RGPD e regulamento de IA: obrigas das empresas

Publicado 2026-08-11· 6 min de lecturaRGPD e IA

A vosa empresa xa ten o RGPD resolto: o rexistro de actividades de tratamento está ao día, tedes feitas as avaliacións de impacto (AIPD) que cumprían e sabedes que base legal ampara cada tratamento persoal. Agora RRHH quere incorporar unha ferramenta de IA para cribar currículos antes da campaña de contratación de tempada, moi habitual nas conserveiras e empresas de transformación de marisco da ría; ou unha peme auxiliar do polo do automóbil de Vigo, provedora da planta de Stellantis, quere probar un sistema de visión artificial para detectar pezas defectuosas antes de envialas. Alguén pregunta se isto abre un proxecto de compliance completamente novo para o Regulamento de IA, formalmente o Regulamento (UE) 2024/1689. A resposta curta é: parcialmente. Boa parte do traballo de RGPD que xa tedes feito é reutilizable directamente, pero o Regulamento de IA engade obrigas que o voso programa actual non cobre, e saber distinguir unhas doutras é o que aforra tempo, diñeiro e sancións.

Dúas normas que miran o mesmo sistema desde ángulos distintos

O RGPD fai unha pregunta concreta: trátanse datos persoais de xeito lícito, leal e para unha finalidade definida. O Regulamento de IA fai outra, máis ampla: este sistema de IA supón un risco para a saúde, a seguridade ou os dereitos fundamentais das persoas, teña ou non datos persoais de por medio. Unha ferramenta de cribado de persoal ou un sistema de control de calidade con cámaras encaixan nas dúas preguntas á vez, e por iso xeran dúbidas: a ferramenta de visión artificial da planta auxiliar pode non tratar apenas datos persoais e, aínda así, quedar suxeita ao Regulamento de IA se está clasificada como alto risco. As dúas normas naceron con obxectos distintos na cabeza e acabaron aterrando sobre os mesmos casos de uso.

Onde o voso traballo de RGPD xa cobre parte do Regulamento de IA

Se xa tedes feita unha AIPD —a avaliación de impacto do artigo 35 do RGPD— para un sistema que trata datos persoais con IA, tedes unha vantaxe real. O artigo 27 do Regulamento de IA esixe, a determinados responsables do despregamento de sistemas de alto risco, unha avaliación de impacto sobre os dereitos fundamentais antes de poñelos en marcha, e o propio artigo 27.4 prevé que esa avaliación complemente unha AIPD xa feita, en lugar de duplicala desde cero. A base fáctica —que fai o sistema, que datos trata, a que persoas afecta— pódese reaproveitar case directamente.

O rexistro de actividades de tratamento cumpre un papel semellante: é un bo inventario de partida para identificar que sistemas tratan datos persoais, pero non foi deseñado para capturar información propia do Regulamento de IA, como se un sistema entra no anexo III como alto risco, que instrucións de uso dá o provedor, ou que medidas de supervisión humana están realmente implementadas. Tratade a documentación de RGPD que xa tedes como materia prima para o traballo do Regulamento de IA, non como unha resposta xa pechada.

Onde o Regulamento de IA vai máis alá do que esixe o RGPD

O artigo 22 do RGPD dá ás persoas o dereito a non ser obxecto dunha decisión baseada unicamente en tratamento automatizado con efectos xurídicos ou similarmente significativos. Moitas empresas dan por pechado este asunto engadindo unha revisión humana e paran aí. Pero o anexo III do Regulamento de IA clasifica sistemas como de alto risco segundo o contexto de uso —selección de persoal, avaliación de solvencia, acceso a servizos esenciais, entre outros— independentemente do grao de automatización da decisión final. Unha ferramenta de cribado de currículos con revisor humano pode superar sen problema a cuestión do artigo 22 e seguir sendo, igualmente, un sistema de alto risco segundo o anexo III, con obrigas propias: xestión de riscos, documentación técnica, rexistro de eventos e un deseño de supervisión humana efectiva, non meramente formal. Ningunha destas obrigas ten equivalente directo no RGPD: é traballo novo, non unha versión reetiquetada de tarefas que xa facedes.

Que custa non distinguir as dúas obrigas

As contías sancionadoras parécense o suficiente como para confundilas, e difiren o suficiente como para que iso importe. O RGPD chega ata 20 millóns de euros ou o 4% da facturación global anual, a cifra que sexa maior. O Regulamento de IA, no seu artigo 99, fixa un teito superior para as infraccións máis graves, as prácticas de IA prohibidas: ata 35 millóns de euros ou o 7% da facturación global. A maior parte do resto de infraccións, incluídas as relativas a sistemas de alto risco, sitúanse nun nivel inferior, ata 15 millóns de euros ou o 3%. O artigo 99.6 prevé límites proporcionais para pemes e startups, pero é un atenuante, non unha exención.

Que revisar antes de dar por feito que xa estades cubertos

Para unha peme galega, o punto de entrada máis práctico adoita ser a guía da Axencia Española de Protección de Datos (AEPD), a autoridade de referencia en materia de RGPD tamén en Galicia: a diferenza de Cataluña, con autoridade propia (APDCAT), ou do País Vasco, con AVPD, Galicia non conta con axencia autonómica de protección de datos para o sector privado, e é a AEPD quen supervisa directamente estes tratamentos. Desde 2020 a AEPD publica orientacións sobre a adecuación ao RGPD de tratamentos que incorporan IA; convén confirmar a versión vixente no seu web antes de citala en calquera documento interno. Iso si, é orientación sobre protección de datos, non unha certificación de alto risco do Regulamento de IA: cobre a parte de datos persoais do voso sistema, non a parte de risco para dereitos fundamentais que o Regulamento de IA regula de xeito autónomo.

Algún sistema de IA que usades toca selección de persoal, crédito, seguros ou outro suposto do anexo III, aínda que haxa revisión humana?
Analizastes o artigo 22 e o anexo III como dúas preguntas separadas para ese sistema, en lugar de dalas por pechadas cun só control humano?
A AIPD que xa tedes contén a base fáctica necesaria para ampliala a unha avaliación de impacto sobre dereitos fundamentais, ou habería que empezar de cero?
Tedes documentación técnica, rexistro de eventos e un deseño de supervisión humana documentado para calquera sistema de alto risco, diferenciado do voso rexistro de actividades de RGPD?
Se o provedor de IA é de fóra da UE, revisastes por separado as regras de transferencias internacionais do capítulo V do RGPD, que o Regulamento de IA non regula?
Consultastes a guía da AEPD sabendo que cobre a vertente de datos persoais pero non substitúe a análise de risco propia do Regulamento de IA?

Todo o exposto é información xeral para orientar, non asesoramento legal para o voso caso concreto. A interacción entre o RGPD e o Regulamento de IA depende dos datos, os casos de uso e os países onde operades, e tanto a guía da AEPD como o despregamento do Regulamento de IA seguen evolucionando. En Komplya distinguimos sempre entre contido revisado legalmente e material aínda en borrador, para que poidades valorar cada peza co peso que lle corresponde.

Seguinte paso

Se o voso programa de RGPD é sólido e non tedes claro ata onde chega realmente cando entra a IA, o paso seguinte máis útil non é reler o regulamento enteiro. Respondede un cuestionario breve sobre os vosos casos de uso concretos e obteredes unha lectura directa de que xa cobre o traballo feito e que falta engadir.