Decir que utilizas IA no basta

Una empresa utiliza dos herramientas basadas en inteligencia artificial. La primera es un chatbot en su página web que responde preguntas y recoge, cuando resulta necesario, datos sobre posibles clientes interesados. La segunda analiza CV, asigna puntuaciones y ordena candidaturas para ayudar al equipo de recursos humanos a decidir quién continúa en un proceso de selección.

Tanto el AI Act como el RGPD imponen deberes de transparencia dentro de sus respectivos ámbitos que tienden a confluir. En la práctica suelen surgir varias dudas: ¿basta con informar de que interviene un sistema de IA en el proceso? Si cumplo el deber de información que impone la normativa de protección de datos, ¿estoy a salvo? Si tengo la obligación de informar, ¿qué información debo facilitar?

1. El AI Act no sustituye al RGPD

El Reglamento de Inteligencia Artificial no desplaza la normativa de protección de datos, aunque ambas regulaciones estén estrechamente relacionadas. De hecho, el Considerando 10 del AI Act y su artículo 2.7 enfatizan este hecho, dejando claro que estas normativas no se sustituyen, sino que se complementan. Por tanto, el cumplimiento del AI Act no impide las obligaciones del responsable o del encargado del tratamiento ni reduce los derechos reconocidos por el RGPD.

Dicho esto, la convivencia de ambas normas no implica que el análisis deba realizarse en paralelo. El RGPD se activa cuando existe tratamiento de datos personales. El AI Act aplica en función del sistema, su finalidad, el actor implicado y la categoría de riesgo.

En este artículo explicaré la transparencia del AI Act y del RGPD, cuándo corresponde aplicar cada una y cómo hacerlo. Para ello, analizaremos los trabajos normativos y criterios interpretativos existentes y retomaremos los dos ejemplos iniciales para mostrar de manera práctica cómo afrontar estas obligaciones por parte de las empresas.

2. Qué exige la transparencia en el RGPD

2.1. Deber de transparencia: de los artículos 5 y 12 al contenido de los artículos 13 y 14

El artículo 5.1.a) del RGPD sitúa la transparencia junto a la licitud y la lealtad como principio del tratamiento. El artículo 12 convierte ese principio en una exigencia comunicativa: la información debe facilitarse de forma concisa, transparente, inteligible y fácilmente accesible, con un lenguaje claro y sencillo. No basta con que la información exista en algún documento jurídico; debe poder encontrarse y comprenderse en el contexto en el que se recaban o utilizan los datos.

Las Directrices sobre transparencia del antiguo Grupo de Trabajo del Artículo 29, asumidas por el Comité Europeo de Protección de Datos, insisten en una aproximación centrada en la persona. Una información técnicamente completa puede ser insuficiente si está escondida, llega demasiado tarde o utiliza una terminología que el destinatario razonable no puede entender.

Cuando los datos se obtienen directamente de la persona, el artículo 13 exige informar, entre otros extremos, de la identidad del responsable, las finalidades, la base jurídica, los destinatarios, los plazos de conservación y los derechos. Si los datos proceden de otra fuente, entra en juego el artículo 14, que añade información sobre las categorías de datos y su procedencia.

La transparencia suele organizarse por capas. Un primer aviso, visible en el punto de recogida o de uso, debe comunicar lo esencial y permitir acceder de forma inmediata a una explicación más completa. Esta técnica evita convertir la primera pantalla en un muro de texto sin degradar el contenido obligatorio. En concreto, la Guía para el cumplimiento del deber de informar de la AEPD recoge la siguiente tabla, en la que se indica qué información debe proporcionarse en la primera capa y cuál en la segunda.

2.2. Decisiones automatizadas: el artículo 22 no está solo

El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o afecte significativamente de modo similar, salvo las excepciones previstas por la propia norma. Esta previsión se encuentra muy relacionada en la práctica con el uso de sistemas de IA, ya que esta tecnología facilita la aparición de este tipo de decisiones.

Derivado de este derecho, se prevé la obligación de informar de que se está siendo objeto de una de estas decisiones. Esta obligación aparece en los artículos 13.2.f), 14.2.g) y 15.1.h): debe comunicarse la existencia de decisiones automatizadas, incluida la elaboración de perfiles, y facilitarse información significativa sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas para la persona. A su vez, cuando resulta aplicable el artículo 22, el apartado 3 añade garantías como obtener intervención humana, expresar el propio punto de vista e impugnar la decisión.

