Reglamento de IA vs RGPD
Cómo convive la regulación específica de la IA de la UE con su marco básico de protección de datos
Comparativa rápida
Visión comparada de las principales dimensiones regulatorias
| Dimensión | Reglamento de IA | RGPD |
|---|---|---|
| Enfoque principal | Regular el desarrollo, el despliegue y el uso de sistemas de inteligencia artificial según su nivel de riesgo | Proteger el derecho fundamental a la protección de datos personales y regular su tratamiento |
| Alcance | Proveedores, responsables del despliegue, importadores y distribuidores de sistemas de IA introducidos en el mercado de la UE o que afectan a personas en la UE, estén donde estén establecidos | Cualquier organización que trate datos personales de personas en la UE, esté donde esté |
| Enfoque de riesgo | Clasificación de riesgo en cuatro niveles: inaceptable (prohibido), alto riesgo (requisitos estrictos), riesgo limitado (transparencia) y riesgo mínimo (códigos voluntarios) | Enfoque basado en el riesgo: evaluaciones de impacto relativas a la protección de datos (EIPD) para los tratamientos de alto riesgo, con los principios de minimización de datos y limitación de la finalidad |
| Transparencia | Transparencia específica de la IA: hay que informar a las personas cuando interactúan con un sistema de IA, etiquetar las ultrasuplantaciones (deepfakes) y documentar en detalle los sistemas de alto riesgo | Transparencia del tratamiento: avisos de privacidad claros, información sobre la base jurídica y sobre las decisiones automatizadas, incluida su lógica, su importancia y sus consecuencias |
| Derechos de las personas | Derecho a una explicación de las decisiones de IA de alto riesgo que afecten a sus derechos, derecho a reclamar ante las autoridades de vigilancia del mercado y protección frente a las prácticas de IA prohibidas | Derechos completos del interesado: acceso, rectificación, supresión, portabilidad, oposición, limitación del tratamiento y derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos |
| Funciones de gobernanza | No exige una figura concreta, pero sí sistemas de gestión de la calidad, evaluaciones de la conformidad y vigilancia poscomercialización para la IA de alto riesgo | Delegado de protección de datos (DPD) obligatorio para las autoridades públicas y para las organizaciones que observan de forma sistemática a gran escala o tratan datos sensibles a gran escala |
| Sanciones | Prácticas de IA prohibidas: hasta 35 millones de euros o el 7% del volumen de negocios anual mundial; infracciones de alto riesgo: hasta 15 millones de euros o el 3%; información incorrecta a las autoridades: hasta 7,5 millones de euros o el 1% | Hasta 20 millones de euros o el 4% del volumen de negocios anual mundial por las infracciones más graves; hasta 10 millones de euros o el 2% por las menos graves |
| Calendario de aplicación | Escalonado: prácticas prohibidas desde febrero de 2025, normas para la IA de uso general desde agosto de 2025, aplicación general desde agosto de 2026 y obligaciones de alto riesgo desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I), según el Reglamento (UE) 2026/1744 | Aplicable desde el 25 de mayo de 2018, con una práctica sancionadora asentada y abundante jurisprudencia |
Diferencias clave
Lo que distingue a estas normativas
- Reglamento de IA
El Reglamento de IA regula una tecnología; el RGPD regula el tratamiento de datos
El Reglamento de IA se centra en el propio sistema de IA (su diseño, desarrollo y despliegue), haya o no datos personales. El RGPD se aplica siempre que se traten datos personales, se use o no IA. Un sistema de IA que solo trata datos no personales está sujeto al Reglamento de IA, pero no al RGPD.
- RGPD
El RGPD da a las personas amplios derechos sobre sus datos
El RGPD reconoce a los interesados derechos amplios, como el acceso, la supresión (el «derecho al olvido»), la portabilidad y la oposición. El Reglamento de IA concede derechos más limitados, centrados en la transparencia y la explicación de las decisiones de IA de alto riesgo, no en el control de los datos personales.
