En España, el tratamiento de datos personales por sistemas de inteligencia artificial se rige por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos y garantías digitales (LOPDGDD); además, el Reglamento europeo sobre inteligencia artificial (AI Act), aprobado en 2023, introduce obligaciones para sistemas considerados de alto riesgo.
Abogados especialistas en derecho de nuevas tecnologías
Sonia Tobalina Bolado
Lcs Group Asesores de Empresa Compliance Penal Protección de Datos Rgpd
María Del Pino de Luis Lorenzo
Aquino Pérez & Asociados
Christine Passaga Guerrero
Crown Acquisitions Law Firm Abogados
| Servicio | Qué cubre | Órgano o norma aplicable |
|---|---|---|
| Asesoramiento en protección de datos | Evaluación de tratamientos, bases jurídicas, registros y medidas técnicas y organizativas. | RGPD (Reglamento (UE) 2016/679); AEPD |
| Cumplimiento del AI Act | Clasificación de sistemas, evaluación de riesgos y obligaciones de transparencia para sistemas de alto riesgo. | Reglamento europeo sobre IA (AI Act, 2023) |
| Auditorías éticas y de sesgo | Revisión de modelos, testing de sesgos y documentación de impacto. | Principios del RGPD (art. 5) y requisitos de evaluación de impacto |
| Redacción y revisión contractual | Cláusulas sobre responsabilidad, propiedad intelectual, licencias y protección de datos. | Contratos civiles y comerciales; normativa de propiedad intelectual |
| Propiedad intelectual | Asesoría sobre derechos de autor, titularidad de modelos y estrategias de protección. | Ley de Propiedad Intelectual y doctrina administrativa |
Servicios legales fundamentales para proyectos de IA y ciberseguridad
Los abogados especializados realizan, como actividad habitual, auditorías de privacidad y evaluaciones de impacto en protección de datos (EIPD) cuando un tratamiento conlleva un alto riesgo para los derechos y libertades de las personas, tal y como exige el artículo 35 del RGPD.
Además de las EIPD, estos profesionales documentan las medidas de seguridad técnicas y organizativas exigidas por el RGPD (art. 32) y diseñan cláusulas contractuales para proveedores y encargados del tratamiento, garantizando cumplimiento contractual y trazabilidad.
Cómo aseguran el cumplimiento normativo (proceso práctico)
Un plan de cumplimiento típico incluye identificación de riesgos, implementación de controles y verificación documental. En proyectos con IA de alto riesgo, la obligación de realizar evaluaciones y mantener registros es explícita en el AI Act y complementa las exigencias del RGPD.
Los abogados coordinarán con equipos técnicos para integrar las obligaciones de transparencia (información a interesados), las garantías frente a decisiones automatizadas (art. 22 RGPD) y la elaboración de registros exigidos a responsables y encargados (art. 30 RGPD).
Auditorías éticas: alcance y consecuencias
Las auditorías éticas analizan sesgos, impacto diferencial por grupos protegidos y trazabilidad de decisiones automatizadas. Estos informes suelen incluir métricas de sesgo, pruebas de robustez y recomendaciones de mitigación que sirven como evidencia técnica y legal ante supervisores.
La ausencia de una auditoría documentada o de medidas correctoras puede agravar responsabilidades administrativas según la AEPD y, en casos de incumplimiento grave del RGPD, conllevar sanciones previstas en el artículo 83 del RGPD (hasta 20.000.000 € o hasta el 4% del volumen de negocio anual global, según la infracción).
Redacción de contratos relacionados con IA
Los contratos deben contener cláusulas que definan la titularidad del modelo y los datos, responsabilidades por resultados del sistema, protocolos de respuesta ante incidentes de seguridad y obligaciones de confidencialidad. Es imprescindible incluir cláusulas sobre subcontratación y exigencia de controles a encargados.
En el ámbito contractual también se identifican indicadores de rendimiento y cláusulas de auditoría técnica, que permiten al cliente verificar cumplimiento. Para aspectos de protección de datos, se recomiendan anexos que especifiquen las medidas exigidas por el art. 28 RGPD para encargados del tratamiento.
Consultoría en propiedad intelectual para desarrollos de IA
La protección de resultados relacionados con IA puede requerir una combinación de derechos de autor, secreto empresarial y, en su caso, patentes. Los abogados analizan la idoneidad de cada fórmula de protección según la naturaleza del activo y la legislación vigente.