La clave al aplicar el artículo 22 del RGPD es no identificar cualquier uso de un algoritmo con una decisión exclusivamente automatizada. Si un profesional revisa realmente la recomendación, dispone de autoridad y realiza una valoración sustantiva, puede quedar fuera del artículo 22. Dicho esto, una validación rutinaria, sin capacidad ni criterio para apartarse del resultado, no debería presentarse como intervención humana significativa.

Además, la explicación no puede reducirse a entregar código o fórmulas. En el asunto C-203/22, Dun & Bradstreet Austria, el Tribunal de Justicia subrayó que la información debe permitir a la persona comprender el procedimiento y ejercer sus derechos. En sistemas de puntuación, una explicación útil debe revelar los factores relevantes y su influencia de forma comprensible, sin convertir la protección de secretos empresariales en una negativa automática a informar.

3. Las obligaciones de transparencia del AI Act

El AI Act no contiene un único deber general de información equivalente a los artículos 13 y 14 del RGPD. Si bien es cierto que gran parte de estas obligaciones de transparencia se recogen en el artículo 50 del Reglamento para los conocidos sistemas de IA de riesgo limitado, el AI Act distribuye más obligaciones de transparencia según el actor, la categoría de sistema y la persona destinataria.

3.1. Artículo 13: del proveedor al responsable del despliegue

Este artículo impone obligaciones a los proveedores de sistemas de IA de alto riesgo. Su fin es garantizar que se diseñen con un grado de transparencia suficiente para que quien los despliega interprete sus resultados y los utilice adecuadamente. Para ello, el proveedor debe acompañarlos de instrucciones claras, completas, correctas, accesibles y comprensibles. Entre otros aspectos, esas instrucciones deben cubrir sus características, capacidades y limitaciones, el nivel de precisión, los riesgos conocidos, las medidas de supervisión humana y la conservación e interpretación de los registros.

3.2. Artículo 26.7: información en el ámbito laboral

El artículo 26 del AI Act establece un conjunto de obligaciones para los responsables del despliegue de sistemas de IA de alto riesgo. En concreto, el apartado 7 recoge que cuando el responsable del despliegue sea un empleador deberá informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo. Este apartado protege a quienes ya tienen la condición de trabajadores.

3.3. Artículo 26.11: IA de alto riesgo que decide o ayuda a decidir

El apartado 11 del artículo 26 indica que quienes desplieguen sistemas de alto riesgo del anexo III que adopten decisiones sobre personas físicas o ayuden a adoptarlas deberán informar a las personas afectadas de que están sujetas al uso de ese sistema. Este deber parece similar al que impone el artículo 22 del RGPD, pero su alcance no coincide. El artículo 26.11 del AI Act solo cubre los supuestos en los que se emplea un sistema de IA de alto riesgo; el artículo 22 del RGPD abarca cualquier decisión automatizada relevante, independientemente de la tecnología utilizada. Además, el artículo 26.11 se activa cuando estos sistemas toman decisiones o ayudan a tomarlas, mientras que el artículo 22 del RGPD exige que la decisión sea totalmente automatizada.

3.4. Artículo 50: deberes de transparencia en determinados supuestos

El artículo 50 del AI Act establece obligaciones de transparencia para proveedores y responsables del despliegue en determinados casos de uso. La siguiente infografía resume los cuatro supuestos y diferencia quién debe informar y cómo hacerlo.

La información debe ser clara y distinguible, respetar los requisitos de accesibilidad y facilitarse, como tarde, en el momento de la primera interacción o exposición. El artículo 50.6 añade una precisión esencial: estas obligaciones se aplican sin perjuicio de otras exigencias de transparencia.

3.5. Artículo 86: derecho a una explicación

En determinados casos, la persona afectada por una decisión adoptada por quien despliega un sistema de alto riesgo del anexo III puede obtener explicaciones claras y significativas sobre el papel del sistema en el procedimiento y los principales elementos de la decisión. El derecho exige que la decisión produzca efectos jurídicos o afecte significativamente de forma que la persona considere perjudicial para su salud, seguridad o derechos fundamentales.

Este derecho tampoco debe confundirse automáticamente con el artículo 22 del RGPD, ya que solo aplica a los supuestos en los que intervenga un sistema de IA de alto riesgo, independientemente de si ha habido intervención humana significativa. Además, mientras que una decisión automatizada del artículo 22 del RGPD activa deberes de transparencia de acuerdo con los artículos 13, 14 y 15, el artículo 86 del AI Act se configura como un derecho de los afectados exigible después de que la decisión se haya producido.

