RGPD e IA: Lo que las empresas españolas que usan herramientas de IA deben hacer antes de agosto de 2026

Si su empresa utiliza inteligencia artificial —y en 2026, la mayoría lo hará—, usted está operando simultáneamente dentro de dos marcos regulatorios. Uno de ellos es casi seguro que lo conoce. El otro está a tres meses de su plazo de cumplimiento más importante.

El GDPR ha regido cómo usted recopila, almacena y usa datos personales desde 2018. La Ley de IA de la UE entró en vigor en agosto de 2024 y será plenamente aplicable el 2 de agosto de 2026. Estas dos regulaciones no se anulan entre sí. Se superponen. Y España ha añadido una tercera capa: su propia autoridad supervisora de IA dedicada, la AESIA, que ya está operativa y ya está produciendo directrices de cumplimiento.

Para las empresas españolas que utilizan herramientas de IA —ya sea un chatbot en su sitio web, una herramienta de selección de personal impulsada por IA, un sistema de detección de fraude o un algoritmo de perfilado de clientes—, la pregunta ya no es si necesita comprender estas obligaciones. Es si tiene suficiente tiempo para cumplirlas antes de agosto.

Esta guía explica lo que exige la Ley de IA de la UE, cómo interactúa con el GDPR para las empresas que operan en España, qué añade el propio marco regulatorio de IA de España al panorama y qué debe tener su empresa antes del 2 de agosto de 2026.

La Ley de IA de la UE: Qué es y por qué agosto de 2026 es importante

La Ley de IA de la UE —Reglamento (UE) 2024/1689— entró en vigor el 1 de agosto de 2024 como el primer marco legal integral del mundo que rige específicamente la inteligencia artificial. No reemplaza al GDPR. Opera junto a él, añadiendo obligaciones específicas de IA que se aplican además de los requisitos de protección de datos existentes.

La Ley se ha estado implementando en fases. La primera ola —que cubre las prácticas de IA prohibidas y las obligaciones de alfabetización en IA— entró en vigor el 2 de febrero de 2025. La segunda ola —reglas de gobernanza y obligaciones para los modelos de IA de propósito general— se hizo aplicable el 2 de agosto de 2025.

La tercera y más exigente operativamente ola llega el 2 de agosto de 2026. Es entonces cuando el marco completo para los sistemas de IA de alto riesgo según el Anexo III se hará aplicable, cubriendo la mayoría de las aplicaciones de IA que las empresas de toda España ya están utilizando en el empleo, las finanzas, la atención médica, la educación y los servicios al cliente.

Existe una advertencia importante a tener en cuenta. La propuesta de Ómnibus Digital de la Comisión Europea, publicada en noviembre de 2025, incluye una disposición que retrasaría ciertos plazos de IA de alto riesgo hasta 16 meses, vinculando la fecha de aplicación a la disponibilidad de estándares armonizados. Esta propuesta no se ha convertido en ley. Expertos legales en toda la UE, incluida la propia AESIA de España, aconsejan a las empresas que consideren agosto de 2026 como la fecha límite vinculante. Planificar un retraso que no ha sido promulgado es un riesgo material de cumplimiento.

El Marco Basado en el Riesgo: ¿Dónde se sitúa su herramienta de IA?

La Ley de IA regula en función del riesgo funcional: cuanto mayor sea el daño potencial que un sistema de IA pueda causar, más estrictas serán las obligaciones. Comprender dónde se sitúan las herramientas de IA de su empresa en esta jerarquía es el primer paso esencial.