- Reglamento de IA
El Reglamento de IA sigue un modelo de seguridad de producto
El Reglamento de IA toma su modelo del derecho de seguridad de los productos de la UE: clasifica los sistemas de IA por niveles de riesgo, con evaluaciones de la conformidad, marcado CE y vigilancia del mercado. Es un enfoque muy distinto del RGPD, basado en principios, bases jurídicas, consentimiento y responsabilidad proactiva.
- RGPD
El RGPD tiene una aplicación madura y jurisprudencia asentada
Desde 2018, el RGPD ha dado lugar a miles de millones de euros en multas y a una amplia jurisprudencia. El Reglamento de IA aún se está aplicando por fases y apenas tiene práctica sancionadora, lo que deja a las organizaciones con menos certeza sobre lo que esperarán los supervisores.
- Reglamento de IA
El Reglamento de IA fija uno de los techos de multa más altos de la regulación digital de la UE
Con hasta 35 millones de euros o el 7% del volumen de negocios mundial por prácticas de IA prohibidas, el nivel máximo del Reglamento de IA supera con claridad el del RGPD, de 20 millones de euros o el 4%. Muestra que la UE trata los usos más peligrosos de la IA como una amenaza seria para los derechos fundamentales y la seguridad.
Dónde se solapan
Ámbitos en los que ambas normativas coinciden
- Ambos regulan las decisiones automatizadas: el artículo 22 del RGPD cubre las decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos, y el Reglamento de IA regula los sistemas de IA que las toman
- Ambos exigen transparencia sobre cómo funcionan los sistemas automatizados y cómo afectan a las personas, desde ángulos distintos (tratamiento de datos frente a comportamiento del sistema de IA)
- Ambos exigen evaluaciones de impacto: el Reglamento de IA pide a determinados responsables del despliegue de IA de alto riesgo una evaluación de impacto en los derechos fundamentales, y el RGPD exige una EIPD para los tratamientos de alto riesgo
- Ambos exigen a las organizaciones una gobernanza adecuada y mecanismos internos de rendición de cuentas
- Ambos se aplican a organizaciones de fuera de la UE que afectan a personas en la UE
¿Cuál se aplica a tu caso?
Escenarios habituales y qué normativa prevalece
Desarrollas un sistema de IA que trata datos personales (por ejemplo, un cribado de currículos con IA)
Se aplican los dos a la vez. El Reglamento de IA considera de alto riesgo la IA usada en selección de personal, lo que exige evaluaciones de la conformidad y documentación técnica. El RGPD exige una base jurídica para tratar los datos de los candidatos, una EIPD y garantías para las decisiones automatizadas. Integra ambos desde la fase de diseño.
Despliegas un chatbot de atención al cliente en tu web
Por el Reglamento de IA, debes informar a los usuarios de que hablan con un sistema de IA (obligación de transparencia). Por el RGPD, si el chatbot recoge o trata datos personales en las conversaciones, necesitas una base jurídica, un aviso de privacidad y una política de conservación.
Construyes un sistema de IA que solo analiza datos anonimizados de sensores industriales
El Reglamento de IA se aplica según el nivel de riesgo del sistema, sean cuales sean los datos. El RGPD no se aplica si los datos están realmente anonimizados (no solo seudonimizados). Céntrate en el Reglamento de IA, sobre todo si el sistema entra en una categoría de alto riesgo.
Tratas datos personales con software convencional (sin IA)
Solo se aplica el RGPD. El Reglamento de IA cubre los sistemas de IA, no el software convencional de tratamiento de datos. Asegúrate de tener bases jurídicas para el tratamiento, una seguridad adecuada y un proceso para atender los derechos de los interesados.
Preguntas frecuentes
Preguntas habituales sobre estas normativas
Lee las guías completas
Más comparativas
Gestiona el Reglamento de IA y el RGPD en un solo lugar
Los sistemas de IA que tratan datos personales responden ante ambos marcos. Reversa lleva las dos series de obligaciones a los mismos controles y al mismo equipo.
- 01Reunión inicial
- 02Demostración sobre tu caso
- 03Despliegue en semanas