Es habitual recomendar políticas internas de asignación de derechos para empleados y colaboradores, así como acuerdos de transferencia de know‑how que permitan probar titularidad y control sobre los desarrollos tecnológicos.
Mejores prácticas para formación y gobernanza interna
Las organizaciones deben implantar programas de formación continuada en protección de datos, ética de IA y seguridad informática. Estos programas deben incluir evaluación anual y registro de la actividad formativa como parte del gobierno corporativo.
La gobernanza debe establecer un responsable de cumplimiento (DPO o figura similar) cuando el tratamiento así lo exige, canales para notificación de incidencias y procedimientos de revisión antes de desplegar modelos en producción, tal como recomiendan las directrices de la AEPD sobre IA.
- Diagnóstico inicial: identificación de tratamientos y categorización del riesgo (legal y técnico).
- Evaluación documental: registro de actividades y, si procede, evaluación de impacto (EIPD).
- Diseño de medidas: implementar medidas técnicas y organizativas (art. 32 RGPD).
- Redacción contractual: convenios con proveedores y cláusulas de transferencia de datos.
- Auditoría y pruebas: auditoría ética y pruebas de sesgo antes del despliegue.
- Mantenimiento: revisiones periódicas, formación continua y actualización normativa.
Advertencia experta: la AEPD puede imponer sanciones administrativas conforme al artículo 83 del RGPD; en proyectos de IA que impliquen decisiones automatizadas o tratamiento masivo de datos hay que documentar evaluaciones de impacto y medidas de mitigación antes de su puesta en marcha.
Recursos y contenidos relacionados
Si desea ampliar la información práctica sobre ámbitos jurídicos relacionados, puede consultar estos artículos de Asesor.Legal: https://asesor.legal/abogados-para-situaciones-de-apatridia/ y https://asesor.legal/abogados-para-casos-de-pensiones-alimenticias/.
Fuentes normativas citadas: Reglamento (UE) 2016/679 (RGPD); Ley Orgánica 3/2018, y el Reglamento europeo sobre inteligencia artificial (AI Act, 2023). Asimismo, la Agencia Española de Protección de Datos (AEPD) emite guías y criterios aplicables en materia de IA y protección de datos.
Preguntas frecuentes
¿Qué sanciones puede imponer la AEPD por incumplir el RGPD en proyectos de IA?
La AEPD aplica las multas previstas en el artículo 83 del RGPD; según la gravedad y la categoría de la infracción, las sanciones pueden alcanzar hasta 20.000.000 € o hasta el 4% del volumen de negocio anual global de la empresa.
¿Cómo debo documentar una evaluación de impacto (EIPD) para un sistema de IA?
La EIPD debe describir la naturaleza, alcance, contexto y fines del tratamiento, evaluar los riesgos para los derechos y libertades y detallar las medidas previstas para mitigarlos, tal y como exige el artículo 35 del RGPD.
¿Qué obligaciones introduce el AI Act para un sistema de IA considerado de alto riesgo?
El AI Act impone requisitos de gestión de riesgo, registros técnicos, documentación de transparencia y, en su caso, la necesidad de certificados de conformidad y controles preceptivos antes del despliegue en el mercado.
¿Qué juzgados son competentes para reclamaciones civiles derivadas de un fallo de un sistema de IA?
Las reclamaciones civiles por responsabilidad contractual o extracontractual se tramitan ante los Juzgados de Primera Instancia competentes según la materia y cuantía; en materia penal por delitos informáticos intervendrán Juzgados de Instrucción y, posteriormente, la Audiencia Provincial si procede.
¿Es obligatoria una auditoría ética antes de desplegar un algoritmo que afecta a la selección de personal?
Cuando el algoritmo trata datos sensibles o puede generar decisiones con efectos jurídicos o significativos sobre personas (por ejemplo, selección de personal), es necesario realizar una evaluación de impacto y documentar medidas de mitigación; esto se aplica con especial rigor según el artículo 22 RGPD y la normativa del AI Act para sistemas de alto riesgo.
Contenido elaborado con apoyo de IA. Carácter informativo. Consulte con un abogado colegiado. Última revisión: Agosto 2026.
