Disposiciones de IA del RGPD

Resumen ejecutivo

Por qué el RGPD es la regulación de IA que ha estado operando desde 2018

El encuadre más habitual de la regulación europea de IA la describe como una historia del Reglamento de IA de la UE — clasificación por niveles de riesgo, aplicaciones prohibidas, evaluaciones de conformidad, la Oficina de IA de la UE. El encuadre captura la innovación regulatoria más visible y pierde por completo la realidad operativa. El RGPD ha estado regulando la IA en Europa desde 2018, y sigue siendo la regulación de IA más consecuente operativamente en Europa hoy, con independencia del calendario de aplicación del Reglamento de IA de la UE. La mayoría del trabajo de cumplimiento de IA en Europa es trabajo de cumplimiento del RGPD, realizado bajo la ley de protección de datos, supervisado por las autoridades nacionales de protección de datos, con ocho años de jurisprudencia y práctica de aplicación acumuladas.

La narrativa dominante lee el RGPD como una regulación de privacidad que casualmente incluye algunas disposiciones de toma de decisiones automatizadas. La lectura es estructuralmente inversa. El RGPD es la regulación horizontal exhaustiva que ya aplica a la mayoría de los sistemas de IA en Europa porque la mayoría de los sistemas de IA procesan datos personales, y la arquitectura del RGPD basada en riesgo, impulsada por rendición de cuentas y anclada en derechos fundamentales cubre el territorio sustantivo que el Reglamento de IA de la UE ahora extiende con obligaciones específicas de tecnología. El Reglamento de IA de la UE se sitúa sobre el RGPD, no en lugar de él.

Esto importa de tres maneras concretas. Primero, la aplicación del RGPD contra los sistemas de IA es operativa hoy y lo ha sido durante años. La sentencia Schufa del TJUE (diciembre de 2023) confirmó que el credit scoring automatizado es ADM bajo el Artículo 22. La orden ChatGPT del Garante italiano (marzo de 2023) y la posterior multa de 15 millones de euros (diciembre de 2024) demostraron que las APD pueden tomar acción de aplicación contra los servicios de IA generativa por motivos de protección de datos. La multa de la APD holandesa a Clearview AI (30,5 millones de euros, septiembre de 2024) y acciones de aplicación similares a través de Francia, España, Alemania, Hamburgo y otros Estados miembros demuestran que el RGPD es la capa de aplicación activa. Segundo, el Dictamen 28/2024 del CEPD ha consolidado la interpretación de la UE sobre cómo se aplica el RGPD al desarrollo y despliegue de IA, proporcionando la base doctrinal sustantiva que las autoridades supervisoras aplican a la revisión de cumplimiento de IA. El test de balanceo de intereses legítimos de tres pasos del Dictamen, los criterios de evaluación de anonimidad y las reglas de cascada de tratamiento ilícito son ahora el marco operativo para el cumplimiento de IA bajo la ley de protección de datos. Tercero, las sanciones del RGPD son estructuralmente severas: hasta 20 millones de euros o 4% de la facturación anual mundial, un orden de magnitud por encima de las sanciones del Reglamento de IA de la UE para la mayoría de las disposiciones. Los dientes financieros de aplicación sobre IA bajo RGPD son reales y han sido operativos desde 2018.

Lo que hace que el ciclo regulatorio de 2024-2026 sea particularmente significativo es la guía sustantiva acelerada del CEPD sobre IA. El Dictamen 28/2024 en diciembre de 2024, las Orientaciones del SEPD sobre IA Generativa en octubre de 2025, las Directrices 3/2025 del CEPD sobre interrelación DSA-RGPD en septiembre de 2025, más el trabajo en curso del CEPD sobre directrices de anonimización (en el programa de trabajo desde 2021, esperadas 2026) reflejan un cambio institucional deliberado del RGPD como marco general al RGPD como sustrato operativo para la gobernanza de IA en Europa. Las organizaciones que tratan el RGPD como un dominio de cumplimiento separado y previo del cumplimiento del Reglamento de IA de la UE pierden la realidad estructural de que los dos operan como una arquitectura regulatoria europea unificada de IA, con el RGPD proporcionando la base vinculante de datos personales y el Reglamento de IA de la UE proporcionando el overlay específico de tecnología.

