Skip to main content

Cómo se desarrolló el RGPD y qué enseña sobre el Reglamento de IA

Siete lecciones del texto del RGPD y de decisiones sancionadoras, y en qué se diferencia el Reglamento de IA de la UE.

Por Scanara

Conclusiones clave

  1. 1.El Reglamento General de Protección de Datos (RGPD) se aplica desde el 25 de mayo de 2018. Las multas de 50 millones EUR (Google, enero de 2019) a 1200 millones EUR (Meta, mayo de 2023; recurso pendiente) llegaron después. Las normas sobre sanciones del Reglamento de IA (artículo 99) se aplican desde el 2 de agosto de 2025 (artículo 113). Las obligaciones de alto riesgo (artículos 8 a 27) se aplican en dos fechas. Son el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I). Las multas por incumplirlas no pueden llegar antes, porque el artículo 99, apartado 4, enumera las propias obligaciones. Ejemplos son el artículo 16 (proveedores) y el artículo 26 (responsables del despliegue). El anexo III enumera usos de alto riesgo, como la contratación de personal o la puntuación crediticia. El anexo I enumera la legislación de armonización de la Unión sobre productos (artículo 6, apartado 1). La sección B del anexo I enumera otra legislación de armonización de la Unión. Los artículos 8 a 27 no se aplican a los sistemas de IA de alto riesgo relacionados con esos productos (artículo 2, apartado 2).
  2. 2.Ambas normas alcanzan a empresas de fuera de la UE, con criterios distintos. El artículo 3, apartado 2, del RGPD abarca ofrecer bienes o servicios a personas en la Unión o controlar su comportamiento. El artículo 2, apartado 1, del Reglamento de IA abarca a los proveedores que introducen sistemas en el mercado de la Unión. También abarca a las empresas de fuera cuyos resultados se utilizan en la Unión.
  3. 3.Ambas normas se aplican a la vez a un sistema de IA que trata datos personales (artículo 2, apartado 7, del Reglamento de IA). Los proveedores y los responsables del despliegue deben cumplir las dos. Los responsables del despliegue usan un sistema de IA bajo su propia autoridad, salvo en actividades personales no profesionales (artículo 3, punto 4).
  4. 4.Las multas del RGPD llegan a 20 millones EUR o al 4 % del volumen de negocios anual mundial. Se aplica la cifra más alta (artículo 83, apartado 5). Para las prácticas prohibidas, las multas del Reglamento de IA llegan a 35 millones EUR o al 7 % del volumen de negocios mundial. Se aplica la cifra más alta (artículo 99, apartado 3). Las obligaciones de alto riesgo de proveedores y responsables del despliegue tienen un límite menor. Es de 15 millones EUR o el 3 % del volumen de negocios mundial. Se aplica la cifra más alta (artículo 99, apartado 4). Para las pequeñas y medianas empresas (pymes), cada multa llega como máximo a la menor de las dos cuantías (artículo 99, apartado 6). El artículo 3, punto 14 bis, define las pymes. Ambas normas citan la atenuación, la cooperación y las medidas adoptadas al fijar el importe. Véanse el artículo 83, apartado 2, del RGPD y el artículo 99, apartado 7, del Reglamento de IA.

Siguiente paso: haga una lista de los sistemas de IA que tratan datos personales y determine su papel con arreglo a ambas normas.

Lección 1: multas de 50 millones EUR a 1200 millones EUR llegaron en menos de cinco años

El RGPD se aplica desde el 25 de mayo de 2018. Siguieron estas multas:

  • Google, 50 millones EUR (autoridad francesa de protección de datos CNIL, enero de 2019). El Conseil d’État confirmó la multa en junio de 2020.
  • Amazon, 746 millones EUR (autoridad luxemburguesa de protección de datos CNPD, julio de 2021). El 12 de marzo de 2026, la Cour administrative de Luxemburgo anuló la decisión y la devolvió a la CNPD. El tribunal consideró que la CNPD no había evaluado la culpa ni había elegido debidamente la medida correctora. El tribunal confirmó en gran parte las infracciones que había constatado la CNPD.
  • WhatsApp, 225 millones EUR (Comisión de Protección de Datos de Irlanda, DPC, agosto de 2021). La página de multas de la DPC (actualizada el 21 de septiembre de 2026) recoge la multa como «Pending Appeal» (recurso pendiente).
  • Meta, 1200 millones EUR (DPC de Irlanda, mayo de 2023). La página de multas de la DPC (actualizada el 21 de septiembre de 2026) recoge la multa como «Pending Appeal» (recurso pendiente).

No podemos prever cuándo multarán por primera vez las autoridades con arreglo al Reglamento de IA

Los Estados miembros establecen las normas sobre sanciones (artículo 99, apartado 1), y las autoridades nacionales valoran cada caso (artículo 99, apartado 7).

