La protección de datos en el entorno empresarial español lleva años girando en torno al RGPD y la LOPDGDD. Esas dos normas siguen siendo el núcleo de cualquier programa de cumplimiento. Lo que ha cambiado es el perímetro: la entrada en vigor del Reglamento Europeo de Inteligencia Artificial (AI Act), la creación de la AESIA y el proyecto de Ley Orgánica para el buen uso y gobernanza de la IA obligan a replantear la protección de datos cuando intervienen sistemas automatizados.
Gobernanza de IA y protección de datos: la tensión que el RGPD no resuelve solo
El RGPD regula el tratamiento de datos personales, pero no fue diseñado para abordar los riesgos específicos de un sistema de inteligencia artificial que toma o asiste decisiones. El AI Act cubre ese hueco clasificando los sistemas por niveles de riesgo e imponiendo obligaciones de transparencia, supervisión humana y gestión documental.
Lectura complementaria: ¿Cómo fomenta la protección de la propiedad intelectual la inversión en nuevas tecnologías?
El problema práctico aparece cuando una empresa intenta cumplir ambas normas a la vez. Un sistema de IA que filtra candidaturas de empleo, por ejemplo, trata datos personales (RGPD) y opera en un ámbito clasificado como alto riesgo (AI Act). Cumplir el RGPD no garantiza cumplir el AI Act, ni viceversa. Las evaluaciones de impacto exigidas por cada normativa tienen alcances distintos y no siempre coinciden en metodología.
En España, la AESIA es la autoridad designada para supervisar el AI Act, mientras que la AEPD conserva sus competencias en materia de datos personales. Ante un tratamiento de datos realizado por un sistema de IA, ¿quién es el interlocutor principal? Las dos agencias tienen jurisdicción parcial, y los protocolos de coordinación entre ellas todavía están en fase de definición.
Lectura recomendada: Implicaciones legales de la digitalización empresarial
El responsable de IA que las empresas necesitan pero la norma no define del todo
El proyecto de Ley Orgánica para el buen uso y gobernanza de la IA introduce la figura de un responsable o delegado de IA dentro de las organizaciones. La idea es que alguien asuma la supervisión interna de los sistemas desplegados, de forma análoga a lo que hace el Delegado de Protección de Datos (DPO) con el RGPD.
En la práctica, la delimitación de funciones entre el DPO y este nuevo rol genera fricciones. Muchas empresas españolas están asignando ambas funciones a la misma persona, lo que simplifica la estructura organizativa pero diluye la capacidad de supervisión real. Un DPO que también controla la gobernanza de IA acumula una carga técnica y jurídica difícil de sostener sin recursos adicionales.
Para las pymes, el panorama es más incierto. La norma ISO 42001 ofrece una referencia voluntaria de gestión para sistemas de IA, pero su implantación requiere inversión en consultoría y auditoría que muchas empresas pequeñas no pueden asumir.
Brechas de datos causadas por agentes de IA: un riesgo ya materializado en España
En septiembre de 2026, la AEPD registró la primera brecha de datos en España provocada por un ataque ejecutado mediante un agente de inteligencia artificial. No se trató de un caso teórico. Un agente autónomo explotó vulnerabilidades de un sistema empresarial y accedió a datos personales sin intervención humana directa.
Este incidente pone sobre la mesa varias cuestiones que la regulación vigente aborda de forma incompleta:
- La atribución de responsabilidad cuando el ataque lo ejecuta un sistema autónomo, no una persona física identificable.
- La obligación de notificación a la AEPD en las 72 horas siguientes, que se complica cuando la empresa tarda en determinar si el agente de IA actuó desde dentro o desde fuera de su infraestructura.
- La revisión de las medidas de seguridad técnicas y organizativas, que hasta ahora se diseñaban para repeler ataques humanos o malware convencional, no agentes con capacidad de adaptación.
Las evaluaciones de impacto tradicionales no contemplan este tipo de amenaza. Las empresas que despliegan IA internamente necesitan incorporar escenarios de ataque por agentes autónomos en sus análisis de riesgos. Ninguna guía de la AEPD recoge de forma específica esta casuística a día de hoy.
Cookies, píxeles y la AEPD: sanciones que ya afectan a pymes
La AEPD ha intensificado su actividad sancionadora en un frente cotidiano: el incumplimiento de la normativa de cookies y píxeles de seguimiento. Las multas ya no se limitan a grandes corporaciones. Comercios online medianos y pymes han recibido sanciones de varios miles de euros por disparar píxeles antes de obtener el consentimiento del usuario.
Este endurecimiento tiene una lectura práctica directa. Muchas pymes subcontratan la configuración de sus herramientas de analítica y publicidad a agencias externas, y asumen que el cumplimiento está cubierto. La responsabilidad ante la AEPD recae sobre la empresa titular del sitio web, no sobre el proveedor técnico.
Alfabetización en IA: obligación del AI Act que afecta a la protección de datos
El artículo 4 del Reglamento Europeo de IA exige que las empresas que despliegan o utilizan sistemas de inteligencia artificial garanticen un nivel suficiente de alfabetización en IA entre su personal. No se trata de una recomendación: es una obligación legal que ya se aplica.
La formación en IA debe incluir protección de datos como eje transversal. Un empleado que utiliza una herramienta de IA generativa para redactar correos comerciales necesita entender qué datos puede introducir en el sistema y cuáles no. Sin esa formación, el riesgo de tratamientos ilícitos se multiplica.
Los programas de cumplimiento que separan la formación en protección de datos de la formación en IA generan puntos ciegos. Un enfoque integrado resulta más coherente con el marco regulatorio actual. Las sesiones sobre RGPD y LOPDGDD deben abordar también el uso de herramientas de IA en el puesto de trabajo.
- Incluir casos prácticos sobre qué datos personales pueden y no pueden introducirse en herramientas de IA generativa.
- Documentar las herramientas de IA autorizadas por la empresa y sus condiciones de uso.
- Revisar periódicamente los flujos de datos entre sistemas de IA y bases de datos personales.
La protección de datos en España ya no se circunscribe al RGPD y la LOPDGDD. El AI Act, la AESIA y las nuevas figuras de supervisión amplían el perímetro de cumplimiento. Las empresas que traten ambas gobernanzas como compartimentos separados van a encontrarse con solapamientos normativos y lagunas de responsabilidad.