Reglamento IA vs RGPD: diferencias y solapamientos
En qué se diferencian el reglamento de IA y el RGPD en ámbito, obligaciones, multas y aplicación, y dónde se solapan.
Los proveedores y responsables del despliegue de IA que tratan datos personales en la UE deben cumplir el reglamento de IA y el RGPD. Sin perjuicio de los artículos 4 bis y 59, el reglamento de IA no afecta al RGPD (artículo 2, apartado 7).
El RGPD se aplica desde el 25 de mayo de 2018. El reglamento de IA se aplica por etapas desde el 2 de febrero de 2025. Las multas del reglamento de IA llegan a 35 millones de EUR o al 7 % del volumen de negocios mundial total. Se aplica el importe que sea mayor (artículo 99, apartado 3). Las del RGPD llegan a 20 millones de EUR o al 4 %, con el mismo criterio (artículo 83, apartado 5). Siguiente paso: asigne las funciones de cada sistema de IA según ambas normas.
Las dos normas difieren en ámbito, enfoque de riesgo, obligaciones, multas y aplicación
| Tema | Ley de IA de la UE | RGPD |
|---|---|---|
| Ámbito | Sistemas de IA introducidos en el mercado o puestos en servicio en la UE, modelos GPAI introducidos en el mercado de la UE, responsables del despliegue establecidos o ubicados en la UE, y proveedores y responsables del despliegue de fuera cuya información de salida se utiliza en la UE (artículo 2, apartado 1) | Tratamiento de datos personales en el contexto de las actividades de un establecimiento de un responsable o encargado del tratamiento en la UE, y tratamiento de datos de personas que se encuentran en la UE por otros que les ofrecen bienes o servicios o controlan su comportamiento en la UE (artículo 3) |
| Enfoque de riesgo | Normas según el riesgo: prácticas prohibidas (artículo 5), sistemas de IA de alto riesgo (artículo 6) y obligaciones de transparencia (artículo 50), además de normas propias para los modelos GPAI | Las obligaciones crecen con el riesgo. Se exige una evaluación de impacto relativa a la protección de datos (EIPD) para los tratamientos que puedan entrañar un alto riesgo (artículo 35) |
| Obligaciones principales | Para los sistemas de IA de alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro, transparencia, supervisión humana, exactitud, solidez y ciberseguridad (artículos 9 a 15) | Una base jurídica, la limitación de la finalidad, la minimización de datos y los derechos de los interesados (artículos 5, 6 y 12 a 22) |
| Multas máximas | Hasta 35 millones de EUR o el 7 % del volumen de negocios mundial total, la cuantía que sea superior (artículo 99, apartado 3) | Hasta 20 millones de EUR o el 4 % del volumen de negocios mundial total, la cuantía que sea superior (artículo 83, apartado 5) |
| Aplicación | Las autoridades nacionales de vigilancia del mercado. La Oficina de IA de la Comisión es la única competente para los modelos GPAI y para algunos sistemas de IA: los basados en un modelo GPAI por el mismo proveedor (con excepciones) y los integrados en plataformas o motores de búsqueda en línea de muy gran tamaño (artículos 75 y 88) | Las autoridades nacionales de protección de datos (autoridades de control) (artículo 51) |
| Fecha de aplicación | Por etapas, del 2 de febrero de 2025 al 2 de agosto de 2028, con algunas fechas hasta el 2 de agosto de 2030 (artículo 113) | Desde el 25 de mayo de 2018 (artículo 99, apartado 2) |
Estas áreas se solapan, y ambas normas se aplican en cada una
Decisiones automatizadas
El artículo 22 del RGPD da a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o les afecte significativamente de modo similar, con las excepciones del artículo 22, apartado 2. El reglamento de IA exige que los sistemas de alto riesgo permitan una supervisión humana efectiva (artículo 14). También da a la persona afectada por una decisión de un responsable del despliegue basada en la información de salida de un sistema de alto riesgo del anexo III (salvo infraestructuras críticas) derecho a una explicación, cuando la decisión produce efectos jurídicos o similares y la persona la considera perjudicial para su salud, su seguridad o sus derechos fundamentales. Solo se aplica en la medida en que el Derecho de la Unión no prevea ya ese derecho (artículo 86).