Lo que el RGPD representa en el panorama regulatorio global de IA, entonces, es la regulación de IA más madura operativamente en el mundo, con ocho años de práctica de aplicación, guía supervisora exhaustiva, jurisprudencia del TJUE establecida, y la jurisprudencia más profunda sobre toma de decisiones automatizadas, perfilado y obligaciones de protección de datos del ciclo de vida de IA. El resto de esta referencia trata las disposiciones del RGPD relevantes para IA explícitamente en lugar de describir el RGPD como un marco general de privacidad.

Artículo 22: decisiones individuales automatizadas, incluida la elaboración de perfiles

El Artículo 22 es la principal disposición del RGPD que se dirige específicamente a las decisiones impulsadas por IA. Establece una prohibición por defecto con excepciones estrechas y salvaguardias sustantivas.

La prohibición por defecto. El Artículo 22(1) establece que el interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.

Tres elementos deben estar presentes para que el Artículo 22(1) aplique.

Elemento 1: Únicamente automatizado. Una decisión está «únicamente» automatizada cuando se toma sin involucramiento humano significativo en el proceso de toma de decisiones. La interpretación del CEPD, consolidada a través de las Directrices del WP29 y la jurisprudencia subsiguiente, es que el involucramiento humano debe ser sustantivo y capaz de influir en el resultado. El mero rubber-stamping o la revisión superficial no es suficiente. Para que el involucramiento humano sea significativo, debe incluir:

• Autoridad para cambiar o anular la decisión automatizada
• Acceso a todos los datos relevantes utilizados en el proceso automatizado
• Comprensión de la lógica y los criterios detrás de la decisión automatizada
• Capacidad de considerar información adicional no procesada por el sistema automatizado

Este test es estructuralmente consecuente para el despliegue de IA: los sistemas de IA que producen «recomendaciones» revisadas por revisores humanos sobrecargados que en la práctica aprueban >95% de los outputs son típicamente tratados como únicamente automatizados, con independencia de la arquitectura formal de supervisión humana.

Elemento 2: Efectos jurídicos o efectos significativamente similares. Una decisión produce efectos jurídicos cuando altera directamente los derechos u obligaciones legales de un individuo (denegación de prestaciones sociales, denegación de ciudadanía, rechazo contractual). Una decisión afecta significativamente de modo similar al individuo cuando tiene un impacto práctico equivalente incluso sin alterar derechos legales — denegación de crédito, denegación de seguro, rechazo de empleo, exclusión de servicios, fijación diferencial de precios, eliminación automatizada de contenido con consecuencias reputacionales.

Elemento 3: Perfilado incluido. El perfilado bajo el Artículo 4(4) significa «toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física».

Excepciones en el Artículo 22(2). El Artículo 22(1) no aplica si la decisión:

• Es necesaria para la celebración o ejecución de un contrato entre el interesado y un responsable del tratamiento
• Está autorizada por el Derecho de la Unión o de los Estados miembros que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades
• Se basa en el consentimiento explícito del interesado

En las excepciones contractual y de consentimiento explícito, el Artículo 22(3) requiere que el responsable del tratamiento aplique medidas adecuadas para salvaguardar los derechos del interesado, incluido el derecho a obtener intervención humana, a expresar el punto de vista del interesado y a impugnar la decisión.

Categorías especiales bajo el Artículo 22(4). Cuando las decisiones se basan en categorías especiales de datos personales (Artículo 9), las excepciones contractual y de consentimiento explícito no aplican. Tales decisiones solo pueden tomarse si el interesado ha dado su consentimiento explícito o si un interés público esencial justifica el tratamiento, y solo con salvaguardias adecuadas.

