RGPD y Reglamento de IA: cómo se aplican juntos a un sistema de inteligencia artificial
El Reglamento de IA no sustituye al RGPD: se aplican a la vez. Dónde se cruzan, qué evaluaciones se pueden combinar y quién supervisa cada parte.
- Publicado
- 09.10.2026
- Nivel
- Jurídico
- Ámbito
- UE
- Lectura
- 4 min
Estado normativo
Vigente- Normas
- Reglamento (UE) 2024/1689, arts. 2.7, 4 bis, 26.9, 27.4, 50.3, 74.8 y 99 · Reglamento (UE) 2016/679 (RGPD), arts. 22, 35 y 83
- Ámbito
- UE
En 30 segundos
Si un sistema de IA trata datos personales, se aplican a la vez el RGPD y el Reglamento (UE) 2024/1689. El Reglamento de IA dice expresamente que no afecta al RGPD, salvo en dos puntos concretos. Hay que cumplir ambos, pero se pueden aprovechar trabajos: la evaluación de impacto del RGPD sirve de base para la del art. 27 y la información del proveedor ayuda a hacerla.
Contexto
El Reglamento (UE) 2016/679 (RGPD) protege los datos personales. El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act) regula los sistemas de IA según su riesgo. Muchos sistemas de IA tratan datos personales, así que las dos normas coinciden a menudo.
La regla general está en el art. 2, apartado 7, del RIA: el Derecho de la Unión sobre protección de datos se aplica a los datos tratados en relación con el RIA, y este no afecta al RGPD, salvo lo que disponen sus arts. 4 bis y 59.
Qué cambia: dónde se cruzan
| Tema | Reglamento de IA | RGPD | Cómo encajan |
|---|---|---|---|
| Evaluaciones de impacto | Evaluación de impacto en derechos fundamentales para ciertos responsables del despliegue (art. 27) | Evaluación de impacto de protección de datos cuando un tratamiento entrañe alto riesgo (art. 35) | Desde el 27.7.2026, la del art. 27 puede hacer referencias cruzadas a la del RGPD o incorporar sus partes (art. 27.4) |
| Información del proveedor | El proveedor de alto riesgo entrega instrucciones de uso (art. 13) | El responsable del tratamiento debe evaluar los riesgos | El responsable del despliegue usa esa información para su evaluación de impacto del RGPD (art. 26.9) |
| Decisiones automatizadas | Supervisión humana en el alto riesgo (art. 14) y derecho a explicación (art. 86) | Derecho a no ser objeto de decisiones solo automatizadas con efectos jurídicos (art. 22) | Se suman: una garantía no sustituye a la otra |
| Datos sensibles para corregir sesgos | Los proveedores de alto riesgo pueden tratarlos excepcionalmente, con condiciones estrictas (art. 4 bis) | Prohibición general del art. 9, con excepciones | El art. 4 bis es una de las dos excepciones del art. 2.7 |
| Reconocimiento de emociones y biometría | Obligación de informar (art. 50.3) | El tratamiento debe cumplir el RGPD | El propio art. 50.3 remite al RGPD |
| Supervisión | Autoridades de vigilancia del mercado; para algunos usos, las autoridades de protección de datos (art. 74.8) | Autoridades de protección de datos | En España, la AEPD supervisa el RGPD; el reparto del RIA depende de una ley pendiente |
Qué cambia, por actor
Responsables del despliegue. Cumplen el RGPD como responsables del tratamiento y el RIA como usuarios del sistema. La evaluación de impacto del RGPD es la base práctica de la del art. 27, si están obligados a hacerla.
Proveedores. Deben diseñar el sistema conforme al RIA (datos, documentación, supervisión humana) y, si tratan datos personales para entrenarlo, cumplir el RGPD como responsables o encargados.
Personas afectadas. Mantienen sus derechos del RGPD (acceso, oposición, art. 22) y suman los del RIA, como la explicación del art. 86 en ciertos sistemas de alto riesgo.
Sanciones
Las multas son independientes y se pueden acumular si se incumplen las dos normas:
| Norma | Multa máxima | Artículo |
|---|---|---|
| RGPD | 20 millones de euros o el 4 % del volumen de negocio anual global | Art. 83, apdo. 5 |
| Reglamento de IA, prácticas prohibidas | 35 millones o el 7 % | Art. 99, apdo. 3 |
| Reglamento de IA, otras obligaciones | 15 millones o el 3 % | Art. 99, apdo. 4 |
Impacto en España
La AEPD ya supervisa el RGPD en cualquier sistema de IA que trate datos personales. Para el RIA, el proyecto de ley que repartía competencias entre AESIA, AEPD y CGPJ caducó el 6 de octubre de 2026. Ver el análisis de la ley española.
Qué hacer ahora
- Identifica los sistemas de IA que tratan datos personales en tu inventario.
- Revisa si necesitan evaluación de impacto del RGPD (art. 35) y mantenla actualizada.
- Pide al proveedor la información del art. 13 si el sistema es de alto riesgo.
- Diseña una sola documentación que sirva para las dos normas: ficha del art. 27.
- Revisa las decisiones automatizadas sobre personas a la luz del art. 22 del RGPD y de la supervisión humana.
Puntos abiertos
- Reparto definitivo de autoridades en España para el RIA.
- Modelo de cuestionario de la Oficina de IA para la evaluación del art. 27, que debe permitir las referencias cruzadas con la del RGPD.
Sigue leyendo
- Ficha normativaObligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
- GuíaReglamento europeo de IA (AI Act): guía completa para empresas en España
- Ficha normativaEvaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo
- Ficha normativaObligaciones de transparencia de la IA (art. 50 del Reglamento de IA): chatbots, contenido sintético y ultrafalsificaciones
- OpiniónSupervisión humana de la IA: por qué «una persona en el bucle» no basta si no puede decir que no
- OpiniónSesgos en la IA: no existe un sistema neutral, existe uno que se mide y se corrige
- Ficha normativaDerechos de las personas afectadas por la IA (arts. 85 a 87 del Reglamento de IA): reclamar y pedir explicaciones
- AnálisisNIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
Todas las piezas de Regulación · Calendario · Glosario · Reglamento artículo a artículo
Fuentes
- [1]Reglamento (UE) 2024/1689, texto consolidado a 27.7.2026 (EUR-Lex)Consultado el 09.10.2026
- [2]Reglamento (UE) 2016/679 (RGPD) (EUR-Lex)Consultado el 09.10.2026
Cómo citar esta página
regulacionia.com (2026). «RGPD y Reglamento de IA: cómo se aplican juntos a un sistema de inteligencia artificial». regulacionia.com, actualizado el 09.10.2026. https://regulacionia.com/regulacion/rgpd-y-reglamento-ia