El apartado 3 atribuye a este derecho un carácter subsidiario: se aplica en la medida en que no esté ya previsto por otra norma de la Unión. Esto implica que, en los supuestos en los que exista una decisión automatizada llevada a cabo por un sistema de IA de alto riesgo, el derecho de explicación del artículo 86 podrá verse satisfecho mediante el cumplimiento de los deberes de transparencia que activa el artículo 22 del RGPD.

4. Transparencia: la misma palabra, funciones distintas

La comparación muestra por qué una sola cláusula genérica suele quedarse corta.

5. Aplicación al chatbot

En el primer supuesto, el artículo 50.1 del AI Act apunta al inicio de la experiencia. Antes o en el momento de la primera interacción, el usuario debe reconocer que conversa con un sistema de IA, salvo que esa circunstancia resulte evidente en el contexto. Ese aviso debe ser visible y comprensible.

A su vez, si el chatbot recoge o genera datos vinculados a una persona (por ejemplo, datos de contacto, el contenido de una incidencia o identificadores técnicos) debe activarse también la información del artículo 13 del RGPD. El responsable tendrá que explicar las finalidades, la base jurídica, los destinatarios, la conservación, los derechos y cualquier otro elemento aplicable para cada tratamiento, conforme a lo que se ha explicado en el apartado 2.1 de este artículo.

Una implementación razonable puede funcionar en dos capas. La capa inmediata debería incluir:

• Un primer mensaje indicando que se interactúa con una IA: “Soy un asistente virtual basado en IA”.
• Junto al aviso, un mensaje informativo sobre el tratamiento de los datos que introduzca el usuario: “Empresa X tratará los datos que incluyas y, cuando proceda, los datos técnicos asociados para responder a tu consulta mediante este asistente”.
• Un enlace de remisión a la información del tratamiento en una segunda capa.

La capa ampliada sobre el tratamiento de datos puede estructurarse de varias maneras. Se recomienda incluir:

• Un primer apartado con la información esencial del tratamiento que la AEPD sitúa en la primera capa.
• Un segundo apartado con la información ampliada relativa a responsable, finalidades diferenciadas, base jurídica, datos tratados, destinatarios o proveedores, transferencias, conservación, ejercicio de derechos y explicación de cualquier uso adicional de la conversación.

La AEPD permite que, si por restricciones del diseño no fuese factible incluir la primera capa directamente en el chatbot, se incorpore una nota o llamada en el campo de visión que indique dónde se sitúa la información sobre protección de datos. La fórmula propuesta resulta práctica atendiendo a las condiciones y al formato del chatbot.

En cuanto al momento de la información, el aviso de sistema de IA tiene que ser anterior a cualquier interacción con el chatbot. Por otro lado, si se acredita que el usuario actúa de forma anónima hasta que se introducen datos, no sería necesario incluir desde el inicio el aviso sobre el tratamiento ni el enlace a la información completa. Podría programarse que, en el momento de la recogida de datos, el chatbot derivase a los usuarios a un formulario web con la primera capa de información y un enlace a la segunda. No obstante, en este caso se ha previsto que los datos puedan introducirse en el chatbot en cualquier momento de la conversación. Por ello, un mensaje inicial como el descrito es la mejor forma de afrontar el deber de transparencia del RGPD.

6. Aplicación al sistema de cribado de candidaturas

La empresa deberá informar conforme al artículo 13 del RGPD si obtiene el currículo directamente o conforme al artículo 14 si los datos proceden de otra fuente. Esa información debería explicar de forma específica que se utiliza una herramienta IA para analizar, puntuar o priorizar perfiles, qué datos se tienen en cuenta, con qué finalidad y qué consecuencias puede tener para el proceso.

Después debe determinarse cómo se toma la decisión. Si el rechazo o el paso de fase se produce exclusivamente a partir del resultado del sistema y genera un efecto significativo, entra en el terreno del artículo 22 y de las obligaciones informativas de los artículos 13, 14 y 15. Si existe una revisión humana significativa, el artículo 22 puede no aplicar, pero no desaparecen ni el resto del RGPD ni, en su momento, los artículos 26.11 y 86 del AI Act.

