Mientras los titulares se centran en el Reglamento de IA de la UE y sus plazos escalonados de 2026–2027, se está desarrollando una historia más silenciosa: las autoridades europeas de protección de datos no están esperando. Están usando una ley plenamente exigible desde 2018 — el RGPD — para sancionar exactamente el tipo de errores de IA que las pymes podrían cometer con la misma facilidad.
Tres casos recientes muestran cómo es esa aplicación en la práctica, y ninguno de ellos necesitó que existiera el Reglamento de IA.
Clearview AI — 30,5 millones de € por recopilar rostros sin pedir permiso
En septiembre de 2024, la Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens) multó con 30,5 millones de € a la empresa estadounidense de reconocimiento facial Clearview AI — con la amenaza de otros 5,1 millones de € si no cesaba. Clearview había construido su negocio recopilando miles de millones de fotos de la web pública y convirtiéndolas en «huellas faciales» biométricas vendidas a fuerzas de seguridad y otros clientes.
El regulador neerlandés no aceptó la defensa de Clearview de que solo prestaba servicio a clientes fuera de la UE. Determinó que la empresa había tratado datos biométricos de residentes europeos a «escala masiva», sin base legal, sin informar a las personas de que sus fotos habían sido recopiladas, y sin ninguna vía para que esas personas se opusieran o solicitaran su eliminación.
La lección no trata realmente del reconocimiento facial en concreto — trata de la suposición subyacente que hizo Clearview: que si un dato es públicamente visible en internet, es legítimo recopilarlo y reutilizarlo. El RGPD nunca ha estado de acuerdo con esa suposición, y los reguladores ahora están poniendo a prueba activamente a las empresas de IA frente a ella.
Una fintech alemana — 492.000 € por dejar que el algoritmo decidiera solo
En 2025, la autoridad de protección de datos de Hamburgo (HmbBfDI) multó con 492.000 € a un proveedor de servicios financieros después de que su sistema automatizado rechazara solicitudes de tarjetas de crédito — incluidas las de solicitantes con solvencia demostrablemente buena — sin ninguna revisión humana. Cuando los clientes rechazados preguntaron por qué, la empresa no pudo darles una explicación significativa.
Esa combinación desencadenó dos infracciones separadas del RGPD: una del artículo 22, que da a las personas el derecho a no ser objeto de una decisión totalmente automatizada con efectos significativos sobre ellas, y otra de los artículos 13 a 15, que exigen a las empresas explicar, en términos reales, cómo se alcanzó una decisión automatizada. Cabe destacar que la multa podría haber sido mayor — el regulador de Hamburgo la redujo explícitamente porque la empresa cooperó y corrigió el proceso en cuanto se le señaló el problema.
La conclusión para cualquier empresa que use IA para filtrar, puntuar o evaluar clientes — verificaciones de crédito, candidatos a un empleo, presupuestos de seguros, incluso alertas automáticas de fraude — es que «el algoritmo lo decidió» no es un escudo legal. Si la decisión tiene un efecto real sobre alguien, debe existir una persona que pueda intervenir, y la empresa debe poder explicar el porqué.
Replika — 5 millones de € por saltarse lo básico
En abril de 2025, la autoridad italiana Garante multó con 5 millones de € a Luka Inc., creadora de la aplicación de compañía por IA Replika. Los problemas de fondo eran poco vistosos: la empresa no pudo señalar una base legal válida para el tratamiento de los datos de los usuarios, sus avisos de privacidad no explicaban con claridad qué ocurría con esos datos y — a pesar de prohibir técnicamente el acceso a menores — no contaba con un mecanismo real para verificar la edad de nadie.
Este caso es un recordatorio útil de que la mayor parte de la aplicación del RGPD contra productos de IA no trata de daños algorítmicos exóticos. Trata de los mismos fundamentos que se aplican a cualquier web o app: conocer tu base legal, redactar avisos de privacidad que la gente pueda entender de verdad, y no afirmar restricciones de edad que no tienes forma de hacer cumplir.
Qué tienen en común estos tres casos
Países distintos, sectores distintos, tecnologías distintas — pero el patrón es constante:
- Ninguna de estas multas necesitó el Reglamento de IA. Las tres se basaron por completo en obligaciones del RGPD vigentes desde 2018: una base legal válida para el tratamiento (artículos 5 y 6), transparencia real (artículos 12 a 15), el derecho a la revisión humana de decisiones automatizadas (artículo 22) y la protección de datos desde el diseño (artículo 25). Los reguladores simplemente están aplicando la ley existente a productos nuevos.
- Los fallos fueron básicos, no exóticos. A nadie se le multó porque un modelo sofisticado fallara de forma impredecible. Se les multó por saltarse pasos fundamentales: sin base legal, sin aviso claro, sin respaldo humano, sin una verificación de edad que funcionara.
- La cooperación importó. La reducción de la multa de Hamburgo es un detalle pequeño pero revelador — los reguladores responden de forma distinta a las empresas que corrigen los problemas rápido frente a las que se resisten.
GDPRChat es un widget de chat con clientes basado en IA, construido con puertas de consentimiento conforme al artículo 7 y eliminación automática de datos — el cumplimiento está integrado en la arquitectura, no añadido después de que un regulador empiece a hacer preguntas.
Qué significa esto si eres una empresa pequeña
Es tentador leer estos casos como historias de «grandes tecnológicas» — Clearview, un banco alemán, un creador de chatbots de Silicon Valley. Pero las obligaciones que les hicieron tropezar se aplican a cualquier tamaño de empresa. Si tu negocio usa un chatbot de IA, una herramienta de puntuación, un motor de recomendaciones, o cualquier cosa que trate datos de clientes, las mismas preguntas se aplican a ti:
- ¿Tienes una base legal documentada para lo que la IA hace con los datos de los clientes?
- ¿Puedes explicar, en lenguaje claro, qué ocurre con esos datos y durante cuánto tiempo?
- Si la IA toma una decisión que afecta a un cliente, ¿hay una persona real que pueda revisarla?
- Si tu producto no está pensado para menores, ¿tienes realmente una forma de comprobarlo — o solo una casilla que marcar?
La aplicación del RGPD contra la IA no está esperando a que la nueva legislación la alcance. Ya está aquí, y ya está imponiendo multas. Incorporar el cumplimiento desde el principio — en lugar de añadirlo después de que un regulador empiece a hacer preguntas — sale mucho más barato que la alternativa.
Reserva una consulta gratuita con GDPRGard →
Fuentes
- Autoridad neerlandesa de protección de datos — multa a Clearview por recopilación ilegal de datos de reconocimiento facial
- Clyde & Co — Lecciones de la multa de 492.000 € en Hamburgo
- CEPD — la autoridad italiana multa al creador del chatbot Replika
- Financier Worldwide — Aplicación del RGPD: cómo los reguladores de la UE están moldeando la gobernanza de la IA
Lee también:
- El Reglamento de IA ya se aplica a los sistemas de alto riesgo: ahora tienes dos reguladores
- Por qué toda empresa SaaS necesita una EIPD antes de lanzar funciones de IA
- La IA es el mayor riesgo de cumplimiento del RGPD en 2026