Última revisión:
¿Cómo se aplica el RGPD a la IA? Definición y retos para la empresa
El RGPD encuadra todo tratamiento de datos personales por un sistema de IA operado en la Unión Europea o dirigido a personas que se encuentran en ella. Cuatro obligaciones se aplican con prioridad: finalidad explícita, minimización de los datos, derechos de acceso y de oposición, y estudio de impacto para los tratamientos de riesgo elevado.
El Reglamento General de Protección de Datos (RGPD, reglamento europeo 2016/679) se aplica a todo sistema de IA en cuanto trate datos personales (nombre, correo, dirección IP, historial de compra, imagen, voz). Cuatro obligaciones estructuran el análisis para los despliegues de IA. La finalidad explícita: un sistema de IA solo puede tratar datos para usos claramente definidos por anticipado y notificados a las personas concernidas. La minimización: solo se tratan los datos estrictamente necesarios para la finalidad, no más. Los derechos de las personas: acceso, rectificación, oposición, portabilidad, supresión. El estudio de impacto (DPIA, Data Protection Impact Assessment): obligatorio cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas (artículo 35 del RGPD), a valorar caso por caso según los criterios y la lista de la CNIL. La CNIL ha publicado recomendaciones sobre el desarrollo de sistemas de IA. El 19 de junio de 2025 las completó con fichas sobre el interés legítimo y sobre la recopilación masiva de datos en línea (web scraping). Son la referencia en Francia.
Ejemplo concreto
Una empresa francesa de e-commerce despliega un chatbot de IA para su servicio al cliente. Tres preguntas RGPD a resolver antes de la puesta en producción. Primero, ¿sobre qué base jurídica reposa el tratamiento (consentimiento, interés legítimo, ejecución contractual)? Segundo, ¿las conversaciones se transmiten a un subcontratista fuera de la UE (OpenAI, Anthropic vía API)? Si es así, hace falta un mecanismo de transferencia: una decisión de adecuación (el Marco de Privacidad de Datos para un proveedor estadounidense adherido) o, en su defecto, cláusulas contractuales tipo y un análisis de transferencia (TIA). Tercero, ¿durante cuánto tiempo se conservan las conversaciones? Sin respuesta precisa sobre estos tres puntos, el despliegue es jurídicamente frágil, y la CNIL puede dictar una multa administrativa que puede alcanzar los 20 millones de euros o el 4 % de la facturación anual mundial del ejercicio anterior, la cifra más elevada (artículo 83 del RGPD).
Preguntas frecuentes
¿Se aplica el RGPD a una herramienta de IA que usa mis datos?
Sí, en cuanto trata datos personales (nombre, correo, dirección IP, imagen, voz), ya sea que el sistema opere en la Unión Europea o se dirija a personas que se encuentran en ella. Cuatro obligaciones priman: finalidad explícita, minimización de datos, derechos de las personas (acceso, oposición, supresión) y una evaluación de impacto (EIPD) para los tratamientos que puedan entrañar un alto riesgo.
¿Puedo enviar datos personales a una API de IA estadounidense (OpenAI, Anthropic)?
No sin precauciones. Toda transferencia fuera de la UE exige un mecanismo de transferencia: una decisión de adecuación (el Marco de Privacidad de Datos UE-EE. UU. cubre a las empresas estadounidenses adheridas) o, en su defecto, cláusulas contractuales tipo con un análisis de transferencia. También hay que calificar los roles: usted suele ser el responsable del tratamiento y el proveedor el encargado, con un contrato conforme al artículo 28. Sin ello, el tratamiento es irregular.
¿Cuándo es obligatoria una evaluación de impacto (EIPD)?
Cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas (artículo 35). Se valora caso por caso, con los criterios y la lista publicados por la CNIL. La EIPD se realiza antes de la puesta en producción, no después.
Ver también
Para profundizar
Recomendaciones de la CNIL sobre el desarrollo de sistemas de IA
Fuentes
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Inteligencia artificial, recomendaciones y guías, CNIL. https://www.cnil.fr/fr/intelligence-artificielle
- IA: la CNIL finaliza sus recomendaciones sobre el desarrollo de sistemas de IA (interés legítimo, web scraping), CNIL, 19 de junio de 2025 (en francés). https://www.cnil.fr/fr/recommandations-developpement-ia-interet-legitime
- Transferencias de datos UE-EE. UU., decisión de adecuación de 10 de julio de 2023 (Marco de Privacidad de Datos), Comisión Europea. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en