Consultoría de IA y cumplimiento: RGPD, AI Act y ética

Un proyecto de IA en España debe cumplir a la vez el RGPD, si trata datos personales, y el Reglamento europeo de IA (AI Act), que clasifica los sistemas por nivel de riesgo. Una consultoría de cumplimiento identifica qué te aplica, documenta las decisiones y diseña garantías como la supervisión humana, la transparencia y la evaluación de impacto.

El momento importa. En julio de 2026 se publicó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, que retrasa las obligaciones de los sistemas de alto riesgo y ajusta otras (Cuatrecasas, 2026). En España, el Gobierno ha llevado a las Cortes su propia ley de gobernanza de la IA. Esta guía explica qué normas te afectan, qué calendario queda, qué hace una consultoría de cumplimiento y cuánto cuesta, sin alarmismo y sin atajos. Si buscas una visión general de los riesgos, tienes también los riesgos de la IA en la empresa.

¿Qué normas se aplican a un proyecto de IA en España?

La búsqueda "consultoría IA RGPD" aparece junto a "consultoría IA ética" entre las consultas de empresas que empiezan a usar IA, y tiene sentido: casi ningún proyecto se libra de alguna de estas normas.

EXPERTUNO · COMPARATIVA

¿Qué normas se aplican a un proyecto de IA en España?

Norma	Cuándo te afecta	Qué exige, en resumen	Quién supervisa
RGPD y LOPDGDD	Siempre que el sistema trate datos personales	Base jurídica, información, minimización, derechos, contratos con encargados, evaluación de impacto si hay alto riesgo	AEPD
Reglamento europeo de IA	Siempre que desarrolles o uses sistemas de IA	Obligaciones según el nivel de riesgo: prohibiciones, alto riesgo, transparencia, alfabetización	AESIA y autoridades sectoriales
Ley orgánica española de gobernanza de la IA (en tramitación)	Completará la aplicación del Reglamento en España	Régimen sancionador, autoridades y supervisión humana	AESIA, AEPD, Banco de España, CGPJ
Normativa sectorial	Salud, finanzas, seguros, empleo, consumo	Reglas propias que se suman a las anteriores	Autoridad de cada sector

El proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial fue aprobado por el Consejo de Ministros el 26 de mayo de 2026 y se tramita ahora en las Cortes (La Moncloa, 2026). Según el Gobierno, reparte la supervisión entre la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, el Banco de España para el sistema financiero, la AEPD para lo relacionado con datos y el Consejo General del Poder Judicial para la justicia. Hasta que se apruebe, el Reglamento europeo ya es de aplicación directa.

¿Qué calendario del AI Act queda tras el Ómnibus?

El Reglamento de IA entró en vigor en 2024, pero sus obligaciones se aplican por fases. El Ómnibus publicado el 24 de julio de 2026 movió las fechas del alto riesgo (Cuatrecasas, 2026). Este es el calendario que conviene tener presente.

EXPERTUNO · FRAMEWORK

Calendario del Reglamento de IA tras el Ómnibus de 2026

1. 01
   2 de febrero de 2025

   Se aplican las prácticas prohibidas y la obligación de alfabetización en IA del personal.

2. 02
   2 de agosto de 2026

   Obligaciones de transparencia: avisar de que se interactúa con una IA y marcar el contenido sintético.

3. 03
   2 de diciembre de 2026

   Fin del plazo transitorio de marcado para sistemas generativos comercializados antes de agosto de 2026.

4. 04
   2 de diciembre de 2027

   Obligaciones de los sistemas de alto riesgo del anexo III, como selección de personal o solvencia.

5. 05
   2 de agosto de 2028

   Alto riesgo integrado en productos regulados del anexo I, como productos sanitarios o maquinaria.

Que el alto riesgo se retrase no significa que puedas esperar. Si tu sistema entra en esa categoría, preparar la gestión de riesgos, la documentación y la supervisión humana lleva meses, y los contratos que firmes hoy seguirán vigentes cuando las obligaciones se apliquen. Además, las obligaciones de alfabetización y transparencia ya están en vigor.

¿Qué exige el RGPD cuando un proyecto usa IA?

La Agencia Española de Protección de Datos publicó en 2020 una guía específica para tratamientos que incorporan IA, dirigida a responsables, desarrolladores y encargados. Repasa la legitimación, la información a los interesados, el ejercicio de derechos, las decisiones automatizadas, la exactitud, la minimización, la evaluación de impacto, la proporcionalidad y las transferencias internacionales (AEPD, 2020).

Traducido a decisiones de proyecto, el RGPD te obliga a responder estas preguntas antes de lanzar:

• Base jurídica. Por qué puedes tratar esos datos con esa finalidad. Si los datos se recogieron para otra cosa, comprueba que el nuevo uso es compatible.
• Información. Qué dirás a clientes, empleados o usuarios sobre el uso de IA en el tratamiento.
• Minimización. Si el sistema necesita de verdad todos los datos que le das. En asistentes que consultan documentos, filtra lo que no debe estar al alcance de todos; lo explicamos en qué es RAG para una empresa.
• Decisiones automatizadas. Si el sistema decide solo sobre algo con efectos jurídicos o significativos para una persona, el artículo 22 del RGPD limita ese uso y exige garantías como la intervención humana.
• Encargados. Cada proveedor que trate datos por tu cuenta necesita contrato de encargo y garantías suficientes.
• Transferencias. Dónde se alojan y procesan los datos, y con qué mecanismo si salen del Espacio Económico Europeo.

En la práctica, muchos proyectos de IA que tratan datos de clientes o empleados cumplen ya el criterio de nuevas tecnologías, así que basta con sumar otro, como el perfilado o el volumen, para que la lista de la AEPD apunte a una evaluación de impacto. No es un trámite: bien hecha, es el documento que obliga a pensar en riesgos reales y medidas concretas.

