Redactado por Diego Fierro Rodríguez, quién es letrado de la Administración de Justicia Letrado en el Ministerio de Justicia de España. Imparte cursos para cuerpos generales como formador en el Instituto Andaluz de Administración Pública y colabora habitualmente con revistas de investigación y difusión jurídica, como Economist & Jurist, Law & Trends, Legaltoday y Confilegal, estando enfocado en el estudio de aspectos vinculados con la Administración de Justicia y las nuevas tecnologías, entre otras materias. Igualmente, es codirector de la Revista Acta Judicial (…).
«La entrada en vigor de relevantes preceptos del Reglamento de Inteligencia Artificial de la Unión Europea, prevista para el 2 de agosto de 2025, marca un punto de inflexión en la regulación de esta tecnología transformadora, con implicaciones significativas para las autoridades nacionales encargadas de su supervisión, entre ellas la Agencia Española de Protección de Datos.
El considerando 179 del Reglamento de Inteligencia Artificial, en consonancia con su artículo 113, expresa lo siguiente: «el presente Reglamento debe aplicarse a partir del 2 de agosto de 2026. No obstante, teniendo en cuenta el riesgo inaceptable asociado a determinadas formas de uso de la IA, las prohibiciones, así como las disposiciones generales del presente Reglamento, deben aplicarse ya desde el 2 de febrero de 2025»
Aunque dichas prohibiciones no surtan pleno efecto hasta después del establecimiento de la gobernanza y la aplicación del presente Reglamento, es importante anticipar la aplicación de las prohibiciones para tener en cuenta los riesgos inaceptables y adaptar otros procedimientos, por ejemplo, en el ámbito del Derecho civil. Además, la infraestructura relacionada con la gobernanza y el sistema de evaluación de la conformidad deben estar operativos antes de esa fecha, por lo que las disposiciones relativas a los organismos notificados y la estructura de gobernanza deben ser aplicables a partir del 2 de agosto de 2026. Dada la rápida evolución tecnológica y el elevado ritmo de adopción de modelos de IA de uso general, las obligaciones de los proveedores de modelos de IA de uso general deben aplicarse desde el 2 de agosto de 2025.
Los códigos de buenas prácticas deben estar finalizados a más tardar el 2 de mayo de 2025 al objeto de permitir a los proveedores demostrar el cumplimiento de sus obligaciones dentro del plazo previsto. La Oficina de IA debe velar por que las normas y los procedimientos de clasificación estén actualizados con arreglo a los avances tecnológicos. Asimismo, los Estados miembros deben establecer y poner en conocimiento de la Comisión las normas referentes a las sanciones, incluidas las multas administrativas, y asegurarse de que para la fecha de aplicación del presente Reglamento se apliquen de manera adecuada y efectiva. Por lo tanto, las disposiciones relativas a las sanciones deben aplicarse a partir del 2 de agosto de 2025.»
El artículo 5 del Reglamento, que prohíbe sistemas de inteligencia artificial considerados de riesgo inaceptable, como los de identificación biométrica remota en tiempo real en espacios públicos, introduce un régimen supervisor y sancionador que plantea nuevos desafíos para la Agencia, especialmente en un contexto donde España aún no ha aprobado la ley nacional que le otorgaría la condición de autoridad de vigilancia del mercado.
Entiendo que la Agencia Española de Protección de Datos, consciente de estas limitaciones, ha adoptado una postura proactiva al recordar que, en su calidad de autoridad competente en protección de datos, ya puede actuar frente a sistemas de inteligencia artificial que traten datos personales y afecten este derecho fundamental, independientemente de la plena aplicación del Reglamento. Este artículo analiza las razones jurídicas y los retos operativos que enfrenta la Agencia ante este nuevo marco normativo, alabando su enfoque preventivo, pero destacando las dificultades que supone la asunción de nuevas competencias sin una base legal nacional consolidada ni los recursos adecuados.
La Agencia Española de Protección de Datos ha emitido un comunicado el 15 de julio de 2025 en el que analiza su papel frente al Reglamento de Inteligencia Artificial, con especial atención al artículo 5, que entrará en vigor el 2 de agosto de 2025. Este precepto prohíbe sistemas de inteligencia artificial que representen un riesgo inaceptable, como aquellos que emplean manipulación cognitivo-conductual, puntuación social o identificación biométrica remota en tiempo real en espacios públicos, debido a su potencial para vulnerar derechos fundamentales como la privacidad y la no discriminación.
Lo anterior me sugiere que la Agencia, al enfatizar su competencia actual en materia de protección de datos, busca garantizar una supervisión efectiva de estos sistemas en el ámbito de los tratamientos de datos personales, incluso antes de que el Reglamento alcance su plena aplicabilidad en 2026. Esta postura refleja un compromiso con la protección de los derechos fundamentales, alineándose con los principios del Reglamento General de Protección de Datos y el propio Reglamento de Inteligencia Artificial, que priorizan la seguridad y la ética en el uso de la inteligencia artificial.
Sin embargo, la actual ausencia de una ley nacional que designe formalmente a la Agencia como autoridad de vigilancia del mercado, conforme a lo previsto en el anteproyecto de ley española de inteligencia artificial, limita su capacidad para asumir plenamente las funciones previstas en el Reglamento. El artículo 113 del Reglamento establece que ciertos apartados, incluido el régimen sancionador del artículo 5, entrarán en vigor el 2 de agosto de 2025, lo que otorga a las autoridades nacionales un papel crucial en la supervisión de los sistemas prohibidos.
