Regulación de IA, datos y privacidad

El Reglamento de IA (Reglamento (UE) 2024/1689, conocido como AI Act) es la normativa europea que regula el desarrollo, comercialización y uso de sistemas de IA. Aplica a proveedores, desplegadores, importadores y distribuidores de sistemas de IA que se comercialicen o utilicen en la UE, con independencia de dónde estén establecidos. Clasifica los sistemas en riesgo inaceptable, alto, limitado y mínimo, con obligaciones proporcionales a cada nivel.

Un sistema es de alto riesgo si figura en los Anexos I y III del AI Act (biometría, infraestructura crítica, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración y justicia) o si es un componente de seguridad de productos regulados. Los sistemas de alto riesgo requieren evaluación de conformidad, documentación técnica, registro en la base de datos de la UE, gobernanza de datos y supervisión humana.

El DPIA (Evaluación de Impacto en Protección de Datos) es un análisis obligatorio del RGPD cuando un tratamiento presenta alto riesgo para los derechos y libertades de las personas, por ejemplo, evaluación sistemática y exhaustiva de aspectos personales, tratamiento a gran escala de datos sensibles o observación sistemática de zonas públicas. Debe documentarse antes del tratamiento y revisarse periódicamente.

El DPO es la figura responsable de velar por el cumplimiento del RGPD dentro de una organización. Es obligatorio cuando se realizan tratamientos a gran escala de datos sensibles, observación sistemática a gran escala o cuando el tratamiento lo realiza una autoridad u organismo público. Ofrecemos el servicio de DPO externo para empresas que necesitan cumplimiento sin un perfil interno.

Son movimientos de datos personales fuera del Espacio Económico Europeo (EEE). Para que sean conformes con el RGPD deben ampararse en un mecanismo adecuado: decisión de adecuación de la Comisión, Cláusulas Contractuales Tipo (SCC), BCR o excepciones específicas. Tras Schrems II, suele requerirse además una evaluación de impacto de transferencia (TIA) y medidas complementarias de seguridad.

El RGPD prevé sanciones administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global del ejercicio anterior, lo que sea mayor. La cuantía depende de la gravedad, intencionalidad y medidas adoptadas. El AI Act prevé sanciones aún más elevadas para sistemas de IA prohibidos (hasta 35 millones de euros o el 7 % del volumen de negocio). Un programa de compliance reduce notablemente el riesgo.

Es el conjunto de derechos de los interesados reconocidos por el RGPD: Acceso, Rectificación, Supresión, Limitación del tratamiento, Portabilidad y Oposición. Los responsables del tratamiento deben habilitar mecanismos para que las personas puedan ejercerlos de forma sencilla y gratuita, y responder en el plazo de un mes.