Lección 2: el cumplimiento viaja a través de contratos y documentos

El artículo 28, apartado 3, del RGPD regula a los encargados del tratamiento (organismos que tratan datos personales por cuenta del responsable del tratamiento, artículo 4, punto 8). Exige un contrato u otro acto jurídico que vincule al encargado con el responsable.

El Reglamento de IA también traslada obligaciones a lo largo de la cadena de suministro. Los sistemas de alto riesgo van acompañados de instrucciones de uso para los responsables del despliegue (artículo 13, apartado 2). Los proveedores de modelos de IA de uso general (modelos capaces de realizar de manera competente una gran variedad de tareas distintas, artículo 3, punto 63) deben facilitar documentación. La entregan a los proveedores que integran el modelo en sistemas de IA (artículo 53, apartado 1, letra b)). Esos proveedores son proveedores posteriores (artículo 3, punto 68). El artículo 25, apartado 4, exige un acuerdo escrito entre el proveedor de un sistema de alto riesgo y terceros. Esos terceros le suministran sistemas de IA, modelos de IA, herramientas, servicios, componentes o procesos. La regla excluye a terceros que hacen accesibles al público herramientas, servicios, procesos o componentes, salvo modelos de IA de uso general, con licencia libre y de código abierto.

El Reglamento de IA exige documentos y acuerdos escritos a lo largo de la cadena de suministro de la IA, con fechas distintas

El artículo 53, apartado 1, letra b), se aplica desde el 2 de agosto de 2025. Los artículos 13 y 25, apartado 4, se aplican desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I). Se excluyen los productos de la sección B (artículo 2, apartado 2).

Lección 3: ambas normas alcanzan a empresas de fuera de la UE

El artículo 3, apartado 2, del RGPD alcanza a organizaciones de fuera de la UE que ofrecen bienes o servicios a personas en la Unión o controlan su comportamiento. Las multas de la lección 1 recayeron en cuatro empresas: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd y Meta Platforms Ireland Limited. Las tres últimas tienen sede en la UE, por lo que estas multas no muestran el artículo 3, apartado 2, en acción.

El Reglamento de IA usa un criterio distinto. El artículo 2, apartado 1, letra c), abarca a los proveedores y responsables del despliegue establecidos en un tercer país cuando los resultados del sistema se utilizan en la Unión. El artículo 2, apartado 1, letra a), abarca a los proveedores que introducen sistemas de IA en el mercado de la Unión, estén establecidos donde estén.

Proveedores de terceros países de sistemas de alto riesgo y de modelos de IA de uso general deben nombrar un representante autorizado en la Unión (artículos 22 y 54)

Los proveedores de sistemas de alto riesgo establecidos en terceros países deben nombrar, mediante un mandato escrito, a un representante autorizado establecido en la Unión (artículo 22, apartado 1). Un representante autorizado es una persona física o jurídica ubicada o establecida en la Unión. Ha recibido y aceptado un mandato escrito de un proveedor para desempeñar en su nombre las obligaciones y los procedimientos del presente Reglamento (artículo 3, punto 5). El artículo 22 se aplica desde el 2 de diciembre de 2027 (anexo III) o desde el 2 de agosto de 2028 (anexo I). Se excluyen los productos de la sección B (artículo 2, apartado 2). Los proveedores de modelos de IA de uso general establecidos en terceros países deben hacer lo mismo antes de introducir el modelo en el mercado (artículo 54, apartado 1). El artículo 54 se aplica desde el 2 de agosto de 2025. Los proveedores de modelos introducidos en el mercado antes de esa fecha deben adoptar las medidas necesarias para cumplir. El plazo es el 2 de agosto de 2027 (artículo 111, apartado 3). El artículo 54, apartado 6, exime a los proveedores de modelos de IA de uso general divulgados con una licencia libre y de código abierto. La licencia permite el acceso, el uso, la modificación y la distribución. Sus parámetros, la información sobre la arquitectura y la información sobre el uso deben ser públicos. La exención no se aplica a modelos con riesgos sistémicos (riesgos específicos de las capacidades de gran impacto de estos modelos, artículo 3, punto 65).

Lección 4: integre el cumplimiento en la ingeniería

El artículo 25 del RGPD exige protección de datos desde el diseño y por defecto. El responsable del tratamiento (el organismo que determina los fines y medios del tratamiento, artículo 4, punto 7) aplica medidas técnicas y organizativas apropiadas. Lo hace al determinar los medios de tratamiento y durante el propio tratamiento (artículo 25, apartado 1).