Schufa Holding (TJUE, diciembre 2023)

La sentencia del Tribunal de Justicia en Schufa Holding (C-634/21) del 7 de diciembre de 2023 confirmó que el credit scoring automatizado constituye ADM bajo el Artículo 22 cuando la puntuación juega un papel determinante en una decisión crediticia subsiguiente del prestamista. El Tribunal rechazó el argumento de Schufa de que la puntuación en sí misma no era la decisión porque el prestamista tomaba la decisión formal. El Tribunal razonó que cuando la puntuación es tan determinante que el prestamista efectivamente se remite a ella, el cálculo de la puntuación es el momento de toma de decisión para los propósitos del Artículo 22.

Schufa es el caso del TJUE más importante sobre IA bajo el RGPD. Su razonamiento se extiende a cualquier sistema de scoring de IA cuyo output determine materialmente las decisiones humanas posteriores: algoritmos de ranking de RR.HH., modelos de underwriting de seguros, scoring de detección de fraude, clasificadores de moderación de contenido y sistemas similares donde el output de la IA conforma estructuralmente la decisión formal.

Artículo 35: evaluación de impacto en la protección de datos para IA de alto riesgo

El Artículo 35 requiere que el responsable del tratamiento realice una evaluación de impacto relativa a la protección de datos (DPIA) antes del tratamiento cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. El Artículo 35(3)(a) lista específicamente «la evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar» — es decir, el territorio del Artículo 22 más el perfilado extensivo en general.

Las DPIA para IA deben abordar:

• Descripción del tratamiento: fuentes de datos, flujos de datos, arquitectura del modelo de IA, contexto de despliegue
• Evaluación de necesidad y proporcionalidad: verificación de la base legal, análisis de minimización, revisión de retención
• Evaluación del riesgo: identificación de riesgos para los derechos y libertades (discriminación, transparencia, exactitud, autonomía)
• Medidas de mitigación: salvaguardias técnicas y organizativas, arquitectura de supervisión humana, mecanismos de transparencia
• Consulta: con interesados cuando proceda, y con la autoridad supervisora cuando el riesgo residual sea elevado (Artículo 36)

Las APD nacionales publican listas de operaciones de tratamiento que siempre requieren DPIA. La mayoría de las listas nacionales incluyen explícitamente las decisiones impulsadas por IA que afectan a empleados, clientes o poblaciones vulnerables. Las DPIA del Artículo 35 operan como el equivalente del RGPD de la evaluación de impacto en derechos fundamentales del Reglamento de IA de la UE, con un solapamiento sustancial que permite a las organizaciones satisfacer ambas a través de un único ejercicio integrado de evaluación de impacto.

Artículos 13, 14, 15: transparencia y el «derecho a la explicación»

Las disposiciones de transparencia del RGPD crean obligaciones operativas directamente relevantes para los sistemas de IA.

Artículo 13(2)(f) y 14(2)(g) requieren que los responsables del tratamiento informen a los interesados, en el momento de la recolección, sobre «la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado».

Artículo 15(1)(h) proporciona el correspondiente derecho de acceso del interesado: los interesados tienen derecho a obtener confirmación de la toma de decisiones automatizada, más información significativa sobre la lógica, importancia y consecuencias previstas.

El requisito de «información significativa sobre la lógica aplicada» es el equivalente más cercano del RGPD a un derecho a la explicación para las decisiones de IA. El alcance sustantivo es debatido pero se está consolidando alrededor de varios elementos:

• Las categorías de datos de entrada utilizados
• Los criterios y la ponderación aplicados
• La lógica general del algoritmo suficiente para permitir al interesado entender la base de las decisiones que les afectan
• El impacto y las consecuencias esperadas de la toma de decisiones

El CEPD anima a los responsables del tratamiento a proporcionar información significativa sobre la lógica aplicada y a explicar la importancia y las consecuencias previstas de la ADM y el perfilado incluso cuando estos no cumplan con los criterios del Artículo 22, como buena práctica y para satisfacer las obligaciones más amplias de transparencia bajo el Artículo 5(1)(a).