Si, tras aplicar el artículo 6 y el anexo III.4.a, la herramienta se califica como sistema de alto riesgo, el proveedor deberá aportar la documentación del artículo 13 del AI Act y la empresa que la despliega deberá organizar su uso conforme al artículo 26. El artículo 26.11 exige comunicar al candidato que está sujeto al uso de un sistema de IA de alto riesgo. La información adicional sobre el papel de la puntuación, la intervención humana, las vías de impugnación y la explicación de la decisión resulta, cuando proceda, de su combinación con los artículos 13, 14, 15 y 22 del RGPD y con el artículo 86 del Reglamento de IA.

Una implementación conjunta debería cubrir, como mínimo:

1. Un recuadro junto al botón de “Enviar candidatura” con la información del tratamiento relativa a la primera capa y una frase clara sobre el uso de IA.
2. Un enlace junto al recuadro que dirija a la política ampliada, donde se recoja la segunda capa y se describa el papel de la IA, los datos que utiliza y su lógica en el proceso. Podría incluir también la explicación de la intervención humana y la evidencia de que esa revisión es efectiva, si lo fuese.
3. Información sobre el contacto, las formas de ejercer los derechos según el RGPD y la explicación de las decisiones automatizadas, si las hubiese, y la forma de impugnarlas. Debe incluirse lo necesario para ejercer el derecho de explicación del artículo 86.

7. Cómo diseñar una transparencia que funcione

La solución no consiste en acumular menciones legales. Consiste en construir una arquitectura informativa vinculada al recorrido de la persona. Para hacerlo, conviene seguir cinco pasos.

• Mapear el sistema y los tratamientos. Identificar entradas de datos, resultados, datos personales, finalidades, fuentes y decisiones en las que interviene.
• Separar roles y destinatarios. Determinar quién es proveedor, responsable del despliegue, responsable o encargado del tratamiento, y quién debe recibir cada información.
• Identificar el desencadenante jurídico. Interacción directa, tratamiento de datos, uso de alto riesgo, decisión exclusivamente automatizada o decisión asistida no producen la misma obligación.
• Diseñar capas y momentos. Presentar lo esencial cuando la persona lo necesita y ofrecer una explicación ampliada accesible, coherente y actualizada.
• Conservar evidencia. Versiones de avisos, documentación del proveedor, pruebas de interfaz, registros de revisión humana y procedimientos de derechos deben demostrar que la transparencia existía en la práctica.

8. Aplicabilidad y sanciones: no mezclar calendarios

Las obligaciones del artículo 50 del AI Act son aplicables desde el 2 de agosto de 2026. No obstante, los sistemas de IA que generen contenido sintético conforme al artículo 50.2 y que hayan sido comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para adaptarse a esos requisitos. Su incumplimiento puede quedar sujeto, según las circunstancias del caso, a las multas administrativas previstas en el artículo 99.4.g): hasta 15 millones de euros o, si se trata de una empresa, hasta el 3 % de su volumen de negocios mundial anual del ejercicio anterior, aplicándose el importe superior; para las pymes opera el límite inferior correspondiente.

En cambio, las reglas del AI Act para sistemas de alto riesgo del anexo III (entre ellos, determinados sistemas utilizados en selección) tienen actualmente como fecha de aplicación el 2 de diciembre de 2027 tras la entrada en vigor del AI Omnibus. Este aplazamiento afecta directamente a los artículos 13 y 26 respecto de los sistemas de alto riesgo del anexo III. El artículo 86, no incluido en las secciones aplazadas, resulta aplicable desde el 2 de agosto de 2026.

El RGPD sigue un calendario distinto: sus deberes de transparencia son plenamente aplicables siempre que el sistema de IA implique un tratamiento de datos personales sujeto al Reglamento. El incumplimiento de los artículos 12 a 14, además de poder vulnerar el principio de licitud, lealtad y transparencia del artículo 5.1.a), permite a la autoridad de control adoptar las medidas correctivas del artículo 58.2, como apercibir al responsable, ordenar que el tratamiento se adapte al RGPD o limitarlo. Cuando la infracción afecta a los derechos reconocidos en los artículos 12 a 22, el artículo 83.5.b) prevé multas de hasta 20 millones de euros o, tratándose de una empresa, de hasta el 4 % de su volumen de negocio total anual global del ejercicio financiero anterior, optándose por la cuantía mayor. Estas cifras son máximos, no sanciones automáticas: la imposición y la cuantía de la multa dependen de las circunstancias de cada caso conforme al artículo 83.2. Además, la persona afectada puede presentar una reclamación ante la autoridad de control y, si acredita daños materiales o inmateriales causados por la infracción, solicitar una indemnización conforme a los artículos 77 y 82.

9. Conclusión