Hace tres semanas, las normas del Reglamento europeo de IA para los sistemas de alto riesgo pasaron a ser plenamente exigibles, y la mayor parte de la cobertura — la nuestra incluida — fue a las empresas que construyen IA para selección de personal, evaluación crediticia o infraestructuras críticas. Si diriges una pyme europea, probablemente ese no sea tu caso. Pero en la misma fecha entró en juego algo más, y eso casi con seguridad sí te afecta: las obligaciones que acompañan al uso de la IA que ha construido otro.
El chatbot de soporte de tu web. El botón de «resumir este cliente» dentro de tu CRM. El asistente que redacta las respuestas a las reseñas o toma notas en tus llamadas comerciales. Todos ellos tratan datos personales, y todos ellos suelen apoyarse en dos supuestos que no sobreviven al contacto con una autoridad de control: que el cumplimiento del proveedor te cubre y que lo que el modelo hace con los datos cuenta como anónimo.
El cumplimiento de tu proveedor no es tu cumplimiento
Cuando conectas una herramienta de IA a un proceso que toca datos de clientes, eres tú quien decide para qué se tratan esos datos y para qué se usa la herramienta. Eso te convierte en responsable del tratamiento: la parte a la que una autoridad de control escribe primero. El proveedor es, en la mayoría de configuraciones, tu encargado del tratamiento: actúa siguiendo tus instrucciones, al amparo de un contrato de encargo, y sus certificaciones cubren su infraestructura y sus prácticas de seguridad.
Lo que esas certificaciones no cubren es justamente lo que preguntan los reguladores: tu base jurídica para introducir esos datos en la herramienta, qué les dijiste a las personas afectadas, cuánto tiempo permanecen allí los datos, si salen de la UE y si alguien evaluó el riesgo antes de activar la función. Nada de eso se transfiere a un proveedor, diga lo que diga su página de confianza. Si el reparto entre ambos papeles es difuso en tu organización, nuestra guía gratuita Controller vs Processor lo desarrolla paso a paso (en inglés).
Atención al segundo papel. Algunos proveedores de IA tratan tus datos como responsables por cuenta propia — para mejorar el modelo, detectar abusos o hacer analítica de producto — mientras actúan como encargados para todo lo demás. Ese reparto suele aparecer en las condiciones generales y no en el contrato de encargo, y cambia tanto quién responde como lo que tienes que contar a tus clientes.
Por qué «está anonimizado» casi nunca es cierto
La defensa más habitual de un despliegue de IA sin evaluar es que el modelo en realidad no guarda nada: entran datos, sale una respuesta y no persiste nada personal. El Comité Europeo de Protección de Datos desmontó ese argumento en su dictamen de diciembre de 2024 sobre modelos de IA. En un modelo entrenado con datos personales no puede presumirse el anonimato. Hay que demostrarlo caso por caso, y el examen es exigente: tanto la probabilidad de extraer datos personales del propio modelo como la de obtenerlos a partir de sus salidas deben ser insignificantes.
Para una empresa que despliega la herramienta de un tercero, la lectura práctica es más estrecha y bastante más simple. Normalmente no puedes someter el modelo del proveedor a ese examen, porque no tienes los detalles del entrenamiento. Lo que sí ves es la parte que más pesa en el día a día: tus entradas son datos personales. Una transcripción de soporte con un nombre, un número de pedido y una reclamación es un dato personal antes de que el modelo la vea siquiera, y lo sigue siendo mientras reposa en los registros del proveedor, con un plazo de conservación que probablemente no elegiste tú.
Cuándo la EIPD deja de ser opcional
El artículo 35 exige una evaluación de impacto relativa a la protección de datos siempre que un tratamiento sea «probable que entrañe un alto riesgo» para los derechos y libertades de las personas. Las directrices que lo desarrollan fijan nueve criterios; cumplir dos de ellos suele obligar a hacer la EIPD. Los despliegues de IA marcan varios de forma rutinaria: uso innovador de una tecnología nueva, tratamiento a gran escala, evaluación o puntuación, cruce o combinación de conjuntos de datos y datos de personas vulnerables, categoría que incluye a tu propia plantilla por el desequilibrio propio de la relación laboral.