Artículo 6(1)(f): intereses legítimos como base legal para entrenamiento de IA

La pregunta operativamente más significativa del RGPD para el entrenamiento de IA ha sido si los intereses legítimos bajo el Artículo 6(1)(f) pueden servir como base legal para el tratamiento de datos personales públicamente disponibles para entrenar modelos de IA. El Dictamen 28/2024 del CEPD consolidó la respuesta: sí, en principio, pero solo cuando los responsables del tratamiento puedan demostrar la satisfacción de un test estricto de balanceo de tres pasos.

Test de tres pasos.

• Interés legítimo: el interés del responsable del tratamiento debe ser lícito, suficientemente específico y real (no hipotético). Los intereses genéricos en «desarrollo de IA» son insuficientes; el responsable del tratamiento debe articular el interés específico empresarial o de investigación en juego.
• Necesidad: el tratamiento debe ser necesario para el interés legítimo. No deben estar disponibles alternativas menos intrusivas.
• Balanceo: el interés legítimo del responsable del tratamiento no debe ser anulado por los intereses, derechos fundamentales y expectativas razonables del interesado.

Medidas de mitigación. El Dictamen 28/2024 del CEPD enfatiza que las medidas de mitigación pueden cambiar el resultado del test de balanceo. Los ejemplos incluyen:

• Salvaguardias técnicas (seudonimización, datos sintéticos, privacidad diferencial, filtrado de outputs)
• Transparencia mejorada (información pública más allá del Artículo 13/14, documentación del dataset, divulgación de datos de entrenamiento)
• Mecanismos de derechos del interesado (opt-out del entrenamiento, mecanismos de eliminación, revisión del output)
• Limitaciones en las fuentes de datos (excluir contextos sensibles, respetar señales de opt-out)

Expectativas razonables. Las expectativas razonables del interesado tienen un peso sustancial en el test de balanceo. Los datos hechos públicos en una plataforma profesional de networking se tratan de manera diferente a los datos extraídos de un contexto privado. El CEPD ha señalado que el scraping masivo de datos personales para el entrenamiento de IA sin notificación o mecanismo de opt-out enfrenta un test de balanceo difícil que la mayoría de los responsables del tratamiento tendrán dificultades para satisfacer.

Categorías especiales. Las categorías especiales del Artículo 9 requieren consentimiento explícito u otra excepción del Artículo 9(2). Los intereses legítimos no están disponibles para el tratamiento de datos de categorías especiales. Los sistemas de IA entrenados con datos biométricos, de salud, opiniones políticas, creencias religiosas u otras categorías especiales enfrentan la barra más alta del Artículo 9.

Dictamen 28/2024 del CEPD: anonimidad del modelo de IA

Una segunda contribución principal del Dictamen 28/2024 del CEPD es su tratamiento de cuándo un modelo de IA entrenado con datos personales puede considerarse anónimo. La respuesta del Dictamen es estructuralmente consecuente: los modelos de IA entrenados con datos personales no son, por defecto, anónimos. Pueden ser anónimos en circunstancias particulares, evaluadas caso por caso, con criterios estrictos.