El Reglamento de IA fija requisitos de diseño para los sistemas de alto riesgo. El artículo 12, apartado 1, exige que permitan técnicamente el registro automático de acontecimientos (archivos de registro). El artículo 14, apartado 1, exige que personas físicas puedan vigilarlos eficazmente. El artículo 15, apartado 1, exige un nivel adecuado de exactitud, solidez y ciberseguridad. El sistema de gestión de riesgos se ejecuta durante todo el ciclo de vida (artículo 9, apartado 2).

Lección 5: ambas normas se aplican al mismo tiempo

Sin perjuicio de los artículos 4 bis y 59, el Reglamento de IA no afecta al RGPD (artículo 2, apartado 7). Un sistema de IA que trata datos personales debe cumplir ambas normas.

Tres temas aparecen en ambas normas. El primero son las decisiones automatizadas y la supervisión humana (artículo 22 del RGPD; artículo 14 del Reglamento de IA). El segundo es la transparencia (artículos 13 y 14 del RGPD; artículos 13 y 50 del Reglamento de IA). El tercero son las evaluaciones de impacto. El artículo 35 del RGPD exige una evaluación del impacto sobre la protección de datos personales cuando el tratamiento entrañe probablemente un alto riesgo. El artículo 27 del Reglamento de IA exige evaluar el impacto sobre los derechos fundamentales. Se aplica a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos. También se aplica a los responsables del despliegue de sistemas del anexo III, punto 5, letras b) y c). Quedan excluidos los sistemas del ámbito del anexo III, punto 2.

Lección 6: ambas normas ponderan las medidas adoptadas al fijar las multas

El artículo 83, apartado 2, del RGPD enumera los factores que la autoridad tiene en cuenta al fijar una multa. Entre ellos están las medidas tomadas para paliar los daños, el grado de responsabilidad habida cuenta de las medidas técnicas y organizativas, y la cooperación con la autoridad de control.

El artículo 99, apartado 7, del Reglamento de IA enumera factores similares. Entre ellos están el grado de cooperación (letra f)) y el grado de responsabilidad habida cuenta de las medidas técnicas y organizativas (letra g)). También figuran la forma en que la infracción llegó a conocimiento de la autoridad (letra h)) y las medidas adoptadas para paliar el perjuicio (letra j)).

Conserve constancia de las medidas que adopte

El artículo 99, apartado 7, letra g), convierte las medidas técnicas y organizativas aplicadas por un operador en un factor al fijar una multa. La constancia no elimina la obligación de cumplir desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I). Se excluyen los productos de la sección B (artículo 2, apartado 2).

Lección 7: la obligación legal sigue en la organización

El RGPD creó obligaciones sobre el consentimiento (artículo 7), los registros de tratamiento (artículo 30) y las evaluaciones de impacto (artículo 35). El responsable sigue siendo responsable de ellas (artículo 24).

El Reglamento de IA funciona igual. La obligación sigue en manos del proveedor de un sistema de alto riesgo (artículo 16) y de su responsable del despliegue (artículo 26).

El RGPD se aplicó de una vez; las obligaciones del Reglamento de IA se aplican por etapas de 2025 a 2028

FaseRGPDReglamento de IA
AdoptadoAbril de 2016Junio de 2024
Entrada en vigorMayo de 2016Agosto de 2024
Primeras obligaciones25 de mayo de 2018 (todo a la vez)2 de febrero de 2025 (prácticas prohibidas y alfabetización en IA; excepción: el artículo 5, apartado 1, letras b bis) y b ter), y los apartados 1 bis y 1 ter, añadidos por el Reglamento (UE) 2026/1744, se aplican desde el 2 de diciembre de 2026); 2 de agosto de 2025 (obligaciones de los modelos de IA de uso general y normas sobre sanciones, salvo el artículo 101); 2 de agosto de 2026 (multas del artículo 101 a los proveedores de modelos de IA de uso general)
Se aplican las obligaciones principales (Reglamento de IA: sistemas de alto riesgo)25 de mayo de 20182 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I, salvo los productos de la sección B; artículo 2, apartado 2)
Multa máx. (% de facturación)20 millones EUR o el 4 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 83, apartado 5)Prácticas prohibidas: 35 millones EUR o el 7 % del volumen de negocios anual mundial, si esta cifra es superior (artículo 99, apartado 3). Obligaciones de alto riesgo de proveedores y responsables del despliegue: 15 millones EUR o el 3 %, si esta cifra es superior (artículo 99, apartado 4). Pymes: la menor de las dos cuantías (artículo 99, apartado 6). Pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter): lo mismo para las multas de los apartados 4 y 5 del artículo 99 (artículo 99, apartado 6 bis).
Se aplica fuera de la UESí (artículo 3, apartado 2)Sí (artículo 2, apartado 1, letras a) y c))

Lectura relacionada

Fuentes y referencias

Preguntas frecuentes

¿Cómo fue la aplicación del RGPD en la práctica?