Considero que la falta de una base legal nacional plantea un desafío significativo, ya que la Agencia no puede ejercer la totalidad de las competencias previstas en el Reglamento, como la supervisión de mercado, hasta que se apruebe la normativa española. Esta situación genera una incertidumbre jurídica que podría dificultar la aplicación homogénea del Reglamento en España, especialmente en un contexto donde los sistemas de inteligencia artificial están proliferando rápidamente en sectores como la seguridad, la salud y los servicios digitales.
A pesar de estas limitaciones, la Agencia Española de Protección de Datos ha subrayado que su competencia en materia de protección de datos le permite supervisar y sancionar los tratamientos de datos personales realizados por sistemas de inteligencia artificial, incluidos aquellos prohibidos por el artículo 5, cuando afecten el derecho fundamental a la protección de datos. Asumo que esta interpretación se basa en la compatibilidad entre el Reglamento General de Protección de Datos y el Reglamento de Inteligencia Artificial, que comparten el objetivo de proteger los derechos fundamentales frente a los riesgos de las tecnologías emergentes. Por ejemplo, un sistema de identificación biométrica remota que procese datos personales sin una base legítima podría ser objeto de una sanción por parte de la Agencia, independientemente de su estatus bajo el Reglamento de Inteligencia Artificial. Esta capacidad de actuación inmediata demuestra la fortaleza del marco de protección de datos español, pero también pone de manifiesto la necesidad de una coordinación efectiva entre las competencias actuales y las futuras responsabilidades derivadas del Reglamento.
La Agencia también ha reconocido los retos operativos que supone la asunción de estas nuevas funciones, destacando la necesidad de reforzar sus capacidades técnicas, humanas y presupuestarias. Ello me obliga a deducir que la implementación efectiva del Reglamento de Inteligencia Artificial requerirá una inversión significativa en recursos, incluyendo personal especializado en inteligencia artificial, herramientas tecnológicas avanzadas y un presupuesto adecuado para llevar a cabo auditorías y sanciones. La supervisión de sistemas prohibidos, como los de identificación biométrica remota, exige un conocimiento técnico profundo para evaluar el cumplimiento de requisitos como la transparencia, la calidad de los datos y la gestión de riesgos, lo que representa un desafío para una Agencia que, hasta ahora, ha centrado sus esfuerzos en la protección de datos. La falta de una ley nacional que clarifique el alcance de estas competencias agrava esta situación, ya que la Agencia debe operar en un marco normativo incompleto mientras se prepara para asumir un rol más amplio.
La recomendación de la Agencia a las entidades que implementan o proporcionan sistemas de inteligencia artificial, instándolas a adoptar medidas para cumplir con las obligaciones del Reglamento, refleja una estrategia preventiva destinada a fomentar el cumplimiento voluntario antes de la entrada en vigor de las disposiciones más estrictas. Entiendo que esta aproximación busca mitigar los riesgos de sanciones y facilitar una transición ordenada hacia el nuevo marco regulatorio, especialmente para las empresas que desarrollan o utilizan sistemas de alto riesgo. No obstante, la falta de claridad en la normativa nacional podría dificultar este proceso, ya que las empresas enfrentan incertidumbre sobre cómo alinear sus prácticas con un Reglamento que aún no está plenamente integrado en el ordenamiento jurídico español. Esta situación podría generar fricciones entre las empresas y la Agencia, especialmente si las expectativas de cumplimiento no están acompañadas de directrices claras y recursos suficientes.
Desde una perspectiva más amplia, la postura de la Agencia Española de Protección de Datos ante el Reglamento de Inteligencia Artificial pone de manifiesto las tensiones entre la innovación tecnológica y la regulación en un contexto de rápida evolución digital. La prohibición de sistemas como los de identificación biométrica remota responde a preocupaciones éticas y jurídicas legítimas, pero también plantea desafíos para sectores como la seguridad pública, donde estas tecnologías podrían tener aplicaciones legítimas bajo un marco regulado. Lo anterior me sugiere que la Agencia deberá equilibrar la protección de los derechos fundamentales con la necesidad de no obstaculizar la innovación, una tarea que requerirá una coordinación estrecha con otras autoridades nacionales y europeas, así como un diálogo continuo con el sector privado. La falta de una ley nacional que designe a la Agencia como autoridad de vigilancia del mercado complica este equilibrio, ya que limita su capacidad para actuar con la autoridad plena que el Reglamento exige.
En resumidas cuentas, resulta indiscutible que la Agencia Española de Protección de Datos enfrenta un escenario complejo ante la inminente entrada en vigor de los primeros apartados del Reglamento de Inteligencia Artificial, particularmente el artículo 5, que prohíbe sistemas de riesgo inaceptable. Su capacidad para supervisar tratamientos de datos personales realizados por sistemas de inteligencia artificial, incluso antes de la plena aplicabilidad del Reglamento, demuestra un compromiso proactivo con la protección de los derechos fundamentales. Sin embargo, la ausencia de una ley nacional que clarifique su rol como autoridad de vigilancia del mercado, junto con las limitaciones en recursos técnicos, humanos y presupuestarios, plantea retos significativos para la implementación efectiva del Reglamento. La recomendación de la Agencia a las entidades para que se preparen para el cumplimiento refleja una estrategia preventiva encomiable, pero la incertidumbre jurídica y operativa exige una acción legislativa urgente para garantizar que España esté preparada para los desafíos que la regulación de la inteligencia artificial impone».