Saltar al contenido
AI Policy Generator

ENQué me toca

Unión Europea · Reglamento

Reglamento General de Protección de Datos (RGPD)

VigenteRGPD

Resumen

Es hoy la norma con más peso práctico para el uso de IA: casi todo sistema de IA trata datos personales. Exige base legal, información clara, evaluación de impacto en tratamientos de riesgo, contratos con proveedores y garantías frente a decisiones automatizadas. El Tribunal de Justicia de la UE ha reforzado el derecho a entender la lógica de esas decisiones.

A quién se dirige

Toda organización que trata datos personales en la UE o de personas en la UE.

Sanciones

Hasta 20 M€ o el 4 % de la facturación mundial anual, lo que sea mayor.

Nombre oficial
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos)
Referencia oficial
Reglamento (UE) 2016/679, DO L 119 de 4.5.2016; aplicable desde el 25.5.2018
Autoridad
Autoridades nacionales de protección de datos (en España, AEPD) y Comité Europeo de Protección de Datos
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Principios y base legal para tratar datos con IARGPD, arts. 5 y 6; Dictamen 28/2024 del CEPDVigenteYa aplicableSi su uso de IA trata datos personales (clientes, empleados, candidatos, usuarios).Verificado en fuente oficial el 31 de octubre de 2026
Informar y explicar la lógica de las decisiones automatizadasRGPD, arts. 13, 14 y 15(1)(h); STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025VigenteYa aplicableSi trata datos personales con IA, en especial para perfilar o decidir sobre personas.Verificado en fuente oficial el 31 de octubre de 2026
Garantías frente a decisiones solo automatizadasRGPD, arts. 13.2.f), 14.2.g), 15.1.h) y 22; STJUE C-634/21, SCHUFA, 7-dic-2023; STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025VigenteYa aplicableSi la IA decide, o determina en la práctica, decisiones con efectos jurídicos o igualmente importantes sobre personas sin intervención humana real: contratación, crédito, seguros, educación, prestaciones, precios o acceso a servicios. El apoyo al diagnóstico revisado por un profesional no suele ser una decisión solo automatizada.Verificado en fuente oficial el 31 de octubre de 2026
Contrato de encargo con los proveedores de IARGPD, art. 28VigenteYa aplicableSi un proveedor de IA trata datos personales por cuenta de la empresa (lo habitual con IA en la nube).Verificado en fuente oficial el 31 de octubre de 2026
Registro de actividades de tratamiento con el componente de IARGPD, art. 30VigenteYa aplicableSi trata datos personales con IA de forma habitual.Verificado en fuente oficial el 31 de octubre de 2026
Seguridad y notificación de brechasRGPD, arts. 32-34VigenteYa aplicableSi trata datos personales con IA.Verificado en fuente oficial el 31 de octubre de 2026
Evaluación de impacto de protección de datos (EIPD)RGPD, art. 35VigenteYa aplicableSi usa IA para evaluar o decidir sobre personas, monitorizar, usar biometría, entrenar modelos con datos personales o tratar datos sensibles o de menores.Verificado en fuente oficial el 31 de octubre de 2026
Transferencias de datos a proveedores de IA fuera del Espacio Económico EuropeoRGPD, arts. 44-49VigenteYa aplicableSi envía datos personales a proveedores de IA en otros países (por ejemplo, EE. UU.).Verificado en fuente oficial el 31 de octubre de 2026

Principios y base legal para tratar datos con IA

RGPD, arts. 5 y 6; Dictamen 28/2024 del CEPDVigente

Ya aplicable

Cuándo se relaciona
Si su uso de IA trata datos personales (clientes, empleados, candidatos, usuarios).
Qué prevé la norma
  • Definir la finalidad de cada uso de IA y limitar los datos a lo necesario.
  • Elegir una base legal. Si es el interés legítimo, documentar la prueba de tres pasos: interés, necesidad y ponderación.
  • Para entrenar o ajustar modelos con datos propios, evaluar si el modelo resultante sigue conteniendo datos personales.
Evidencias habituales
  • Análisis de interés legítimo o de la base legal elegida.
  • Reglas de minimización y retención de datos.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Informar y explicar la lógica de las decisiones automatizadas

RGPD, arts. 13, 14 y 15(1)(h); STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales con IA, en especial para perfilar o decidir sobre personas.
Qué prevé la norma
  • Incluir en los avisos de privacidad el uso de IA, sus finalidades y, si hay decisiones automatizadas, información útil sobre la lógica aplicada.
  • Ante una solicitud de acceso, explicar el procedimiento y los principios aplicados de forma que la persona entienda qué datos se usaron y cómo. Entregar el algoritmo no basta.
  • El secreto comercial no justifica negar toda la información: debe entregarse a la autoridad o al juez para que pondere.
Evidencias habituales
  • Avisos de privacidad actualizados.
  • Procedimiento y registro de respuestas a solicitudes de acceso.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Sentencia C-203/22 confirmada en el comunicado oficial del TJUE (CURIA).

