo— deben contar ahora, entre otras cosas, con:
- Un sistema de gestión de riesgos mantenido durante todo el ciclo de vida del sistema
- Estándares de gobernanza de datos para los conjuntos de entrenamiento y validación, incluida la detección de sesgos
- Documentación técnica lo bastante sólida como para resistir una auditoría regulatoria
- Registro automático de las operaciones del sistema
- Disposiciones de transparencia que permitan a responsables del despliegue y a las personas afectadas entender qué hace el sistema
- Mecanismos de supervisión humana que permitan intervenir o detener el sistema en cualquier momento
- Estándares de precisión, solidez y ciberseguridad acordes con la finalidad del sistema
Se esperaba que los proveedores hubieran completado las evaluaciones de conformidad, finalizado la documentación técnica, colocado el marcado CE y registrado el sistema en la base de datos de la UE antes de esa fecha.
Si varias de esas obligaciones te suenan, es porque deberían. El RGPD ya exigía evaluaciones de impacto en protección de datos, análisis de riesgos documentado, transparencia hacia los interesados y garantías en torno a las decisiones automatizadas. El Reglamento de IA no sustituye nada de eso: se superpone, con su propia base jurídica, sus propios requisitos documentales y sus propias multas.
Dónde se solapan realmente ambas normas
Los puntos de choque más claros:
Gobernanza de datos. El artículo 10 del Reglamento de IA exige gobernanza sobre los conjuntos de datos de entrenamiento y validación: pertinencia, representatividad, detección de sesgos. Los principios de minimización y exactitud del RGPD (artículo 5) ya rigen los datos personales contenidos en esos mismos conjuntos. Un conjunto de entrenamiento defectuoso puede ser ahora una infracción simultánea de ambos marcos, evaluada con dos pruebas distintas.
Evaluaciones de impacto. El RGPD exige una Evaluación de Impacto relativa a la Protección de Datos (EIPD) para tratamientos de alto riesgo. El Reglamento de IA exige una Evaluación de Impacto sobre los Derechos Fundamentales (EIDF) para determinados despliegues de alto riesgo, en particular por organismos públicos y en sectores sensibles. No son el mismo documento, pero se apoyan en gran medida en el mismo análisis de riesgo subyacente, de modo que una EIPD mal delimitada tiene ahora una segunda norma esperando a recoger lo que se le escape.
Transparencia. Los artículos 12 a 14 del RGPD exigen información clara a los interesados sobre el tratamiento. El Reglamento de IA exige, por separado, que los proveedores faciliten a los responsables del despliegue instrucciones de uso seguro e información sobre la precisión y las limitaciones del sistema, y que se informe a las personas cuando interactúan con un sistema de IA. Dos regímenes de transparencia, dos destinatarios, dos conjuntos de obligaciones de información.
Supervisión humana y decisiones automatizadas. El artículo 22 del RGPD restringe las decisiones exclusivamente automatizadas con efectos jurídicos o similarmente significativos. El requisito de supervisión humana del Reglamento de IA es más amplio y se aplica con independencia de que la decisión sea «exclusivamente» automatizada: un sistema que supera el listón del artículo 22 porque un humano revisa formalmente los resultados puede seguir suspendiendo el listón más alto del Reglamento de IA sobre qué es una supervisión efectiva.
Las cuentas de las sanciones
Aquí es donde se afila el asunto. El artículo 99 del Reglamento de IA establece una estructura de tres tramos:
- Hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial por infracciones de las prácticas prohibidas (artículo 5)
- Hasta 15 millones de euros o el 3 % del volumen de negocio por incumplimientos relativos a sistemas de alto riesgo
- Hasta 7,5 millones de euros o el 1 % del volumen de negocio por facilitar información incorrecta o engañosa a las autoridades
El tramo superior supera ya el máximo del RGPD, de 20 millones de euros o el 4 % del volumen de negocio mundial, lo que convierte al Reglamento de IA en el más severo de los dos regímenes en su techo.
