El RGPD se aplica siempre que la IA trate datos personales, tanto si es en el entrenamiento como en el prompt que envías o en la respuesta que genera. Para cumplirlo necesitas cuatro cosas: una base jurídica válida del artículo 6 (consentimiento, contrato, interés legítimo u otra), respetar los principios del artículo 5 (minimización, limitación de la finalidad, exactitud, conservación limitada y confidencialidad), controlar las decisiones automatizadas que afecten a personas (artículo 22) y firmar un contrato de encargo con tu proveedor de IA para que no use tus datos para entrenar sus modelos. Si el proveedor está en EE. UU., cubre la transferencia internacional. En España, la autoridad de referencia es la AEPD, que publica guías específicas sobre IA. Las sanciones llegan hasta 20 millones de euros o el 4 % de la facturación mundial anual.
Si usas inteligencia artificial y en algún punto pasan por ella datos personales, el RGPD (Reglamento (UE) 2016/679) se aplica. No importa dónde estén esos datos: cuenta el entrenamiento del modelo, cuenta el prompt que escribes y cuenta también la respuesta que genera. Cumplirlo se reduce a decisiones concretas: elegir una base jurídica válida, respetar los principios del artículo 5, controlar las decisiones automatizadas y ordenar bien la relación con tu proveedor de IA.
En España la autoridad de referencia es la AEPD, que ya ha publicado guías específicas sobre IA y protección de datos. Y el margen no es simbólico: las sanciones del RGPD llegan hasta 20 millones de euros o el 4 % del volumen de negocio mundial anual del ejercicio anterior, la cifra que sea mayor. A partir de aquí tienes, ordenados, los pasos que marcan la diferencia entre usar IA con tranquilidad o exponerte.
Aviso: este artículo tiene carácter informativo y divulgativo. No constituye asesoramiento jurídico. Cada tratamiento tiene sus particularidades; antes de tomar decisiones consulta con un abogado o con tu delegado de protección de datos.
¿Se aplica el RGPD cuando uso IA?
Sí, siempre que haya datos personales de por medio. El error más común es pensar que el reglamento solo entra si guardas los datos en una base de datos. No es así: en un sistema de IA hay tres momentos en los que puede haber tratamiento de datos personales, y basta con uno para que el RGPD te obligue.
- Entrenamiento: si el modelo se ha entrenado o se ajusta con datos de personas identificadas o identificables.
- Entrada (prompt): si en las instrucciones que envías incluyes nombres, correos, historiales, documentos de clientes o cualquier dato personal.
- Salida: si la respuesta que genera contiene datos personales, aunque el modelo los haya inferido o combinado.
En la práctica, la mayoría de los usos empresariales de IA tratan datos personales en al menos uno de esos tres puntos. Da por hecho que estás dentro del ámbito del RGPD y organiza el resto en consecuencia.
Base jurídica: sin ella no hay tratamiento
Antes de tratar un solo dato necesitas una base jurídica válida del artículo 6. No puedes usarla "por defecto": tienes que identificarla, documentarla y ser coherente con ella. Las más frecuentes son el consentimiento de la persona, la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo.
El interés legítimo es el más flexible y también el más exigente de justificar. Si te apoyas en él, documenta un test de ponderación en tres pasos: que la finalidad sea legítima, que el tratamiento sea necesario para lograrla y que ese interés no prevalezca sobre los derechos y libertades de la persona. Y presta atención a un límite frecuente en IA: los datos de categorías especiales del artículo 9 (salud, datos biométricos, ideología, afiliación sindical, orientación sexual, etc.) requieren una base reforzada, no basta con el artículo 6.
Reutilizar para entrenar un modelo datos que recogiste con otra finalidad choca de frente con la limitación de la finalidad. Si quieres darles ese uso, necesitas una base que lo ampare; no lo des por hecho.
Los principios del artículo 5 aplicados a la IA
El artículo 5 fija los principios que deben guiar cualquier tratamiento. Trasladados a un proyecto de IA, se traducen en decisiones muy concretas de diseño:
- Minimización: envía al modelo solo los datos que la tarea necesita, no el expediente entero "por si acaso".