Transparencia
El RGPD obliga a los responsables del tratamiento a informar a las personas sobre cómo se tratan sus datos (artículos 13 y 14). El reglamento de IA obliga a los proveedores a dar a los responsables del despliegue instrucciones de uso de los sistemas de alto riesgo (artículo 13) y exige avisos a las personas en algunos sistemas (artículo 50). Ambas obligaciones pueden aplicarse al mismo sistema.
Calidad de los datos y sesgos
El artículo 5, apartado 1, letra d), del RGPD exige que los datos personales sean exactos. El reglamento de IA exige que los datos de entrenamiento, validación y prueba de los sistemas de alto riesgo cumplan criterios de calidad, incluido un examen de posibles sesgos (artículo 10). Los proveedores pueden tratar excepcionalmente categorías especiales de datos personales para detectar y corregir sesgos, con condiciones estrictas (artículo 4 bis).
Evaluaciones de impacto
Cuando proceda, los responsables del despliegue de sistemas de alto riesgo usan la información del artículo 13 facilitada por el proveedor para su evaluación de impacto relativa a la protección de datos del RGPD (artículo 26, apartado 9). Una evaluación de impacto relativa a los derechos fundamentales con arreglo al artículo 27 puede remitirse a esa evaluación (artículo 27, apartado 4).
Estas diferencias determinan lo que debe hacer según cada norma
Qué se regula
El RGPD regula el tratamiento de datos personales. El reglamento de IA regula los sistemas de IA y los modelos de IA de uso general, traten o no datos personales.
Quién asume las obligaciones
El RGPD se dirige a los responsables y a los encargados del tratamiento. El reglamento de IA se dirige a los proveedores, los responsables del despliegue, los importadores, los distribuidores y otros operadores. Las funciones no se corresponden una a una, así que revise las definiciones de cada norma (reglamento de IA artículo 3, RGPD artículo 4).
Requisitos de documentación
El RGPD exige un registro de las actividades de tratamiento (artículo 30) y evaluaciones de impacto relativas a la protección de datos (artículo 35). El reglamento de IA exige documentación técnica (artículo 11), una evaluación de la conformidad (artículo 43) y, para algunos responsables del despliegue, una evaluación de impacto relativa a los derechos fundamentales (artículo 27). Una no sustituye a la otra.
Preguntas frecuentes
¿Basta cumplir el RGPD para cumplir el reglamento de IA?
No. El reglamento de IA fija obligaciones distintas, como la gestión de riesgos de los sistemas de alto riesgo (artículo 9) y la documentación técnica (artículo 11). Sin perjuicio de los artículos 4 bis y 59, no afecta al RGPD (artículo 2, apartado 7), por lo que ambas normas se aplican.
¿Pueden actuar dos autoridades sobre el mismo sistema de IA?
Sí. Una autoridad de protección de datos hace cumplir el RGPD y una autoridad de vigilancia del mercado hace cumplir el reglamento de IA, cada una dentro de su norma. Cuando una autoridad fija una multa con arreglo al reglamento de IA, tiene en cuenta las multas que otras autoridades ya hayan impuesto por la misma actividad (artículo 99, apartado 7, letra c)).
Guías relacionadas
Prácticas de IA prohibidas: artículo 5 del reglamento IA
Las diez prácticas prohibidas. El artículo 5 no afecta al artículo 9 del RGPD para los datos biométricos fuera del ámbito de la garantía del cumplimiento del Derecho.
Reglamento IA: calendario de plazos de 2024 a 2030
Cada fecha de aplicación del reglamento de IA, con el artículo que la fija.
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.