Criterios de evaluación de anonimidad. Para que un modelo de IA sea anónimo:

• La probabilidad de extraer directa o probabilísticamente datos personales sobre individuos cuyos datos se usaron para el entrenamiento debe ser insignificante
• El riesgo de obtener tales datos personales a través de queries (membership inference, training data extraction) debe ser despreciable
• La evaluación debe considerar «todos los medios razonablemente probables de ser usados» por el responsable del tratamiento o cualquier tercero (Considerando 26 RGPD), incluida la reutilización o divulgación no intencional

Requisitos de documentación. Los responsables del tratamiento que reclaman anonimidad del modelo de IA deben documentar las medidas técnicas y organizativas que apoyan la reclamación. El no proporcionar esta documentación puede indicar incumplimiento de la rendición de cuentas del Artículo 5(2), con independencia de los méritos sustantivos de la reclamación de anonimidad.

Consecuencia operativa. El tratamiento por defecto de los modelos de IA como contenedores de datos personales tiene consecuencias operativas directas. Los modelos de IA que contienen datos personales están sujetos a toda la gama de obligaciones del RGPD: base legal para el tratamiento continuo, transparencia, derechos del interesado incluida la supresión y rectificación, límites de retención, seguridad, notificación de brechas, reglas de transferencias internacionales y rendición de cuentas. «El modelo es solo pesos» no es una defensa suficiente bajo la doctrina del CEPD.

Cascada de tratamiento ilícito. Si los datos personales fueron tratados ilícitamente durante el desarrollo del modelo de IA, el Dictamen 28/2024 del CEPD establece que la ilicitud puede caer en cascada en la fase de despliegue y el tratamiento posterior. Los responsables del tratamiento posteriores que utilicen el modelo de IA deben verificar la procedencia lícita upstream, particularmente para modelos de IA entrenados con datos de fuentes de terceros.

Principios del Artículo 5: rendición de cuentas, lealtad, exactitud

Más allá de las disposiciones específicas de ADM y perfilado, los principios del Artículo 5 del RGPD aplican a todo el tratamiento de IA de datos personales y crean obligaciones sustantivas de gobernanza de IA.

Licitud, lealtad, transparencia (Artículo 5(1)(a)). El tratamiento de IA debe ser lícito, leal y transparente. La lealtad en el tratamiento de IA se ha consolidado en torno a la no discriminación, la exactitud de las decisiones y la ausencia de trato diferencial injustificado.

Limitación de la finalidad (Artículo 5(1)(b)). Los datos personales deben recogerse con fines determinados, explícitos y legítimos, y no ser tratados ulteriormente de manera incompatible con dichos fines. La guía reciente del CEPD aborda el «function creep» en IA: los modelos entrenados para un propósito y posteriormente usados para propósitos incompatibles enfrentan desafíos de limitación de la finalidad. Las organizaciones deben evaluar la compatibilidad antes de desplegar outputs de IA en nuevos casos de uso, incluso internos.

Minimización de datos (Artículo 5(1)(c)). Solo deben procesarse los datos personales adecuados, pertinentes y limitados a lo necesario. El entrenamiento de IA con «todos los datos disponibles» en lugar de datos demostrablemente necesarios para el propósito del modelo enfrenta desafíos de minimización.

Exactitud (Artículo 5(1)(d)). Los datos personales deben ser exactos y, si fuera necesario, mantenerse actualizados. Los sistemas de IA cuyos outputs son fácticamente incorrectos sobre individuos identificables (información biográfica alucinada, inferencias incorrectas) enfrentan desafíos de exactitud. Las acciones de aplicación del Garante italiano contra ChatGPT se centraron sustancialmente en obligaciones de exactitud relativas al contenido generado por IA sobre personas identificables.

Limitación del plazo de conservación (Artículo 5(1)(e)). Los datos personales no deben mantenerse más tiempo del necesario. La retención de los datos de entrenamiento de IA debe estar justificada por la necesidad continua para el ciclo de vida del modelo.

Integridad y confidencialidad (Artículo 5(1)(f)). Los sistemas de IA deben implementar seguridad apropiada. La resiliencia ante ataques adversariales, la defensa contra prompt injection y la prevención de extracción de datos son expresiones operativas de este principio para IA.