- Limitación de la finalidad: usa los datos para aquello que justificaste, sin reaprovecharlos para otros fines sin una base nueva.
- Exactitud: una IA puede alucinar o arrastrar errores; prevé cómo detectar y corregir salidas incorrectas sobre personas.
- Limitación del plazo de conservación: define cuánto tiempo guardas prompts, logs y salidas, y bórralos cuando ya no hagan falta.
- Integridad y confidencialidad: cifra, controla accesos y registra quién consulta qué.
- Responsabilidad proactiva: no basta con cumplir, tienes que poder demostrarlo con documentación.
Decisiones automatizadas y perfilado (artículo 22)
Si dejas que la IA decida sobre personas sin intervención humana, entras en el terreno del artículo 22. La regla es que la persona tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando esa decisión produzca efectos jurídicos sobre ella o la afecte de modo significativo (denegar un crédito, descartar una candidatura, fijar un precio individualizado).
Hay excepciones tasadas (que sea necesaria para un contrato, que la persona haya dado su consentimiento explícito o que lo autorice una norma), pero incluso dentro de ellas debes garantizar salvaguardas: intervención humana real, derecho de la persona a expresar su punto de vista y derecho a impugnar la decisión. Y por transparencia (artículos 13 y 14), tienes que informar de que existe esa decisión automatizada y de la lógica implicada.
¿Necesitas una evaluación de impacto (EIPD)?
La evaluación de impacto relativa a la protección de datos (EIPD o DPIA, artículo 35) es obligatoria cuando el tratamiento entraña un alto riesgo para los derechos de las personas. Y muchos usos de IA encajan justo ahí: perfilado a gran escala, tratamiento de categorías especiales, observación sistemática de personas o decisiones automatizadas con efectos significativos.
En caso de duda, haz la EIPD: es una herramienta para detectar riesgos y documentar cómo los mitigas, no un mero trámite. Si de ella se desprende un alto riesgo residual que no puedes reducir, el artículo 36 obliga además a consultar previamente a la autoridad de control. Hacerla bien, antes de desplegar, te ahorra rehacer el proyecto entero más tarde.
Tu proveedor de IA: contrato de encargo y transferencias
Cuando usas un servicio de IA de terceros (por ejemplo, una API de un modelo de lenguaje en la nube), ese proveedor suele actuar como encargado del tratamiento, y sus propios proveedores como subencargados. Eso te obliga a firmar un contrato de encargo (DPA) conforme al artículo 28. El punto crítico, y el que más se descuida, es asegurarte por contrato de que el proveedor no usa tus datos para entrenar sus modelos salvo que tú lo controles expresamente.
El segundo frente son las transferencias internacionales (capítulo V). Muchos proveedores de IA están en EE. UU., así que necesitas un mecanismo válido: la certificación del proveedor en el EU-U.S. Data Privacy Framework o, en su defecto, cláusulas contractuales tipo (SCC) acompañadas de una evaluación de la transferencia. Verificado a agosto de 2026, el Data Privacy Framework sigue vigente, aunque hay un recurso pendiente ante el Tribunal de Justicia de la UE, así que conviene revisar su estado antes de apoyarte solo en él.
| Obligación | Qué implica al usar IA | Referencia |
|---|---|---|
| Base jurídica | Identificar y documentar una base válida antes de tratar datos; test de ponderación si es interés legítimo. | Art. 6 (y art. 9 si hay categorías especiales) |
| Principios | Minimizar datos en los prompts, limitar la finalidad, garantizar exactitud y conservación acotada. | Art. 5 |
| Transparencia | Informar de que hay IA o decisiones automatizadas y de la lógica implicada. | Arts. 13-14 |
| Decisiones automatizadas | Garantizar intervención humana, punto de vista e impugnación en decisiones significativas. | Art. 22 |
| Privacidad desde el diseño | Configurar el sistema para proteger datos por defecto; seudonimización como medida. | Art. 25 |
| Evaluación de impacto | Realizar una EIPD en tratamientos de alto riesgo (perfilado a gran escala, categorías especiales). | Art. 35 |
| Contrato de encargo | Firmar un DPA que prohíba usar tus datos para entrenar sin tu control. | Art. 28 |
| Transferencias internacionales | Cubrir con DPF o SCC más evaluación de la transferencia si el proveedor está fuera del EEE. | Cap. V |
Referencia rápida de sanciones: el RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio mundial anual del ejercicio anterior, la cantidad que resulte mayor.