Garantías frente a decisiones solo automatizadas

RGPD, arts. 13.2.f), 14.2.g), 15.1.h) y 22; STJUE C-634/21, SCHUFA, 7-dic-2023; STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025Vigente

Ya aplicable

Cuándo se relaciona
Si la IA decide, o determina en la práctica, decisiones con efectos jurídicos o igualmente importantes sobre personas sin intervención humana real: contratación, crédito, seguros, educación, prestaciones, precios o acceso a servicios. El apoyo al diagnóstico revisado por un profesional no suele ser una decisión solo automatizada.
Qué prevé la norma
  • Evitar decisiones basadas solo en tratamiento automatizado salvo contrato, ley o consentimiento explícito.
  • Cuando se permitan, ofrecer intervención humana real, la posibilidad de expresar su punto de vista y de impugnar la decisión.
  • Una puntuación de un tercero que determina la decisión también cuenta como decisión automatizada.
  • Informar de la existencia de la decisión automatizada y, a quien lo pida, dar información significativa sobre la lógica aplicada y sus consecuencias. La norma no exige un formato concreto de carta.
Evidencias habituales
  • Procedimiento de revisión humana con plazos y responsables.
  • Registro de decisiones y revisiones.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Contrato de encargo con los proveedores de IA

RGPD, art. 28Vigente

Ya aplicable

Cuándo se relaciona
Si un proveedor de IA trata datos personales por cuenta de la empresa (lo habitual con IA en la nube).
Qué prevé la norma
  • Firmar un contrato de encargo que fije instrucciones, confidencialidad, seguridad, subencargados y devolución o borrado de datos.
  • Prohibir o regular que el proveedor use los datos para entrenar sus modelos.
  • Elegir solo proveedores con garantías suficientes y revisarlos periódicamente.
Evidencias habituales
  • Contratos de encargo firmados.
  • Evaluación de cada proveedor.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Registro de actividades de tratamiento con el componente de IA

RGPD, art. 30Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales con IA de forma habitual.
Qué prevé la norma
  • Añadir al registro cada tratamiento con IA: finalidad, categorías de datos, destinatarios, transferencias, plazos y medidas de seguridad.
  • La exención para menos de 250 empleados no aplica si el tratamiento es habitual, de riesgo o incluye datos sensibles, lo normal con IA.
Evidencias habituales
  • Registro de actividades actualizado.
Documentos de apoyo
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Seguridad y notificación de brechas

RGPD, arts. 32-34Vigente

Ya aplicable

Cuándo se relaciona
Si trata datos personales con IA.
Qué prevé la norma
  • Aplicar medidas de seguridad acordes al riesgo, incluidos riesgos propios de la IA como fugas por instrucciones maliciosas.
  • Notificar a la autoridad en 72 horas las brechas con riesgo y a las personas si el riesgo es alto.
Evidencias habituales
  • Procedimiento de gestión de brechas y registro de incidentes.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Evaluación de impacto de protección de datos (EIPD)

RGPD, art. 35Vigente

Ya aplicable

Cuándo se relaciona
Si usa IA para evaluar o decidir sobre personas, monitorizar, usar biometría, entrenar modelos con datos personales o tratar datos sensibles o de menores.
Qué prevé la norma
  • Hacer la EIPD antes de empezar: descripción, necesidad y proporcionalidad, riesgos y medidas.
  • Consultar a la autoridad si el riesgo residual sigue siendo alto.
  • Revisarla cuando cambie el sistema o el modelo.
Evidencias habituales
  • EIPD firmada, con opinión del delegado de protección de datos si existe.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Transferencias de datos a proveedores de IA fuera del Espacio Económico Europeo

RGPD, arts. 44-49Vigente

Ya aplicable

Cuándo se relaciona
Si envía datos personales a proveedores de IA en otros países (por ejemplo, EE. UU.).
Qué prevé la norma
  • Verificar la base de cada transferencia: decisión de adecuación (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo.
  • Hacer una evaluación de impacto de la transferencia cuando se usen cláusulas tipo.
Evidencias habituales
  • Mapa de transferencias y cláusulas firmadas.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)