IA Prohibida — Ya Prohibida desde Febrero de 2025

Ocho categorías de prácticas de IA están completamente prohibidas y lo han estado desde el 2 de febrero de 2025. Si su empresa utiliza cualquiera de las siguientes, ya está incumpliendo:

• Técnicas subliminales, manipuladoras o engañosas que explotan las debilidades psicológicas para distorsionar el comportamiento
• Sistemas de puntuación social que evalúan a las personas basándose en el comportamiento social o las características personales
• Identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley
• Sistemas de IA que explotan las vulnerabilidades de grupos específicos —niños, personas mayores, personas con discapacidad—
• Sistemas de categorización biométrica que infieren características sensibles como opiniones políticas, creencias religiosas u orientación sexual a partir de datos biométricos
• Sistemas de policía predictiva que evalúan la probabilidad de que un individuo cometa un delito basándose en el perfilado
• Rastreo indiscriminado de imágenes faciales de internet o grabaciones de CCTV para construir bases de datos de reconocimiento facial
• Sistemas de reconocimiento de emociones en el lugar de trabajo o en entornos educativos

Si su empresa utiliza cualquier producto de un proveedor o herramienta interna que entra en estas categorías, debe ser retirado del servicio inmediatamente. La prohibición ha estado en vigor durante más de un año.

IA de Alto Riesgo — La fecha límite de agosto de 2026

Esta es la categoría que afecta a la mayoría de las empresas. Los sistemas de IA de alto riesgo son aquellos enumerados en el Anexo III de la Ley de IA y cubren aplicaciones en las siguientes áreas:

Biometría — sistemas utilizados para la identificación, categorización o reconocimiento de emociones de personas físicas a distancia.

Infraestructura crítica — componentes de IA utilizados en sistemas críticos para la seguridad en energía, agua, transporte o infraestructura digital.

Educación y formación profesional — IA utilizada para determinar el acceso a instituciones educativas, evaluar el rendimiento estudiantil o calificar resultados de exámenes. Si su empresa es un proveedor de formación o una institución educativa que utiliza IA para evaluar a los alumnos, esto se aplica directamente a usted.

Empleo, gestión de trabajadores y acceso al autoempleo — IA utilizada en la selección de personal, clasificación de currículums, análisis de entrevistas, evaluación de rendimiento y sistemas de seguimiento del trabajo y asignación de tareas. Si su empresa utiliza IA para seleccionar candidatos a un puesto de trabajo, esto es de alto riesgo. Si utiliza IA para supervisar la productividad de los trabajadores remotos, esto también es de alto riesgo.

Acceso a servicios esenciales privados y públicos — IA utilizada para la evaluación crediticia, la fijación de precios de seguros o la elegibilidad para prestaciones sociales. Cualquier empresa fintech, insurtech o de servicios financieros que utilice IA para evaluaciones de solvencia o puntuación de riesgos está operando un sistema de alto riesgo.

Aplicación de la ley, migración, administración de justicia — IA utilizada para la evaluación de riesgos de individuos en contextos criminales, migratorios o judiciales.

Para la mayoría de las empresas españolas, las categorías de alto riesgo más relevantes son empleo y RRHH, educación, servicios financieros y biometría. Si su empresa utiliza una herramienta de IA en cualquiera de estas áreas —incluidas las herramientas proporcionadas por terceros proveedores—, está operando un sistema de IA de alto riesgo y las obligaciones de agosto de 2026 se aplican a usted.

IA con solo obligación de transparencia — También aplicable a partir de agosto de 2026

Incluso si su sistema de IA no es de alto riesgo, las obligaciones de transparencia en virtud del Artículo 50 de la Ley de IA se aplican a partir del 2 de agosto de 2026 a todos los sistemas de IA que:

• Interactúan con humanos (chatbots, asistentes virtuales) — se debe informar a los usuarios que están interactuando con una IA, no con un humano
• Generan contenido sintético — deepfakes, imágenes, audio o video generados por IA deben ser etiquetados como generados por IA
• Utilizan reconocimiento de emociones o categorización biométrica — se requiere divulgación

Si tiene un chatbot de cara al cliente o cualquier IA que produce medios sintéticos, estas reglas se aplican independientemente del nivel de riesgo.

Lo que los implementadores de IA de alto riesgo deben tener establecido para agosto de 2026

Si su empresa es un implementador —es decir, utiliza un sistema de IA de alto riesgo profesionalmente, sin haberlo construido usted mismo—, estas son sus obligaciones principales en virtud del Artículo 26 de la Ley de IA:

Utilizar sistemas de IA de acuerdo con sus instrucciones. Los implementadores deben seguir la documentación técnica y el alcance de uso previsto proporcionados por el proveedor. Utilizar una herramienta de IA para fines fuera de su alcance definido es una violación.