Checklist para usar IA cumpliendo el RGPD
Antes de poner en marcha cualquier sistema de IA que trate datos personales, repasa estos puntos. Si alguno queda en rojo, resuélvelo antes de desplegar:
- Has identificado y documentado la base jurídica del tratamiento.
- Aplicas minimización: el prompt no lleva más datos personales de los necesarios.
- Has valorado si el tratamiento exige una EIPD y, en su caso, la has hecho.
- Tienes firmado el contrato de encargo con el proveedor, con la cláusula de no entrenamiento.
- Cubres las transferencias internacionales con un mecanismo válido y actualizado.
- Informas a las personas de que hay IA o decisiones automatizadas y garantizas sus derechos.
- Has diseñado el sistema con privacidad desde el diseño y por defecto (seudonimización, control de accesos, borrado).
Cumplir el RGPD con IA no frena tus proyectos: los ordena. Con la base jurídica clara, el proveedor bien atado y las salvaguardas de las decisiones automatizadas en su sitio, puedes aprovechar la inteligencia artificial sin dejar flancos abiertos. En El Agente IA diseñamos automatizaciones pensando en esto desde el primer boceto, no como un parche al final.
Cómo elegir e implementar tu primer proyecto de IA
El método con el que hemos llevado más de 40 proyectos a producción, en un PDF de 4 páginas.
- La fórmula para priorizar tu primer caso de uso
- Fases y plazos reales (de 4 a 12 semanas)
- Rangos de coste por tipo de proyecto
- Checklist práctico para empezar esta semana
Preguntas frecuentes
¿Puedo usar un LLM en la nube (por ejemplo, una API de OpenAI o similar) con datos de mis clientes?
Sí, pero con condiciones. Ese proveedor actúa como encargado del tratamiento, así que necesitas un contrato de encargo (DPA) firmado en el que se comprometa a tratar los datos solo según tus instrucciones y, en particular, a no usarlos para entrenar sus modelos salvo que tú lo controles. Si el proveedor está en EE. UU., además debes cubrir la transferencia internacional con un mecanismo válido (Data Privacy Framework o cláusulas contractuales tipo con su evaluación). Y antes de enviar nada, aplica minimización: no metas en el prompt más datos personales de los que la tarea necesita.
¿Necesito el consentimiento de las personas para tratar sus datos con IA?
No siempre. El consentimiento es solo una de las bases jurídicas del artículo 6; también valen la ejecución de un contrato, una obligación legal o el interés legítimo, entre otras. Si te apoyas en el interés legítimo, tienes que documentar un test de ponderación en tres pasos (finalidad legítima, necesidad del tratamiento y equilibrio frente a los derechos de la persona). Ahora bien, si tratas categorías especiales de datos (salud, biometría, ideología, etc.), el artículo 9 exige una base reforzada y el consentimiento explícito suele ser la vía más habitual.
¿La IA puede tomar decisiones sobre personas por sí sola?
Con límites. El artículo 22 reconoce a la persona el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o la afecte de forma significativa, salvo excepciones tasadas (contrato, consentimiento explícito o habilitación legal). Aunque estés en una excepción, tienes que garantizar intervención humana, permitir que exprese su punto de vista y darle la posibilidad de impugnar la decisión. Además, debes informar de que existe esa decisión automatizada y de la lógica implicada (artículos 13 y 14).
¿Lo quieres para tu empresa?
No necesitas "una estrategia de IA". Necesitas saber qué procesos de tu empresa dan retorno con IA hoy, cuáles no, y en qué orden atacarlos. Auditamos tu operación, priorizamos por ROI y construimos el primer quick win en 4-6 semanas, no una hoja de ruta teórica a 18 meses.