Un chatbot que atiende consultas entrantes marca de forma plausible dos o tres antes de que nadie mire qué se le pregunta. Varias autoridades nacionales van más allá y nombran expresamente la IA o la «tecnología innovadora» en sus listas de tratamientos que siempre requieren EIPD.
La evaluación en sí no es un proyecto. Es una serie corta de preguntas que tienes que poder responder por escrito:
| La pregunta | Por qué es decisiva |
|---|---|
| ¿Qué datos personales entran realmente? | Los campos de texto libre arrastran mucho más de lo que pretendías enviar: datos de salud, reclamaciones financieras, nombres de terceros. |
| ¿Quién los recibe y dónde? | Los subencargados y el mecanismo de transferencia, no solo la sede del proveedor. |
| ¿Se usan las entradas para entrenar o mejorar el modelo? | A menudo es una casilla, a veces activada por defecto. Si está activa, necesitas base jurídica y tienes que decirlo. |
| ¿Cuánto tiempo se conservan? | Los valores por defecto del proveedor van de días a indefinidamente, y rara vez coinciden con el plazo de tu propia política. |
| ¿Puede una persona detectar una salida errónea antes de que afecte a alguien? | La supervisión humana efectiva es donde se encuentran el artículo 22 del RGPD y lo que espera el Reglamento de IA. |
| ¿Qué ocurre ante una solicitud de supresión? | El borrado tiene que llegar a la herramienta y a los registros, o la solicitud no queda atendida. |
Anota las respuestas, adjúntalas a tu registro de actividades de tratamiento y tendrás a la vez la EIPD y la entrada del artículo 30. El documento no es lo importante. Lo importante es que las preguntas tres, cuatro y seis tienen respuestas incómodas con más frecuencia de la esperada, y solo se descubre haciéndolas.
Pack editable de contratos de encargo, kit de respuesta a derechos de acceso y registro de actividades del artículo 30 — los papeles que convierten «usamos una herramienta de IA» en algo demostrable. €39–€59 cada uno o €99 los tres, descarga inmediata.
Dos regímenes de transparencia, un mismo chatbot
Cada año el CEPD elige un tema común que todas las autoridades nacionales investigan en paralelo. En 2026 son las obligaciones de transparencia e información de los artículos 12 a 14: si tu política de privacidad cuenta a las personas, en lenguaje claro, qué ocurre de verdad con sus datos. Los textos redactados en 2018 para cookies y una newsletter no suelen mencionar las funciones de IA añadidas después.
En paralelo, desde el 2 de agosto de 2026 también se aplican las reglas de transparencia propias del Reglamento de IA. Hay que informar a las personas cuando interactúan con un sistema de IA en lugar de con una persona, salvo que resulte evidente para un usuario razonablemente informado. Los contenidos generados por IA deben poder marcarse como tales de forma legible por máquina, las ultrafalsificaciones deben revelarse, y quienes despliegan sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas.
Dos normas apuntan ahora al mismo widget. Que el deber del Reglamento de IA recaiga formalmente en ti o en tu proveedor depende de quién sea el proveedor del sistema — una línea que se difumina en cuanto ofreces un chatbot bajo tu propia marca —, pero el aviso que ve el visitante aparece en tu web, y el deber de transparencia del RGPD es inequívocamente tuyo en cualquier caso.
En la práctica, una información adecuada se parece a esto: el bot dice que es un bot en su mensaje de bienvenida, no en un pie de página; no se presenta con un nombre humano y una foto de avatar sin matizarlo; hay un enlace a la política de privacidad dentro del widget; y esa política nombra el tratamiento con IA, su finalidad, los destinatarios, el plazo de conservación y si alguna decisión se toma de forma automatizada.
