Además de la RGPD, existe una segunda ley europea que se está aplicando de forma gradual: el Reglamento de IA, también conocido como AI Act. Esta ley no regula la privacidad en sí, sino el uso de la inteligencia artificial, y por tanto afecta precisamente a las herramientas que muchas empresas pequeñas y medianas utilizan actualmente a diario: un chatbot para contacto con clientes, un escáner de CV en la selección de personal, o software que analiza imágenes de cámaras. Para las empresas que utilizan estas herramientas, este año y en los años venideros habrá nuevas obligaciones de forma progresiva, además de lo que ya exige la RGPD.
Que esto sea relevante para su empresa depende de lo que haga exactamente la aplicación de IA y con qué datos trabaje. Si utiliza IA solo para redactar textos o para planificar agendas, probablemente poco cambiará para usted. Si utiliza IA para apoyar decisiones sobre personas — seleccionar solicitantes, evaluar personal, clasificar clientes en categorías de riesgo — es más probable que las nuevas reglas le afecten, y que examinen junto con la RGPD el mismo tratamiento de datos personales.
Lo que cambia este año
El Reglamento de IA no entró en vigor de una sola vez. La ley tiene diferentes fechas en las que distintas partes se hacen aplicables, distribuidas a lo largo de varios años. Por ejemplo, existen normas más estrictas para los sistemas de IA clasificados como de riesgo, y obligaciones separadas para los proveedores de modelos generales de IA. Qué fecha exacta se aplica a cada parte se especifica en el propio reglamento; dado que se trata de un proceso gradual, le recomendamos que consulte el texto oficial para conocer las fechas exactas que se aplican a su situación, en lugar de confiar en un resumen.
Lo que sí es seguro es la dirección: cuanta más influencia tenga una aplicación de IA en las personas — en la selección, evaluación, acceso a servicios — más exigentes son los requisitos. Esto se alinea con cómo la RGPD ya ha estado considerando la toma de decisiones automatizada durante algún tiempo, pero el Reglamento de IA añade sus propias obligaciones, como requisitos de documentación, transparencia hacia el interesado y, en ciertos casos, una evaluación obligatoria antes de que el sistema se ponga en uso.
Para quién implica este cambio
El reglamento distingue funciones: quien desarrolla o comercializa un sistema de IA tiene obligaciones diferentes a quien lo utiliza simplemente como empresa. La mayoría de empresas pequeñas y medianas están en esa segunda categoría, como usuarias de una herramienta construida por un proveedor de software. También entonces existen obligaciones, aunque generalmente sean menos pesadas que para quien construye el sistema. Piense en informar a empleados o clientes de que se utiliza IA, y en evaluar si el uso se ajusta a los límites de la ley.
Los departamentos de recursos humanos que utilicen IA en selección o evaluación, y las empresas que dejen que software analice imágenes de cámaras, harían bien en hacer ya un inventario de qué herramientas son exactamente esas y qué hacen con los datos. Es el mismo inventario que la RGPD ya solicita para el registro de actividades de tratamiento, y esas dos líneas — RGPD y Reglamento de IA — suelen correr en paralelo en la práctica.
Qué significa esto además de la RGPD
El Reglamento de IA no sustituye la RGPD ni la hace innecesaria. Si una herramienta de IA trata datos personales, la RGPD sigue siendo aplicable a ese tratamiento, incluida la exigencia de una base legal, la obligación de información hacia los interesados y, donde sea pertinente, un contrato de tratamiento de datos con el proveedor de la herramienta. El Reglamento de IA viene en ciertos casos añadido, con obligaciones propias que se refieren específicamente al sistema de IA, independientemente de que haya datos personales implicados.
Si algo sale mal con los datos personales en el uso de una herramienta de IA — un chatbot que por error comparte datos de clientes con la persona equivocada, o un sistema que almacena datos sin seguridad — la obligación de notificación de la RGPD sigue siendo totalmente válida. Si duda si un incidente con una herramienta de IA está sujeto a esa obligación de notificación, puede mostrar en algunas preguntas si se trata de una notificación obligatoria de incidente de seguridad.
Lo que ya puede hacer ahora
Sin esperar cada fecha, ya puede ahora identificar qué herramientas de IA se utilizan dentro de su empresa, para qué, y si se procesan datos personales en ello. Ese inventario es también la base del registro de actividades de tratamiento que la AVG ya solicita, y esos dos objetivos —registro AVG e inventario de IA— puede alcanzarlos en una sola acción. Gdpria.eu mantiene en el banco de conocimientos por tema lo que está en juego en torno a la IA y la privacidad, con la referencia en el texto oficial incluida, para que usted mismo pueda comprobar qué se aplica a su situación.
Si tiene preguntas sobre cómo el uso de IA se relaciona con sus obligaciones actuales conforme a la AVG, encontrará un número de respuestas en preguntas frecuentes. Para la pregunta de cómo obtenemos nuestra información y por qué se mantiene deliberadamente en la fuente, lea eso en la página de dónde viene la información.
Si y cómo estas reglas se aplican exactamente a su empresa es algo que mejor puede hacer que un abogado evalúe o, en caso de duda sobre la parte relativa a la AVG, puede consultar a la Autoridad de Protección de Datos. Si primero desea hacerse una idea de dónde se encuentra, puede hacer voluntariamente el escaneo rápido gratuito o recorrer los temas en el banco de conocimientos.