Mantener la supervisión humana. Una persona designada debe ser capaz de comprender los resultados del sistema, identificar cuándo está produciendo resultados inapropiados y suspender el sistema si es necesario. Esta supervisión debe ser genuinamente operativa, no nominal.

Monitorear el sistema en funcionamiento. Los implementadores deben monitorear activamente los sistemas de IA de alto riesgo durante su uso e informar de incidentes o mal funcionamiento graves al proveedor y, en algunos casos, a las autoridades nacionales.

Realizar una evaluación de impacto en los derechos fundamentales antes de la implementación. Antes de poner en uso un sistema de IA de alto riesgo —o para agosto de 2026 para los sistemas ya implementados—, se debe completar una evaluación formal documentada de su impacto potencial en los derechos fundamentales.

Mantener registros y grabaciones. Los implementadores deben conservar registros de su uso de sistemas de IA de alto riesgo —incluidos los registros automatizados generados por el sistema— durante al menos seis meses.

Informar a las personas afectadas. Cuando un sistema de IA de alto riesgo respalda o toma decisiones que afectan a individuos —contratación, crédito, beneficios—, se debe informar a esas personas de que un sistema de IA está involucrado.

Garantizar la alfabetización en IA. El personal que opera, supervisa o interpreta los resultados de un sistema de IA de alto riesgo debe tener una comprensión suficiente de lo que hace el sistema, sus limitaciones y cuándo aplicar el juicio humano sobre sus resultados.

La Doble Obligación: Donde la Ley de IA y el GDPR se superponen

Esta es el área que la mayoría de las empresas españolas subestiman: el punto en el que el cumplimiento de la Ley de IA no está separado del cumplimiento del GDPR, sino que está directamente conectado a él.

Casi todas las aplicaciones de IA de alto riesgo procesan datos personales. Una herramienta de contratación de IA procesa currículums, nombres y evaluaciones. Un sistema de puntuación de crédito de IA procesa el historial financiero y los datos de identidad. Un sistema de monitoreo del rendimiento de IA procesa el comportamiento de los empleados y las métricas de productividad. Siempre que haya datos personales involucrados, el GDPR se aplica simultáneamente con la Ley de IA.

Base legal para el procesamiento de IA. El uso de datos personales en un sistema de IA requiere una base legal documentada del GDPR antes de que comience el procesamiento. El consentimiento rara vez es apropiado a escala; los intereses legítimos, el contrato o la obligación legal son más comúnmente aplicables. Toda actividad de procesamiento impulsada por IA necesita una base documentada.

Toma de decisiones automatizada según el Artículo 22 del GDPR. Cuando un sistema de IA toma decisiones sobre individuos que producen efectos legales o significativamente similares —un rechazo de empleo, una denegación de crédito, una denegación de un beneficio—, se aplica el Artículo 22 del GDPR. Los individuos tienen derecho a no ser objeto de decisiones únicamente automatizadas de este tipo sin la posibilidad de solicitar una revisión humana, expresar su punto de vista y impugnar el resultado. Este derecho existe desde 2018 y es completamente independiente de la Ley de IA.

Evaluaciones de impacto de la protección de datos. El procesamiento de IA de alto riesgo casi siempre activa el requisito del GDPR de una EIPD. La evaluación de impacto en los derechos fundamentales de la Ley de IA y la EIPD del GDPR son documentos separados, pero abordan preocupaciones superpuestas y deben desarrollarse juntos. No son intercambiables.

Minimización de datos y limitación de la finalidad. Los sistemas de IA a menudo procesan muchos más datos personales de los estrictamente necesarios, una característica común de los sistemas de aprendizaje automático entrenados con grandes conjuntos de datos. Los principios del GDPR de minimización de datos y limitación de la finalidad se aplican directamente. Entrenar un modelo de IA con datos recopilados para un propósito diferente sin una base legal separada es una violación del GDPR.