Es clave que el artículo 99, apartado 8, incluye una regla de «misma conducta, una sanción»: si un único hecho infringe a la vez el Reglamento de IA y otra norma europea como el RGPD, las autoridades imponen solo la más alta de las dos multas aplicables. Pero esa protección es más estrecha de lo que parece. Si un sistema de IA infringe las reglas de gobernanza de datos del Reglamento de IA por un conjunto de entrenamiento sesgado, y además infringe los principios de exactitud o minimización del RGPD por cómo se recogieron o conservaron esos mismos datos, se tratan como infracciones distintas, y pueden sancionarse por separado.
Jurídicamente esto no es «non bis in idem» en el sentido que muchos equipos de cumplimiento asumen. Es una determinación que se hace infracción por infracción, y cuanto más entrelazadas estén las prácticas de datos de tu sistema de IA con datos personales regidos por el RGPD, más superficie tienes para que esa separación se vuelva en tu contra.
Qué significa en la práctica
El instinto de tratar el Reglamento de IA y el RGPD como dos listas de comprobación que se recorren en secuencia es ahora mismo el error más caro disponible. Algunas cosas que conviene hacer en su lugar:
- Cruza tus EIPD y tus EIDF en lugar de encargarlas por separado. Si un sistema necesita ambas, el análisis de riesgo subyacente debe ser una base compartida, no dos ejercicios desconectados que se contradicen en silencio. Si aún no tienes ningún proceso de EIPD, empieza por ahí: la EIDF es mucho más difícil de construir sobre la nada.
- Audita tus avisos de transparencia RGPD frente a los requisitos de información del Reglamento de IA. Cubren información distinta, pero un aviso construido solo para el RGPD probablemente no contenga lo que el Reglamento de IA exige ahora por separado, y esto llega justo cuando el CEPD ha convertido la transparencia de los artículos 12 a 14 en su prioridad de acción coordinada para 2026. Ambos lados están mirando los mismos avisos este año, por motivos distintos.
- Trata la supervisión humana como un requisito de diseño, no como una declaración de política. Bajo ambos regímenes, las autoridades pedirán pruebas de que una persona puede intervenir de forma significativa, no solo de que hay alguien nominalmente en el circuito. Nuestra lista de comprobación de supervisión de IA detalla cómo es esa prueba en la práctica.
- Haz que los equipos jurídicos y de documentación técnica hablen entre sí ya. Los requisitos de documentación técnica y registro del Reglamento de IA serán cada vez más la base probatoria que las autoridades usen también para evaluar el cumplimiento del RGPD, porque ambos dependen de poder demostrar —no solo afirmar— cómo trata realmente los datos personales un sistema.
El contexto sancionador lo hace urgente, no teórico
Esto no aterriza en un entorno tranquilo.
Las multas del RGPD ya han superado los 7.100 millones de euros acumulados, con más de 600 millones impuestos solo en el primer semestre de 2026. Las notificaciones diarias de brechas han subido un 22 % interanual hasta 443 al día, la primera vez que esa cifra supera las 400 desde que el RGPD entró en aplicación en 2018. Y la actividad sancionadora ha ido claramente más allá de las grandes tecnológicas: desde enero de 2023 se han impuesto más multas a pymes que en los cinco años anteriores juntos.
Añade a esa trayectoria un segundo régimen sancionador con un techo más alto y el mensaje para los equipos de cumplimiento es directo: el Reglamento de IA no ha añadido solo una norma más que seguir. Ha añadido un segundo regulador con su propia idea de lo que tu sistema de IA debe a las personas cuyos datos toca, funcionando al mismo tiempo, sobre los mismos sistemas y a menudo sobre los mismos hechos.
Si no tienes claro a qué lado de la línea de alto riesgo caen tus sistemas, esa es la primera pregunta que responder: las obligaciones anteriores solo muerden dentro del anexo III, pero la propia clasificación se espera que la tengas documentada. Reserva una consulta gratuita con GDPRGard →
Fuentes
- Reglamento de IA de la UE — artículo 99, sanciones
- Reglamento de IA de la UE — anexo III, sistemas de alto riesgo
- Comisión Europea — calendario de aplicación del Reglamento de IA
- CMS GDPR Enforcement Tracker
- Comité Europeo de Protección de Datos — marco de acción coordinada
Lee también:
- El aplazamiento del Reglamento de IA no cubre tu chatbot
- Por qué toda empresa SaaS necesita una EIPD antes de lanzar funciones de IA
- Noticias de IA: qué impulsa realmente el crecimiento empresarial con IA