Rendición de cuentas (Artículo 5(2)). Los responsables del tratamiento deben demostrar el cumplimiento con todo lo anterior. Este es el gancho operativo para la documentación de gobernanza de IA, auditoría interna y revisión supervisora. El principio de rendición de cuentas es lo que hace que el resto del RGPD sea prácticamente aplicable contra la IA.

Artículo 25: protección de datos desde el diseño y por defecto

El Artículo 25 requiere que los responsables del tratamiento implementen medidas técnicas y organizativas apropiadas, tanto en el momento de la determinación de los medios para el tratamiento como en el momento del tratamiento mismo, para dar efecto a los principios de protección de datos. Para el desarrollo de IA, el Artículo 25 impone obligaciones estructurales de diseño:

• Métodos de entrenamiento que preserven la privacidad: privacidad diferencial, federated learning, datos sintéticos, cuando proceda
• Arquitecturas de modelos con propósito limitado: evitando la acumulación gratuita de datos en los pesos del modelo
• Configuraciones de protección de datos por defecto: opt-in para características de IA no esenciales, configuraciones por defecto conservadoras
• Integración del ciclo de vida: protección de datos integrada a través del diseño, desarrollo, despliegue, monitoreo y desmantelamiento de IA

El Artículo 25 es el sustrato del RGPD para los requisitos técnicos y organizativos del Reglamento de IA de la UE para sistemas de IA de alto riesgo. Las organizaciones que satisfacen el Artículo 25 robustamente están bien posicionadas para el cumplimiento del Reglamento de IA de la UE.

Aplicación: APD, CEPD y One-Stop-Shop

La aplicación del RGPD sobre IA es operativa a través de la arquitectura existente de aplicación de protección de datos.

Autoridades Nacionales de Protección de Datos (APD). La APD de cada Estado miembro aplica el RGPD dentro de su territorio. Las principales APD activas en IA incluyen el Garante italiano, la CNIL francesa, la AEPD española, las APD federales y de los Länder alemanas (notablemente Hamburgo HmbBfDI), la Data Protection Commission irlandesa, y la Autoriteit Persoonsgegevens holandesa. La acción de aplicación contra los servicios de IA puede incluir advertencias, limitaciones de tratamiento, remediación obligatoria y multas administrativas.

One-Stop-Shop. Para el tratamiento transfronterizo, la APD principal (típicamente la APD del establecimiento principal del responsable del tratamiento) coordina la aplicación en nombre de las APD interesadas. La Data Protection Commission irlandesa es la APD principal para la mayoría de las operaciones de la UE de las grandes empresas tecnológicas estadounidenses, incluidas OpenAI, Meta, Google, Microsoft y otras.

CEPD (Comité Europeo de Protección de Datos). Coordina la aplicación consistente del RGPD a través de los Estados miembros. Emite dictámenes, directrices y decisiones vinculantes en la resolución de disputas bajo el Artículo 65. El Dictamen 28/2024 del CEPD es el principal output específico de IA.

Resolución de disputas del Artículo 65. Cuando las APD discrepan sobre la aplicación transfronteriza, el CEPD emite decisiones vinculantes. El Artículo 65 se ha utilizado en varias acciones de aplicación importantes relacionadas con IA para asegurar resultados consistentes.

SEPD (Supervisor Europeo de Protección de Datos). Supervisa el tratamiento de las instituciones de la UE. Las Orientaciones del SEPD sobre IA Generativa del 28 de octubre de 2025 son la principal guía para las instituciones de la UE que despliegan IA generativa, aplicando el EUDPR (Reglamento 2018/1725) que refleja las disposiciones sustantivas del RGPD para las instituciones de la UE.

