Los autónomos que hayan incorporado la inteligencia artificial a sus negocios deberán vigilar también el tratamiento de los datos que hacen estas herramientas porque están sujetos a posibles inspecciones o sanciones.
La Agencia Española de Protección de Datos (AEPD) ha recordado esta semana que tiene capacidad para actuar contra los sistemas de IA que infrinjan la normativa vigente, aunque aún no haya una ley nacional específica ni estén activas las sanciones del nuevo Reglamento Europeo de Inteligencia Artificial.
En una nota publicada este 15 de julio, la AEPD subrayó que “la protección de datos personales se aplica con independencia de que una tecnología esté basada o no en IA” y que las obligaciones derivadas del Reglamento General de Protección de Datos (RGPD) siguen vigentes.
- El reglamento europeo de IA todavía no sanciona, pero Protección de Datos sí
- ¿Debe la IA entender y aplicar la protección de datos?
- Qué deben tener en cuenta los autónomos que ya utilizan herramientas con IA
- La Agencia ya ha abierto investigaciones sobre usos indebidos de IA
El reglamento europeo de IA todavía no sanciona, pero Protección de Datos sí
El nuevo Reglamento Europeo de Inteligencia Artificial, aprobado en marzo de este año, establece un marco legal pionero en el mundo para regular el uso de esta tecnología en función de su nivel de riesgo. Sin embargo, su régimen sancionador no será plenamente aplicable hasta 2026, con algunas disposiciones que entrarán en vigor este próximo 2 de agosto de 2025.
No obstante, y como recuerda la AEPD, esto no significa que los desarrolladores, distribuidores o usuarios de herramientas de IA estén exentos de responsabilidad hasta entonces. “La Agencia ya puede actuar cuando un sistema de IA trate datos personales y no respete las obligaciones del RGPD”, insistieron desde el organismo.
Como explicó Jorge Cabet, director de Augusta Abogados, “el Reglamento General de Protección de Datos está plenamente vigente desde 2018 y se aplica por el principio de primacía del Derecho de la Unión, con independencia de que el sistema de IA esté sujeto a una regulación propia posterior”.
Esta normativa incluye, entre otras cosas, garantizar la licitud del tratamiento de los datos, informar adecuadamente a los usuarios, aplicar medidas de seguridad, cumplir con el principio de minimización de datos, permitir el ejercicio de derechos como el acceso o la oposición, y no utilizar sistemas que tomen decisiones automatizadas sin intervención humana, salvo en circunstancias muy concretas.
Además, el principio de responsabilidad proactiva del RGPD exige que “el empresario que utilice una herramienta de IA debe evaluarla con carácter previo, incluso si esa herramienta aún no está sujeta a una norma específica”, subrayó Cabet.
¿Debe la IA entender y aplicar la protección de datos?
Un ejemplo concreto de cómo la AEPD ya está vigilando el uso de la inteligencia artificial incluso en tareas cotidianas es el criterio jurídico publicado recientemente sobre el uso de IA en comunicaciones comerciales automatizadas.
La agencia respondió a la consulta de si era obligatorio que un sistema de IA utilizado para este tipo de comunicaciones «entendiera y ejecutara» los derechos de los usuarios, como la oposición al tratamiento o la revocación del consentimiento.
La conclusión del regulador fue que si un sistema de IA realiza tareas de envío masivo de correos, mensajes o notificaciones publicitarias, debe estar “programado para reconocer, interpretar y aplicar los derechos de protección de datos que los usuarios puedan ejercer”, sin derivarlos innecesariamente a procedimientos manuales o farragosos.
Esto implica, por ejemplo, que un sistema de IA no puede seguir enviando correos a un usuario que ha solicitado expresamente no recibir más mensajes, ni puede alegar desconocimiento técnico para no aplicar su decisión.
Aunque se utilice una herramienta sofisticada, como un chatbot o un generador automático de correos, el responsable del tratamiento sigue siendo quien decide usar esa herramienta y le proporciona los datos personales, recordó Jorge Cabet aunque “determinarlo legalmente es una dificultad añadida”. Por tanto, delegar el trabajo en una IA no exime al profesional de sus obligaciones legales.
Qué deben tener en cuenta los autónomos que ya utilizan herramientas con IA
En la práctica, cualquier autónomo que esté utilizando o tenga previsto incorporar herramientas de inteligencia artificial en su actividad –desde un chatbot que responda a clientes hasta una aplicación móvil que analice hábitos de consumo– debe considerar los aspectos relacionados con la protección de datos personales “desde el diseño y por defecto”, tal y como exige el artículo 25 del RGPD.
Además, la AEPD recordó que ya ha publicado guías y recomendaciones específicas para ayudar a las empresas al cumplimiento de la normativa vigente.
Muchos autónomos utilizan estos sistemas como asistentes para escribir correos, redactar presupuestos o incluso generar contenido para redes sociales. Pero si esos sistemas recogen o procesan datos de clientes –nombres, correos, historial de compras, etc.– “ya entra en juego la normativa de protección de datos”, explicó Jorge Cabet.
La Agencia ya ha abierto investigaciones sobre usos indebidos de IA
La Agencia ya ha intervenido en varios casos relacionados con inteligencia artificial, incluso antes de la aprobación del Reglamento europeo. En 2023, abrió investigaciones sobre sistemas de reconocimiento facial en el ámbito educativo, el uso de algoritmos de selección en procesos laborales y sobre modelos generativos que podían implicar tratamiento masivo de datos personales.
En todos los casos, el uso de herramientas de IA debe ajustarse al marco legal vigente. Cabet lo comparó con pensar que si “las critptomonedas no están reguladas, alguien podría usarlas para blanquear dinero”. Continuando la analogía, el abogado aclaró que “aunque su regulación específica llegue más tarde, si tratan datos personales o pueden facilitar delitos, ya están sujetos a normas como el RGPD o las leyes de prevención del blanqueo”.
En definitiva, aunque todavía no se haya desarrollado el marco sancionador de la inteligencia artificial, los autónomos que la utilicen deben cumplir con los mismos principios de transparencia, responsabilidad y protección de derechos que cualquier otro tratamiento de datos.
