Revisión editorial, 30 de septiembre de 2026: conservamos la fecha original de publicación. Contrastamos esta comparación con el RGPD, el texto consolidado del Reglamento de IA y el calendario de la Comisión Europea. Las fechas y la aplicación a un sistema concreto deben volver a verificarse cuando cambie la norma o el caso.
El RGPD regula el tratamiento de datos personales. El EU AI Act establece reglas para determinados sistemas, modelos, prácticas y operadores de IA. Un mismo proyecto puede requerir revisar ambos textos, pero ninguno reemplaza al otro y sus requisitos no se activan automáticamente por usar IA.
La diferencia principal: si tu sistema usa datos personales, el RGPD te obliga a examinar ese tratamiento, sus fines y la posición de cada parte. El AI Act añade preguntas sobre el sistema o modelo de IA, su uso previsto, el papel de cada operador y las obligaciones que correspondan. Debes resolver ambas preguntas por separado y conservar la evidencia de cada decisión.
| Pregunta | RGPD | EU AI Act |
| ¿Qué examina? | Tratamientos de datos personales, bases jurídicas, principios, derechos y seguridad. | Sistema o modelo, finalidad, rol del operador, categoría y obligaciones asociadas. |
| ¿A quién asigna deberes? | Entre otros, responsable y encargado del tratamiento. | Entre otros, proveedor, responsable del despliegue, importador y distribuidor. |
| ¿Cuándo importa? | Si hay tratamiento de datos personales dentro de su ámbito. | Si una disposición del reglamento resulta aplicable al sistema, modelo o práctica. |
| ¿Qué documento puede hacer falta? | Registro de tratamiento, información a personas y, cuando proceda, evaluación de impacto en protección de datos. | Documentación técnica, instrucciones, registros o evaluación de conformidad cuando corresponda al rol y sistema. |
¿Cuándo se aplican ambos a un mismo sistema?
Supón que una empresa usa un sistema para ayudar a seleccionar candidaturas. Primero describe la finalidad, quién lo desarrolla, quién lo despliega, qué datos personales procesa y qué decisiones apoya. Después revisa si el uso encaja en una categoría del Anexo III y si se cumple alguna excepción del artículo 6. Por separado, identifica base jurídica, información a candidaturas, conservación y si el tratamiento requiere una evaluación de impacto conforme al RGPD.
La evaluación de impacto en protección de datos no es automática para todo sistema de IA: depende de los criterios del artículo 35 del RGPD. Tampoco toda empresa usuaria realiza una evaluación de conformidad del AI Act; el papel y el tipo de sistema importan. El artículo 22 del RGPD exige un análisis específico cuando hay decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o similares significativos.
Cómo coordinar sin confundir obligaciones
- Un inventario compartido: anota sistema, finalidad, proveedor, datos y responsables. Conserva pruebas del uso real.
- Dos análisis de aplicabilidad: uno para datos personales y roles RGPD; otro para el sistema, el operador y los artículos del AI Act.
- Evidencia reutilizable: una prueba de seguridad, una instrucción de uso o un registro puede apoyar distintas revisiones, pero no demuestra por sí solo cumplimiento de ambos textos.
- Decisiones humanas: asigna a legal, privacidad y producto las cuestiones que les correspondan. El DPO asesora y supervisa conforme a sus funciones; no se convierte por ello en único responsable de todo el cumplimiento RGPD.
Fechas que no deben mezclarse
El RGPD se aplica desde mayo de 2018. En el AI Act, las prácticas prohibidas y la alfabetización en IA comenzaron a aplicarse en febrero de 2025; las reglas principales para modelos GPAI, en agosto de 2025; y la mayoría de las demás disposiciones, en agosto de 2026. Ciertos requisitos de sistemas de alto riesgo tienen fechas aplazadas a 2027 y 2028. Verifica el calendario oficial y las reglas transitorias antes de planificar una evaluación.
Fencia puede organizar documentos y posibles hallazgos frente a requisitos seleccionados del EU AI Act y del RGPD. Su cobertura del RGPD es parcial y no sustituye una evaluación jurídica o de conformidad. Conoce el alcance del producto.
Si estás preparando una revisión, empieza por documentar el sistema y sus posibles brechas frente al EU AI Act y separar las preguntas de privacidad que Fencia puede ayudarte a ordenar. La persona responsable debe confirmar el contexto y los requisitos aplicables antes de usar la evidencia para una decisión externa.
Fuentes oficiales: RGPD en EUR-Lex, en especial artículos 22 y 35; Reglamento de IA consolidado en EUR-Lex, en especial artículo 6 y anexos I y III; calendario de la Comisión Europea.