El Reglamento de IA para equipos de privacidad.

Si ya llevas un programa de RGPD, tienes hecho más del Reglamento de IA de lo que crees, y las partes que no tienes hechas no son aquellas de las que te avisa todo el mundo. Esta página mapea un régimen contra el otro para que puedas averiguar qué necesita de verdad trabajo nuevo y qué es tu evidencia de siempre bajo otro encabezado.

El replanteamiento más útil de todos: el RGPD pregunta si puedes tratar los datos. El Reglamento de IA pregunta si puedes introducir el sistema en el mercado y cómo tiene que comportarse. Se solapan muchísimo en la evidencia y casi nada en el disparador.

Lo que tu trabajo de RGPD ya cubre

Una EIPD no es una evaluación de impacto sobre los derechos fundamentales y no libera del artículo 27, pero la evidencia de debajo, los flujos de datos, el razonamiento de necesidad y proporcionalidad, las garantías, la consulta, se traslada en muy buena medida.

Cuatro sitios donde pillan sistemáticamente a los DPD

1. El ámbito de aplicación no tiene nada que ver con los datos personales. Un sistema de IA puede ser de alto riesgo sin tratar ni un solo dato personal: un componente de seguridad de infraestructura crítica, por ejemplo. Y al revés, un sistema que nada en datos personales puede ser de riesgo mínimo. Si haces el triaje de la exposición al Reglamento de IA con el criterio de "¿toca datos personales?", se te escaparán cosas en las dos direcciones.

2. El papel es un análisis distinto del de la responsabilidad del tratamiento. Proveedor y responsable del despliegue, en el Reglamento de IA, no se corresponden con responsable y encargado del tratamiento. Puedes ser encargado bajo el RGPD y proveedor bajo el Reglamento de IA a la vez. Resolver uno no te dice nada del otro. La prueba del Reglamento de IA.

3. Las obligaciones vigentes no son las de alto riesgo. Todo el mundo está planificando para diciembre de 2027. Mientras tanto, el artículo 50, el artículo 4 y el artículo 5 son exigibles desde el 2 de agosto de 2026, y aplican a organizaciones que no tienen ni un solo sistema de alto riesgo.

4. El artículo 5 no es un riesgo que se mitiga. Las prácticas prohibidas no se documentan, ni se consienten, ni se llevan a una EIPD hasta volverlas aceptables. La que aparece en organizaciones corrientes es la inferencia de emociones en el lugar de trabajo, normalmente empaquetada dentro de una herramienta de analítica de RR. HH. o de productividad que nadie marcó.

Un orden de triaje que funciona

• Inventario. Tu registro de actividades del artículo 30 es el punto de partida, pero se dejará fuera los sistemas de IA que no tratan datos personales. Pregunta a los equipos qué han lanzado, no qué han registrado.
• Barrido del artículo 5 primero. Las prohibiciones son lo único que puede obligar a arrancar una función de cuajo. Hazlo antes de asignar niveles a nada.
• El papel, sistema por sistema: proveedor o responsable del despliegue. Eso decide qué conjunto de obligaciones puede aplicar siquiera.
• El nivel de riesgo, sistema por sistema, y después la exención del artículo 6(3) para todo lo que caiga en el anexo III. La elaboración de perfiles la cierra por completo.
• Cierra los tres que ya están vigentes, artículos 4, 5 y 50, este trimestre.
• Solo entonces dimensiona el trabajo del capítulo III, y solo para los sistemas que sean de verdad de alto riesgo.

El error que conviene evitar es llevar el Reglamento de IA como un segundo programa paralelo. Casi todo el coste es duplicación: dos inventarios, dos evaluaciones de riesgos, dos juegos de registros que describen los mismos sistemas. Un único registro con las dos lentes es bastante más barato de mantener y más fácil de defender.

Por eso los informes de Reglynn señalan de forma explícita los solapamientos con el RGPD: cuando un mismo control satisface los dos regímenes, el informe lo dice en vez de presentarlo como trabajo nuevo. La metodología está publicada, así que puedes comprobar el razonamiento en lugar de fiarte de la salida.

Preguntas frecuentes

¿Una EIPD cumple con el Reglamento de IA?

No. Una EIPD no es una evaluación de impacto sobre los derechos fundamentales y no libera del artículo 27, y el sistema de gestión de riesgos del artículo 9 es continuo a lo largo del ciclo de vida, no una evaluación puntual. Pero la evidencia de debajo, los flujos de datos, el razonamiento de necesidad y proporcionalidad, las garantías y la consulta, se traslada en muy buena medida.

¿El Reglamento de IA solo aplica a los sistemas que tratan datos personales?

No, y esto pilla a los equipos de privacidad en las dos direcciones. Un sistema puede ser de alto riesgo sin tratar ni un dato personal, por ejemplo un componente de seguridad de infraestructura crítica. E igualmente, un sistema lleno de datos personales puede ser de riesgo mínimo. Hacer el triaje según si hay datos personales de por medio deja cosas fuera.

¿El responsable del tratamiento es lo mismo que el proveedor?

No. Proveedor y responsable del despliegue, en el Reglamento de IA, no se corresponden con responsable y encargado del tratamiento del RGPD. Puedes ser encargado bajo el RGPD y proveedor bajo el Reglamento de IA al mismo tiempo. Establecer uno no te dice nada del otro.

¿Qué obligaciones del Reglamento de IA aplican ahora mismo?

Las prácticas prohibidas del artículo 5, la alfabetización en materia de IA del artículo 4 y la transparencia del artículo 50 son exigibles desde el 2 de agosto de 2026, y aplican a organizaciones que no tienen ni un sistema de alto riesgo. Las obligaciones de alto riesgo del capítulo III, para las que planifica todo el mundo, corren hasta diciembre de 2027.

¿Una práctica prohibida se puede mitigar con garantías?

No. Las prohibiciones del artículo 5 no se documentan, ni se consienten, ni se evalúan hasta volverlas aceptables. La que aparece en organizaciones corrientes es la inferencia de emociones en el lugar de trabajo, normalmente empaquetada dentro de una herramienta de analítica de RR. HH. o de productividad que nadie marcó.