Quen controla o regulamento de IA en Galicia?

Liches unha noticia sobre un expediente que a AESIA abriu a unha empresa que usa intelixencia artificial nun proceso de selección de persoal, ou é un cliente teu quen, dentro dun cuestionario de contratación ou de dilixencia debida, che pregunta cal é o organismo que supervisaría o teu sistema de IA se algún día se puxese en dúbida. As dúas situacións esconden a mesma pregunta de fondo: quen controla realmente o cumprimento do Regulamento de IA en Galicia, e é o mesmo organismo que xa coñeces polo RGPD?

Por que a resposta non é tan clara como co RGPD

Co RGPD, a resposta a «quen me supervisa» leva anos sendo sinxela: para a inmensa maioría de empresas privadas galegas, a Axencia Española de Protección de Datos (AEPD). Co Regulamento (UE) 2024/1689 —o Regulamento de IA— a resposta aínda se está construíndo, non só en Galicia, senón en toda a Unión Europea. O regulamento obriga a cada estado membro a designar autoridades de vixilancia de mercado, e deixa nas mans da lexislación nacional decidir que organismo se encarga de que. España xa deu un paso que a maioría de estados membros aínda non deron: crear unha axencia pública dedicada especificamente á IA. Pero o detalle fino de que competencias exactas ten cada organismo, e como encaixa coas estruturas propias de cada comunidade autónoma, é unha peza que aínda se está axustando.

Quen fai que: AESIA e AEPD (e por que Galicia non ten unha axencia propia)

A Axencia Española de Supervisión de Intelixencia Artificial (AESIA), con sede en León e creada polo Real Decreto 729/2023, é, tal e como o entendemos, a autoridade española de vixilancia de mercado para o Regulamento de IA: o organismo pensado para supervisar o cumprimento dos requisitos do regulamento por parte dos sistemas de IA que operan en España, Galicia incluída. É unha designación relativamente recente e, coma calquera organismo novo, paga a pena verificar o alcance exacto do seu mandato actual —que categorías de sistemas e que artigos do regulamento cobre en concreto— consultando as fontes oficiais da AESIA antes de dar por pechada ningunha conclusión sobre o teu caso particular.

A AEPD, pola súa banda, non desaparece do mapa. Mantén intacta a súa función como autoridade de control do RGPD, e é plausible —aínda que o detalle final dependerá de como se articule a coordinación entre organismos— que conserve un papel relevante para os sistemas de IA que tratan datos persoais, xa que boa parte da IA que usan as empresas (selección de persoal, scoring de clientes, chatbots con datos de usuarios) é, á vez, tratamento de datos persoais suxeito ao RGPD. Se a túa peme xa ten a AEPD como referencia en protección de datos, con toda probabilidade seguirá séndoo no que toca á dimensión de datos persoais dos teus sistemas de IA, aínda que a vixilancia do regulamento de IA como tal recaia na AESIA.

Aquí é onde Galicia ten un mapa máis sinxelo có doutras comunidades. Cataluña conta coa súa propia Autoridade Catalá de Protección de Datos (APDCAT) para o tratamento feito polo sector público catalán, e o País Vasco ten a Axencia Vasca de Protección de Datos (AVPD) cunha función similar. Galicia non ten unha axencia autonómica de protección de datos propia: a AEPD é, de xeito directo, a autoridade de control tanto para o sector privado coma para o sector público galego. Isto non che libra de responsabilidades —máis ben ao contrario, significa que non hai ambigüidade sobre a quen che tocaría render contas—, pero si che aforra unha capa de complexidade: non tes que preguntarte se un determinado tratamento cae baixo unha autoridade estatal ou baixo unha autonómica, coma pasaría se operases desde Barcelona ou Bilbao. Se es empresa privada en Galicia, o teu supervisor de protección de datos é a AEPD, sen máis voltas. E se traballas como provedor dun concello, da Xunta de Galicia ou doutro ente público galego, tamén é a AEPD quen ten a última palabra en materia de datos persoais, sen unha segunda capa autonómica que consultar.

Que custa equivocarse

A incerteza sobre que organismo te inspeccionará non reduce o importe da multa se incumpres o regulamento. O artigo 99 do Regulamento de IA fixa sancións de ata 35 millóns de euros ou o 7% da facturación global anual do exercicio anterior, a cifra que sexa maior, para prácticas de IA prohibidas. O resto de incumprimentos graves, coma os relacionados coas obrigas dos sistemas de alto risco, poden chegar ata 15 millóns de euros ou o 3% da facturación global. O artigo 99(6) prevé topes proporcionalmente máis baixos para pemes e startups, algo que si importa para a maioría dos negocios galegos que len isto, pero un tope reducido sobre unha exposición de millóns de euros segue sendo unha cifra seria para unha empresa pequena. E iso sen contar que o RGPD ten o seu propio réxime sancionador independente, que a AEPD pode aplicar en paralelo cando hai tratamento de datos persoais de por medio.

Se traballas no sector do mar, no téxtil vencellado a Inditex arredor de Arteixo ou na cadea do automóbil en Vigo, xa tratamos con máis detalle nas nosas guías sobre Galicia por que estes sectores están especialmente expostos ao uso de IA; abonda con dicir aquí que non fai falta ser unha gran corporación para que un uso concreto —selección de provedores, control de calidade, xestión de persoal— active estas contías.

Lista de verificación: como valorar a túa exposición hoxe mesmo

Non fai falta esperar a que o mapa institucional remate de encaixar para poñer orde na túa empresa. Estas son as preguntas que paga a pena responder agora:

• Sabes identificar, en cinco minutos, todos os sistemas de IA que usa a túa empresa e cales deles tratan datos persoais?
• Comprobaches se algún destes sistemas entra nas categorías de alto risco do anexo III do regulamento, por exemplo selección de persoal, avaliación crediticia ou scoring de clientes?
• Tes documentación básica preparada para os teus casos de uso de IA de maior risco —finalidade, datos utilizados, supervisión humana— en vez de esperar a que un regulador cha pida primeiro?
• Asignaches unha persoa responsable de seguir as publicacións da AESIA e da AEPD sobre a aplicación do regulamento, para que non quede en mans de quen atope a noticia por casualidade?
• A documentación que xa tes do RGPD serviría de base se algunha vez cha pedisen nunha inspección relacionada coa IA, ou queda curta no detalle específico que esixe o regulamento?
• Se es provedor dun concello, da Xunta de Galicia ou doutro ente público galego, sabes que datos persoais trata o sistema de IA que lles fornecedes, aínda que a supervisión recaia sempre na AEPD e non nunha axencia autonómica propia?

Información xeral, non asesoramento legal: este artigo quere orientarte sobre un tema —o reparto exacto de competencias entre a AESIA e a AEPD— que aínda se está asentando, e sobre o que intentamos ser explícitos respecto ao que non está confirmado. Non substitúe o asesoramento legal para o teu caso concreto. En Komplya distinguimos o contido revisado contra fontes primarias do material que aínda está en borrador, para que poidas valoralo co peso que corresponde.

O mapa institucional acabará de encaixar nos próximos meses, a medida que a AESIA publique máis guías e se clarifique a coordinación coa AEPD. Iso non depende de ti. O que si depende de ti é saber, hoxe, cales dos teus sistemas de IA chamarían a atención se chamase á porta a AESIA ou a AEPD. Un cuestionario breve sobre os teus casos de uso reais de IA dáche unha lectura clara, en linguaxe sinxela, de onde é probable que teñas máis exposición, para que non comeces de cero cando o mapa quede definitivamente pechado.