En febrero de 2026, la AEPD publicó una guía específica sobre la IA agentiva, sistemas de IA que realizan acciones de forma autónoma, acceden a sistemas y toman decisiones con una mínima intervención humana. La AEPD confirmó claramente que, cuando un agente de IA realiza de forma autónoma operaciones de manejo de datos, el controlador que implementa el agente sigue siendo legalmente responsable en virtud del GDPR de todas esas operaciones. La autonomía tecnológica no reduce la responsabilidad legal.

El Marco Regulatorio Español de la IA: Dos Autoridades, Una Obligación de Cumplimiento

España ha avanzado más rápido en la gobernanza de la IA que casi cualquier otro estado miembro de la UE, y comprender quién aplica qué es fundamental.

La AESIA —la Agencia Española de Supervisión de Inteligencia Artificial— fue establecida por el Real Decreto 729/2023 y está operativa desde junio de 2024. Es la primera agencia supervisora nacional de IA dedicada en toda la UE. La AESIA actuará como la principal autoridad de vigilancia del mercado de IA de España bajo la Ley de IA una vez que la ley nacional de IA de España sea plenamente promulgada. En diciembre de 2025, la AESIA publicó 16 documentos de orientación detallados —disponibles tanto en español como en inglés— que cubren las evaluaciones de conformidad, la gestión de riesgos, la supervisión humana, la transparencia y casos de uso específicos, incluidos los sistemas biométricos y las herramientas de IA de RRHH. La AESIA también ha gestionado el sandbox regulatorio de IA de España desde 2023, con 12 proyectos de IA probados bajo supervisión regulatoria.

La AEPD mantiene plena competencia de aplicación donde los sistemas de IA procesan datos personales, lo que cubre casi todos los sistemas de IA implementados comercialmente. El 15 de julio de 2025, la AEPD confirmó que ya está facultada para tomar medidas contra los sistemas de IA que procesan datos personales ilegalmente, incluso antes de que la ley nacional de IA de España esté plenamente en vigor. En diciembre de 2024, la AEPD multó a la Liga Nacional de Fútbol Profesional con 1.000.000 € por implementar un sistema biométrico de reconocimiento facial en las entradas de los estadios sin cumplir con los requisitos del GDPR.

Para las empresas españolas, esto significa que dos autoridades pueden examinar sus operaciones de IA simultáneamente: la AESIA en el cumplimiento de la Ley de IA y la AEPD en el cumplimiento del GDPR. Una implementación de IA que no cumpla con ambos estándares se enfrenta a una exposición a la aplicación de la ley desde ambas direcciones.

La multa máxima bajo la Ley de IA para sistemas de IA prohibidos es de 35 millones de euros o el 7% de la facturación anual global. Las violaciones del GDPR por el mismo sistema podrían añadir otros 20 millones de euros o el 4% de la facturación anual global. Estas multas no son mutuamente excluyentes.

Para un desglose completo de cómo el GDPR y la LOPDGDD española interactúan para las empresas que operan en España, consulte: GDPR vs. LOPDGDD de España: Entendiendo ambas leyes y por qué su empresa debe cumplirlas.

Su Plan de Acción Pre-Agosto 2026

Con tres meses restantes, aquí tiene un marco práctico ordenado por urgencia:

Paso 1 — Cree su inventario de IA. Enumere cada herramienta de IA que utiliza su empresa, ya sea construida internamente o proporcionada por un tercero. Para cada herramienta, documente su propósito previsto, los datos personales que procesa, las decisiones que apoya o toma, y los individuos a los que afecta.

Paso 2 — Clasifique cada sistema de IA por nivel de riesgo. Compare cada herramienta con la lista de prohibiciones y las categorías de alto riesgo del Anexo III. Sea conservador: si un sistema podría ser plausiblemente de alto riesgo, trátelo como tal hasta que se confirme lo contrario. Los documentos de orientación de la AESIA incluyen ejemplos prácticos para apoyar la clasificación.

Paso 3 — Elimine cualquier práctica prohibida inmediatamente. Si el inventario revela alguna herramienta que constituye una práctica prohibida —reconocimiento de emociones en el lugar de trabajo, puntuación social, extracción facial indiscriminada—, debe ser retirada del servicio ahora. La prohibición está en vigor desde febrero de 2025.