Estructura de sanciones. El Artículo 83 establece multas administrativas hasta 20 millones de euros o 4% de la facturación anual mundial total, lo que sea mayor. Las violaciones del Artículo 22, las violaciones de los principios del Artículo 5, las violaciones de datos de categorías especiales y muchas otras disposiciones relevantes para IA caen bajo este nivel superior. La aplicación reciente relevante para IA incluye la multa del Garante italiano a OpenAI de 15 millones de euros (diciembre de 2024), la multa de la APD holandesa a Clearview AI de 30,5 millones de euros (septiembre de 2024) y sanciones financieras sustanciales a través de los Estados miembros. Las APD nacionales administran la aplicación; el CEPD coordina la consistencia transfronteriza.

Intersecciones con otros regímenes

Cinco intersecciones determinan cómo opera el RGPD dentro de la arquitectura regulatoria más amplia de IA.

Reglamento de IA de la UE. El RGPD aplica a todos los sistemas de IA que procesan datos personales; el Reglamento de IA de la UE añade obligaciones específicas de tecnología encima. Los dos regímenes operan acumulativamente. Las obligaciones de ADM del Artículo 22 y las obligaciones de alto riesgo del Reglamento de IA de la UE se solapan sustancialmente, pero ninguno desplaza al otro. Las organizaciones multinacionales deben diseñar programas integrados de cumplimiento que satisfagan ambos.

Reglamento de Servicios Digitales (DSA). Las obligaciones de Transparencia Algorítmica del DSA (Artículos 27 y 38) intersectan con el Artículo 22 del RGPD para las plataformas en línea de muy gran tamaño (VLOPs) y los motores de búsqueda en línea de muy gran tamaño (VLOSEs). Las Directrices 3/2025 del CEPD (septiembre de 2025) proporcionan la visión consolidada sobre la interrelación DSA-RGPD. Ver la Referencia R16 para el análisis específico del DSA.

Directiva ePrivacy (y Reglamento ePrivacy propuesto). El marco ePrivacy gobierna las cookies, las tecnologías de tracking y la confidencialidad de las comunicaciones electrónicas. Los sistemas de IA que procesan metadatos de comunicaciones o usan tecnologías de tracking para personalización enfrentan obligaciones paralelas de ePrivacy.

Convenio Marco del Consejo de Europa sobre IA. Los principios sustantivos del Convenio se solapan con las bases de protección de datos del RGPD. Los Estados miembros de la UE y la propia UE son signatarios; la ratificación del Convenio reforzará las disposiciones relevantes para IA del RGPD a través de obligaciones internacionales del tratado.

ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001. Los estándares internacionales del sistema de gestión proporcionan marcos operativos para satisfacer las obligaciones de rendición de cuentas del RGPD. La ISO/IEC 27701 mapea específicamente los controles de privacidad al RGPD. La ISO/IEC 42001 mapea los requisitos del sistema de gestión de IA que satisfacen los principios sustantivos del RGPD para el tratamiento de IA.

## ⚖️ Cómo opera Zertia frente al entorno de cumplimiento de IA del RGPD

>

> > ### Pensado para el cumplimiento del RGPD en IA desde el primer día

>

> Acreditaciones y membresías: 🎖️ Acreditada por ANAB (EE.UU.) · 🎖️ Proceso UKAS (Reino Unido) · 🎖️ Proceso ENAC (UE) · 🏛️ Miembro IAPP · 🏛️ Miembro INCITS · 🏛️ Miembro UKAI · 📜 Firmante EU AI Pact

>

> Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, con oficinas en Boston, Madrid y Londres, y acreditación ANAB en Estados Unidos. Procesos de acreditación activos están en curso con UKAS (Reino Unido) y ENAC (España/UE). El entorno de cumplimiento de IA del RGPD — ocho años de aplicación operativa de IA bajo la ley de protección de datos, doctrina exhaustiva del CEPD a través del Dictamen 28/2024, jurisprudencia establecida del TJUE y sanciones financieras sustanciales — hace que la certificación acreditada y el aseguramiento basado en estándares sean directamente relevantes para las organizaciones que operan sistemas de IA en la UE/EEE, Reino Unido y cualquier mercado con alcance extraterritorial del RGPD.

