AI Act vs RGPD: tabla comparativa
Comparativa detallada entre el Reglamento Europeo de IA (AI Act) y el RGPD/GDPR: ámbito, obligaciones, sanciones, autoridades y puntos de intersección. Referencia para cumplimiento dual.
Te ayudamos a cumplir simultáneamente con el AI Act y el RGPD para tus sistemas de IA.
El Reglamento Europeo de IA (AI Act) y el Reglamento General de Protección de Datos (RGPD) son las dos normativas europeas que más afectan a las empresas tecnológicas. Aunque regulan objetos distintos (sistemas de IA vs datos personales), sus ámbitos se solapan significativamente: la mayoría de sistemas de IA procesan datos personales, y el RGPD regula ese tratamiento.
Esta tabla compara ambas normativas en los aspectos clave para facilitar el cumplimiento dual de tu empresa.
| Aspecto | AI Act (Reglamento (UE) 2024/1689) | RGPD (Reglamento (UE) 2016/679) |
|---|---|---|
| Ámbito de aplicación | Sistemas de inteligencia artificial colocados en el mercado o puestos en servicio en la UE, independientemente del establecimiento del proveedor | Tratamiento de datos personales de personas físicas dentro del Espacio Económico Europeo, independientemente de dónde se realice el tratamiento |
| Base jurídica | Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 | Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 |
| Objeto de regulación | Sistemas, modelos y prácticas de IA (producto) | Datos personales de personas físicas (derechos fundamentales) |
| Enfoque regulatorio | Basado en riesgos (prohibido → alto riesgo → transparencia limitada → riesgo mínimo) | Basado en derechos (consentimiento, legitimación, minimización, derechos ARSULIPO) |
| Sujetos obligados | Proveedores, usuarios (deployers), importadores, distribuidores, representantes autorizados | Responsables del tratamiento, encargados del tratamiento, representantes |
| Obligaciones principales | Evaluación de conformidad, documentación técnica, registro en base de datos UE, supervisión humana, notificación de incidentes graves | Consentimiento/base legítima, evaluación de impacto (EIPD), registro de actividades, designación de DPD, notificación de brechas en 72h |
| Sanciones máximas | Hasta 35 millones de € o 7% de la facturación global anual (lo que sea mayor) para prácticas prohibidas | Hasta 20 millones de € o 4% de la facturación global anual (lo que sea mayor) para infracciones graves |
| Autoridad competente | Autoridades nacionales designadas por cada Estado miembro + Oficina Europea de IA (coordinación) | Autoridades de protección de datos de cada Estado miembro + Comité Europeo de Protección de Datos (CEPD) |
| Aplicabilidad temporal | Entrada en vigor: 2 de agosto de 2024. Aplicación escalonada (según el AI Omnibus de 2026): prohibiciones (feb. 2025), GPAI (ago. 2025), aplicación general (ago. 2026), alto riesgo Anexo III (dic. 2027), alto riesgo Anexo I (ago. 2028) | Aplicable desde 25 de mayo de 2018 |
| Derechos de las personas | Derecho a explicabilidad de decisiones de alto riesgo, derecho a no ser sometido a prácticas prohibidas, derecho a reclamar ante autoridades | Derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad, oposición), derecho a no ser objeto de decisiones automatizadas |
| Relación con datos | Exige gobernanza y calidad de datos de entrenamiento (Art. 10) para sistemas de alto riesgo; no regula datos personales directamente | Regula el tratamiento de datos personales, incluyendo los utilizados para entrenar sistemas de IA |
| Evaluación de impacto | Evaluación de conformidad ex ante (antes de comercialización) para sistemas de alto riesgo | Evaluación de impacto de protección de datos (EIPD) ex ante cuando el tratamiento implica alto riesgo para derechos y libertades |
| Transparencia | Obligación de informar a los usuarios de que interactúan con IA (Art. 50), marca de identificación en deep fakes | Obligación de información al interesado (Art. 13-14), derecho a ser informado sobre decisiones automatizadas (Art. 22) |
| Función del representante | Representante autorizado en la UE para proveedores no establecidos en la UE (Art. 25) | Representante en la UE para responsables/encargados no establecidos en la UE (Art. 27) |
Puntos clave de intersección
1. Datos de entrenamiento y protección de datos
El AI Act exige calidad y gobernanza de datos de entrenamiento (Art. 10), pero no regula directamente el tratamiento de datos personales. Sin embargo, cuando los datos de entrenamiento contienen datos personales, el RGPD se aplica plenamente: necesitas una base legítima para su tratamiento, cumplir con el principio de minimización y, en su caso, realizar una evaluación de impacto (EIPD). El cumplimiento del AI Act no exime del cumplimiento del RGPD.
2. Decisiones automatizadas y explicabilidad
El RGPD otorga el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado (Art. 22) y el derecho a obtener explicación de las decisiones. El AI Act refuerza este enfoque exigiendo supervisión humana y transparencia en los sistemas de alto riesgo. Ambas normativas convergen en la exigencia de explicabilidad.
3. Evaluaciones de impacto: EIPD y evaluación de conformidad
La EIPD del RGPD y la evaluación de conformidad del AI Act son procesos distintos pero complementarios. La EIPD evalúa el impacto en los derechos y libertades de los interesados; la evaluación de conformidad evalúa el cumplimiento de los requisitos técnicos del sistema. Para sistemas de IA de alto riesgo que procesan datos personales, ambas evaluaciones son necesarias y pueden integrarse en un proceso unificado.
4. Representante en la UE para empresas no europeas
Ambas normativas exigen la designación de un representante en la UE para empresas no establecidas en la Unión. El AI Act requiere un representante autorizado (Art. 25) cuando el proveedor del sistema de IA no está establecido en la UE. El RGPD requiere un representante (Art. 27) cuando el responsable del tratamiento no está establecido en la UE pero ofrece bienes o servicios a interesados en la UE. Conoce nuestro servicio de representación para empresas no europeas.
5. Sanciones acumulativas
Las infracciones del AI Act y del RGPD se sancionan de forma independiente. Una empresa que incumpla ambas normativas puede enfrentarse a multas acumulativas de hasta 55 millones de € o 11% de su facturación global anual. Esto subraya la importancia de un enfoque de cumplimiento integrado.
¿Necesitas cumplimiento dual AI Act + RGPD?
Evaluamos tu sistema de IA para cumplir simultáneamente con ambas normativas, integrando evaluaciones de impacto, documentación técnica y medidas de gobernanza de datos.
Solicitar evaluación →