El Reglamento General de Protección de Datos (RGPD) se aplica desde el 25 de mayo de 2018. Siguieron estas multas. Google, 50 millones EUR (autoridad francesa de protección de datos CNIL, enero de 2019). El Conseil d’État confirmó la multa en junio de 2020. Amazon, 746 millones EUR (autoridad luxemburguesa de protección de datos CNPD, julio de 2021). El 12 de marzo de 2026, la Cour administrative de Luxemburgo anuló la decisión y la devolvió a la CNPD. El tribunal consideró que la CNPD no había evaluado la culpa ni había elegido debidamente la medida correctora. El tribunal confirmó en gran parte las infracciones que había constatado la CNPD. WhatsApp, 225 millones EUR (Comisión de Protección de Datos de Irlanda, DPC, agosto de 2021). La página de multas de la DPC (actualizada el 21 de septiembre de 2026) recoge la multa como «Pending Appeal» (recurso pendiente). Meta, 1200 millones EUR (DPC de Irlanda, mayo de 2023). La página de multas de la DPC (actualizada el 21 de septiembre de 2026) recoge la multa como «Pending Appeal» (recurso pendiente). Situación a 26 de octubre de 2026; las fuentes figuran en esta página.

¿Sustituye el Reglamento de IA al RGPD?

No. Sin perjuicio de los artículos 4 bis y 59, el Reglamento de IA no afecta al RGPD (artículo 2, apartado 7). El RGPD regula el tratamiento de datos personales. El Reglamento de IA regula los sistemas de IA y los modelos de IA de uso general. Un sistema de IA que trata datos personales debe cumplir ambos.

¿Hasta qué punto se parecen los procesos de cumplimiento del RGPD y del Reglamento de IA?

Se solapan en las evaluaciones de impacto. Cuando proceda, el responsable del despliegue de un sistema de alto riesgo debe usar la información del artículo 13 que da el proveedor. La usa para su evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD; artículo 26, apartado 9, del Reglamento de IA). Cualquier obligación del artículo 27 puede estar ya cumplida mediante esa evaluación. En ese caso, el responsable del despliegue puede remitirse a ella o incluir partes de ella en la evaluación de impacto relativa a los derechos fundamentales (artículo 27, apartado 4).

¿Cuánto tiempo hay antes de que se apliquen las obligaciones del Reglamento de IA?

Las obligaciones de los sistemas de alto riesgo del anexo III (artículos 8 a 27) se aplican desde el 2 de diciembre de 2027. Para los sistemas del anexo I se aplican desde el 2 de agosto de 2028 (artículo 113). El Reglamento (UE) 2026/1744 aplazó estas fechas; las fechas anteriores eran el 2 de agosto de 2026 y el 2 de agosto de 2027. La sección B del anexo I enumera otra legislación de armonización de la Unión. Para los sistemas de alto riesgo relacionados con esos productos solo se aplican algunos artículos (artículo 2, apartado 2). Son el artículo 6, apartado 1, el artículo 60 bis y los artículos 102 a 112. Los artículos 57, 58 y 59 se aplican solo en la medida en que los requisitos de los sistemas de IA de alto riesgo se hayan integrado en esa legislación.

¿Quién hace cumplir el Reglamento de IA?

Las autoridades nacionales de vigilancia del mercado hacen cumplir el Reglamento de IA (artículos 70 y 74). Son las autoridades nacionales que actúan con arreglo al Reglamento (UE) 2019/1020 (definidas en el artículo 3, punto 26, del Reglamento de IA). La Comisión tiene competencias exclusivas para supervisar y hacer cumplir las normas sobre los modelos de IA de uso general. Encomienda estas tareas a la Oficina de IA (artículo 88, apartado 1). La Oficina de IA también es la única competente para los sistemas de IA basados en un modelo de IA de uso general. Esto se aplica cuando el mismo proveedor, o proveedores de la misma empresa, desarrolló el modelo y el sistema. El artículo 75, apartado 1, letra a), sustituido por el Reglamento (UE) 2026/1744, enumera cuatro excepciones. La Oficina de IA también es la única competente para un segundo grupo de sistemas de IA (artículo 75, apartado 1, letra b)). Son sistemas que constituyen una plataforma o un motor de búsqueda en línea de muy gran tamaño, o están integrados en ellos. La plataforma o el motor debe estar designado con arreglo al Reglamento (UE) 2022/2065. Los Estados miembros deciden cómo se aplican las multas a las autoridades públicas (artículo 99, apartado 8).

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.