Paso 4 — Realice EIPD para todos los sistemas de IA que procesen datos personales a gran escala. Comience con los sistemas de mayor riesgo —IA de contratación, monitoreo de rendimiento, biometría, evaluación de crédito— y trabaje sistemáticamente a través del inventario.

Paso 5 — Completar las evaluaciones de impacto en los derechos fundamentales para despliegues de alto riesgo. Este es un requisito separado del DPIA bajo la Ley de IA. Debe documentarse antes de agosto de 2026 para los sistemas ya en funcionamiento.

Paso 6 — Establecer procedimientos de supervisión humana. Para cada sistema de alto riesgo, designe a una persona responsable con la capacidad de monitorear, cuestionar y, si es necesario, suspender los resultados del sistema.

Paso 7 — Revisar los contratos con proveedores. Si utiliza herramientas de IA de terceros, sus Acuerdos de Procesamiento de Datos deben abordar el cumplimiento de la Ley de IA — la documentación que el proveedor puede proporcionar, la retención de registros y la notificación de incidentes. Muchos DPIA existentes no cubren estos requisitos.

Paso 8 — Capacitar a su equipo en alfabetización en IA. Documente la capacitación impartida a cualquier persona que opere, supervise o utilice los resultados de los sistemas de IA.

Paso 9 — Implementar divulgaciones de transparencia. Para cualquier sistema de IA orientado al cliente, asegúrese de que la divulgación esté implementada antes de que los usuarios interactúen con el sistema.

Paso 10 — Consultar la guía publicada por AESIA. Las 16 guías de cumplimiento de la Ley de IA de España, disponibles en inglés en aesia.digital.gob.es, incluyen listas de verificación y plantillas diseñadas específicamente para la preparación de agosto de 2026. Representan la guía nacional más detallada sobre cumplimiento de IA disponible en la UE.

Agosto de 2026 No Es una Advertencia — Es una Fecha Límite

La Ley de IA de la UE está en vigor desde agosto de 2024. Las prácticas de IA prohibidas son aplicables desde febrero de 2025. La AEPD de España ya ha confirmado que actuará contra los despliegues de IA que violen el RGPD — con una multa de 1.000.000 de euros contra una liga de fútbol por un sistema biométrico emitida en diciembre de 2024. AESIA está operativa, ha publicado una guía detallada y está construyendo una infraestructura de aplicación modelada explícitamente en el enfoque asertivo de la AEPD.

Las empresas que operan herramientas de IA en España sin haber abordado estas obligaciones no están en un período de gracia. Están en una brecha de cumplimiento que se cierra el 2 de agosto de 2026.

El Cumplimiento del RGPD de la UE y Protección de Datos para Empresas del Spanish Compliance Institute cubre en profundidad la intersección del RGPD y el cumplimiento de la IA — incluyendo el Módulo 4 sobre evaluación de riesgos avanzada y regulación tecnológica, y el Módulo 5 sobre tendencias futuras de privacidad y desarrollos de supervisión. Incluye 18 plantillas descargables que puede comenzar a implementar de inmediato.

También en esta serie:

• EU GDPR Compliance for Businesses: The Complete Guide (2026) 
• Why Spain Issues More GDPR Fines Than Almost Any Other EU Country 
• GDPR and Spain's AEPD: What Every Business Needs to Know About the Spanish Data Protection Authority 
• GDPR Compliance for SMEs in Spain: What the New Simplified Rules Mean for Your Business
• What Happens If You Get a GDPR Fine in Spain? A Step-by-Step Breakdown 
• GDPR Consent Rules in 2026: What Spanish Businesses Must Update Now 
• Do You Need a Data Protection Officer (DPO) in Spain? The Rules Just Changed for SMEs 
• GDPR and AI: What Spanish Companies Using AI Tools Must Do Before August 2026 
• How to Handle a GDPR Data Breach as a Business in Spain: The 72-Hour Rule Explained 
• Transferring Customer Data Outside the EU? What Spanish Businesses Need to Know in 2026 
• GDPR vs. Spain's LOPDGDD: Understanding Both Laws and Why Your Business Must Comply With Both