Las sanciones, bien explicadas
Verás citado «35 millones de euros o el 7 % de la facturación» para los incumplimientos del Reglamento de IA en general. Ese tramo es más estrecho de lo que sugiere el titular, y la distinción importa, porque la cifra aplicable a la mayoría de quienes despliegan sistemas es otra.
Para pymes y start-ups, cada tope es el importe menor entre la suma fija y el porcentaje: una válvula de proporcionalidad deliberada para empresas pequeñas. Ayuda menos de lo que parece, porque la exposición no es una sola multa. El mismo fallo puede valorarse dos veces, por dos autoridades y bajo dos normas: un chatbot que recoge datos de clientes sin base jurídica válida y nunca dice que es un bot es un problema de RGPD y un problema de Reglamento de IA a la vez.
Y todo ello llega en un clima sancionador que dejó de ser selectivo hace tiempo. Las multas acumuladas del RGPD han superado los 7.100 millones de euros, y las notificaciones diarias de brechas en la UE se mantienen por encima de 400 — desglosamos las cifras aquí. Las empresas pequeñas ya no pasan desapercibidas como en 2020.
Un plan de 30 días para las herramientas que ya tienes en marcha
- Inventaría la IA, incluida la que no compraste como IA. Resúmenes del CRM, asistentes de redacción de correos, tomadores de notas de reuniones, generadores de respuestas a reseñas, funciones de traducción, puntuación antifraude y antispam. Cualquier cosa que envíe datos de clientes o de empleados a un modelo.
- Reúne la documentación, herramienta por herramienta. Contrato de encargo firmado, lista actualizada de subencargados, mecanismo de transferencia si los datos salen de la UE y el plazo de conservación documentado.
- Comprueba el interruptor de entrenamiento. Averigua si tus entradas mejoran los modelos del proveedor. Desactívalo o deja constancia de la base por la que lo mantienes activo.
- Haz la EIPD de las dos o tres herramientas que tocan los datos más sensibles. Media jornada cada una, con las preguntas de arriba.
- Actualiza la política de privacidad. Es el tema de la acción coordinada de 2026; un texto que no menciona el tratamiento con IA es el hallazgo más fácil que puede anotar una autoridad.
- Arregla el aviso en la propia interfaz. Si un visitante no puede saber en unos segundos que habla con un software, eso es una brecha de cumplimiento, no una decisión de diseño.
- Agenda una revisión trimestral. Los proveedores cambian de modelo subyacente y modifican condiciones a mitad de contrato, y tu evaluación envejece ese mismo día.
En resumen
Para una pyme europea, el cumplimiento del RGPD era antes toda la conversación. Hoy es aproximadamente la mitad, y la mitad que falta no es la exótica. Es el chatbot que se puso en marcha porque cabía en tres líneas de código: sin EIPD detrás, sin una línea en la política de privacidad y sin aviso en el widget. Nada de eso exige un trimestre. Todo eso exige más tiempo del plazo que te da una autoridad de control.
Lanza la auditoría gratuita de GDPRGard → para la parte de transparencia y cookies, o reserva una consulta gratuita si quieres un segundo par de ojos sobre un despliegue de IA.
Fuentes
- CEPD — dictamen sobre modelos de IA: anonimato, interés legítimo y datos tratados ilícitamente
- Reglamento de IA — artículo 50, obligaciones de transparencia para proveedores y responsables del despliegue
- Reglamento de IA — artículo 99, sanciones
- RGPD — artículo 35, evaluación de impacto relativa a la protección de datos
- CEPD — actualidad y marco de acción coordinada
- Kiteworks — las multas del RGPD alcanzan los 7.100 millones: tendencias sancionadoras de 2026
También te puede interesar:
- El Reglamento de IA ya se aplica a los sistemas de alto riesgo: ahora tienes dos reguladores
- Por qué toda empresa SaaS necesita una EIPD antes de lanzar funciones de IA
- La IA es el mayor riesgo de cumplimiento del RGPD en 2026