>

> Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. La certificación acreditada ISO/IEC 42001 mapea sustantivamente a las disposiciones relevantes para IA del RGPD: las obligaciones de supervisión humana del Artículo 22, los procesos de DPIA del Artículo 35, los requisitos de transparencia del Artículo 13/14/15, la protección de datos desde el diseño del Artículo 25, y la rendición de cuentas del Artículo 5. ISO/IEC 27701 mapea específicamente los controles de privacidad al RGPD, proporcionando la evidencia operativa más directa de la madurez del programa del RGPD. ISO/IEC 27001 complementa la ISO/IEC 27701 con bases de seguridad de la información que sustentan las obligaciones de seguridad de IA bajo el Artículo 32 del RGPD. AIUC-1 proporciona aseguramiento técnico a nivel de agente para los vendors de IA que operan en mercados empresariales de la UE, con documentación utilizable para la revisión de cumplimiento del RGPD.

>

> Marcos y Regulación — Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Riesgos ISO/IEC 23894, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. Evaluaciones de Impacto Algorítmico estructuradas para satisfacer los requisitos de DPIA del Artículo 35 del RGPD concurrentemente con la evaluación de impacto en derechos fundamentales del Reglamento de IA de la UE, las leyes estatales estadounidenses de IA, y el PL 2338/2023 brasileño una vez promulgada, proporcionando evidencia portable de aseguramiento para organizaciones multinacionales. La Evaluación de Conformidad EU AI Act se integra con los procesos de DPIA del RGPD para producir documentación unificada de IA de alto riesgo.

>

> Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Auditorías independientes estructuradas para proporcionar evidencia de aseguramiento portable a través de los contextos de aplicación del RGPD (incluido el engagement con autoridad supervisora, la coordinación transfronteriza One-Stop-Shop y las disputas del Artículo 65), la conformidad del Reglamento de IA de la UE y regímenes regulatorios paralelos internacionales de IA. Particularmente relevante para organizaciones bajo escrutinio transfronterizo de APD, responsables del tratamiento que enfrentan revisión de tratamiento de alto riesgo y vendors de IA en industrias reguladas.

>

> Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Los programas tratan explícitamente las disposiciones de IA del RGPD, incluida la doctrina de ADM del Artículo 22 post-Schufa, el marco del Dictamen 28/2024 del CEPD para los datos de entrenamiento de IA, la metodología de DPIA del Artículo 35 para sistemas de IA, el test de balanceo de intereses legítimos para el desarrollo de IA, la evaluación de anonimidad del modelo de IA, y la integración con el Reglamento de IA de la UE, ISO/IEC 42001 e ISO/IEC 27701 para organizaciones que operan a través de múltiples jurisdicciones. Particularmente relevante para los equipos legales, de cumplimiento, de privacidad y de gobernanza de IA en multinacionales que operan en la UE.

>

> Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS y ENAC. Miembro de IAPP, INCITS y UKAI. Firmante del EU AI Pact.

>

> ### 🎯 Pasa a la acción

>

> | 🔍 Diagnostica exposición privacidad + IA | 📊 Construye el esqueleto integrado |

> |—|—|

> | Evaluación Pre-Certificación → | ISO/IEC 27701 + ISO/IEC 42001 → |

> | Diagnóstico independiente del artículo 22 del RGPD, la Opinión 28/2024 del EDPB, los requisitos de DPIA y la intersección entre obligaciones de privacidad y gobernanza de IA. | Certificación integrada que combina ISO/IEC 27701 (gestión de información de privacidad) con ISO/IEC 42001 (gestión de IA). El esqueleto acreditado para organizaciones donde privacidad y gobernanza de IA deben operarse como un sistema único. |

>

> Discutir cumplimiento de IA del RGPD y posicionamiento regulatorio integrado de IA de la UE →