¿Necesitas base jurídica para usar IA con datos de clientes?
Sí, en prácticamente todos los casos en que datos personales alimentan un sistema de IA. El artículo 6 del RGPD exige una de seis bases legítimas antes de poder tratar datos personales, y para casos de uso de IA las opciones realistas suelen ser más estrechas de lo que los equipos asumen:
- Consentimiento — válido solo si es libre, específico y tan fácil de retirar como de dar. Una casilla premarcada o un aviso "al usar este sitio aceptas" no cumple.
- Necesidad contractual — el tratamiento con IA tiene que ser genuinamente necesario para prestar lo que el cliente contrató, no solo conveniente para ti.
- Interés legítimo — exige un test de ponderación documentado que sopese tu interés frente a los derechos del individuo, y se vuelve más difícil de justificar cuanto más consecuente sea la decisión de la IA.
Si los datos incluyen categorías especiales — salud, datos biométricos, opinión política y similares según el artículo 9 — el listón sube más, y la mayoría de casos de uso de IA necesitarán consentimiento explícito o una excepción legal estrecha.
Los dos derechos que más chocan con proyectos de IA
De todo el RGPD, dos artículos son los que con más frecuencia obligan a rediseñar un proyecto de IA a mitad de camino:
- Artículo 22 — decisiones automatizadas. Ninguna persona puede ser objeto de una decisión basada únicamente en tratamiento automatizado, incluido el perfilado, que produzca efectos jurídicos o le afecte significativamente — salvo excepción aplicable, y aun así puede exigir revisión humana.
- Artículo 35 — DPIA. Obligatoria cuando el tratamiento pueda entrañar un alto riesgo para los derechos de las personas — lo que cubre la mayoría de perfilado a gran escala, monitorización sistemática y decisiones automatizadas con efectos significativos.
El RGPD no desaparece porque exista el AI Act — se aplican en paralelo y responden preguntas distintas. El AI Act pregunta si el sistema de IA en sí es seguro y está documentado; el RGPD pregunta si los datos personales que circulan por ese sistema se tratan de forma lícita, sin importar lo bien construido que esté el sistema.
Dónde esto se vuelve específico de cada país
El RGPD es de aplicación en toda la UE, pero la supervisión corre a cargo de la autoridad de cada país, y algunas — como la AEPD en España — han publicado guías específicas sobre IA que van más allá del texto literal del reglamento, sobre todo en torno a la IA agéntica y autónoma. Si operas en España, cómo regula la AEPD la IA autónoma explica qué significa esto en la práctica.
Preguntas frecuentes
¿Necesito base jurídica del RGPD para usar IA con datos de clientes?
Sí, en prácticamente todos los casos en que datos personales alimentan un sistema de IA. El artículo 6 del RGPD exige una base legítima antes de tratar datos personales: consentimiento, necesidad contractual, obligación legal o interés legítimo son las más habituales en casos de uso de IA, y cuál aplica cambia lo que le debes al titular de los datos.
¿El AI Act sustituye al RGPD?
No. Son reglamentos distintos que se aplican en paralelo. El AI Act es una normativa de seguridad de producto centrada en el propio sistema de IA — su nivel de riesgo, documentación, supervisión. El RGPD regula los datos personales que ese sistema trata, sin importar lo bien construido que esté. Un sistema totalmente conforme con el AI Act puede seguir incumpliendo el RGPD si carece de base jurídica para los datos que usa.
¿Cuándo necesita un sistema de IA una DPIA?
El artículo 35 del RGPD exige una Evaluación de Impacto de Protección de Datos cuando el tratamiento "entrañe un alto riesgo para los derechos y libertades de las personas físicas" — lo que, según la propia guía del CEPD, incluye habitualmente decisiones automatizadas con efectos jurídicos o significativos, perfilado a gran escala y monitorización sistemática. La mayoría de sistemas de IA de alto riesgo del AI Act cumplen este umbral automáticamente.
¿Puede un cliente oponerse a una decisión tomada por IA sobre él?
Según el artículo 22 del RGPD, toda persona tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente — con excepciones por necesidad contractual, autorización legal o consentimiento explícito, cada una de las cuales exige igualmente garantías como el derecho a obtener revisión humana.