¿Y las herramientas generalistas que ya usa tu equipo?

Es el punto ciego más habitual. Antes de cualquier proyecto formal, muchas plantillas ya usan asistentes de IA generalistas por su cuenta, a veces con cuentas personales y copiando correos, contratos o datos de clientes. Eso es un tratamiento de datos como cualquier otro, con su base jurídica, su proveedor y sus transferencias. La respuesta no es prohibirlo todo, sino ordenar: elegir herramientas con licencias de empresa y condiciones claras sobre el uso de tus datos, redactar unas normas internas breves sobre qué se puede y qué no se puede introducir, y formar a la plantilla. Tienes una comparativa de opciones y licencias en cuánto vale ChatGPT para empresas.

¿En qué nivel de riesgo del AI Act está tu sistema?

El Reglamento de IA no regula la tecnología en abstracto, sino usos concretos. La mayoría de proyectos de una pyme, como un asistente interno para redactar o un flujo que clasifica facturas, quedan en riesgo mínimo o limitado. Pero algunos usos cotidianos entran en alto riesgo sin que la empresa lo perciba.

EXPERTUNO · COMPARATIVA

Niveles de riesgo del Reglamento de IA con ejemplos de empresa

Nivel	Ejemplos	Qué implica para quien lo usa
Prohibido	Manipulación que explota vulnerabilidades, puntuación social, reconocimiento de emociones en el trabajo salvo excepciones	No se puede usar
Alto riesgo (anexo III)	Filtrar currículos o evaluar candidatos, calcular la solvencia de personas, fijar precios de seguros de vida y salud	Uso según instrucciones, supervisión humana competente, conservación de registros e información a los afectados
Transparencia	Chatbots y agentes que hablan con clientes, contenido generado o manipulado	Avisar de que se interactúa con una IA y señalar el contenido sintético cuando proceda
Riesgo mínimo	Asistentes de redacción internos, clasificación de documentos, previsiones de demanda	Sin obligaciones específicas más allá de la alfabetización en IA y el RGPD

Hay dos matices importantes. El primero es el papel: si solo usas un sistema de terceros, eres responsable del despliegue; si lo desarrollas o lo comercializas con tu marca, puedes pasar a ser proveedor, con muchas más obligaciones. El segundo es que modificar sustancialmente un sistema de alto riesgo o cambiar su finalidad también puede convertirte en proveedor. Una buena consultoría deja por escrito qué papel tienes en cada sistema y por qué.

¿Qué pasa si no cumples?

Las sanciones del Reglamento de IA son elevadas, aunque para pymes se aplica el importe menor de cada tramo.

Las multas del artículo 99 del Reglamento de IA no sustituyen a las del RGPD, que siguen vigentes para todo lo relacionado con datos personales. Más allá de la sanción, el riesgo real para una pyme suele ser otro: un sistema que discrimina, un cliente que reclama o un contrato que no deja claro quién responde. Por eso el cumplimiento se diseña al principio del proyecto, no se añade al final.

¿Y la ética?

La ética no es un anexo decorativo. En la práctica se concreta en preguntas que la ley no siempre obliga a hacer, pero que evitan problemas: si el sistema funciona igual de bien para todos los grupos de clientes o candidatos, si una persona puede entender y recurrir una decisión, si el equipo sabe cuándo no fiarse del resultado y si hay alguien con autoridad para apagar el sistema. Una consultoría seria incluye estas preguntas en el diseño y en las pruebas, no solo en un código de conducta.

Un ejemplo práctico: si un asistente prioriza solicitudes de clientes, prueba sus resultados con muestras de distintos perfiles antes de lanzarlo, documenta los criterios que usa y define cómo puede un cliente pedir que una persona revise su caso. Son medidas baratas que, además de ética, dan trazabilidad cuando alguien pregunta por qué el sistema hizo lo que hizo.

¿Qué hace una consultoría de cumplimiento de IA?

Su trabajo típico sigue este orden: inventario de los sistemas de IA que usas o quieres usar, incluidas las herramientas generalistas que ya utiliza tu equipo; clasificación de cada uno por nivel de riesgo y por papel; análisis de protección de datos y, si procede, evaluación de impacto; revisión de contratos con proveedores; diseño de la supervisión humana y de los avisos de transparencia; plan de alfabetización del personal; y un sistema de seguimiento para revisar todo cuando cambie el modelo, el proveedor o la finalidad.

No tienes que empezar de cero. En diciembre de 2025, el Gobierno publicó a través de la AESIA dos guías introductorias y trece técnicas, con listas de comprobación para cada obligación, surgidas del entorno de pruebas regulatorio con sistemas de alto riesgo (La Moncloa, 2025). Son gratuitas y no vinculantes, y cubren aspectos como la gestión de riesgos, la gobernanza de datos, la transparencia y la ciberseguridad. Pide a tu consultora que trabaje sobre ellas.

Qué preguntar antes de contratar una consultoría de cumplimiento

Las respuestas a estas preguntas separan a un especialista de alguien que ha añadido "AI Act" a su catálogo:

• ¿Qué papel tengo en cada sistema y por qué? Debe razonar si eres proveedor o responsable del despliegue, no darlo por supuesto.
• ¿Cómo sabes si un uso es de alto riesgo? Debe citar el anexo III y las excepciones, y explicar cómo documentar la conclusión.
• ¿Trabajas con el equipo técnico? El cumplimiento que no llega al diseño del sistema se queda en papel.
• ¿Qué entregables recibo? Inventario, clasificación, evaluación de impacto si procede, contratos revisados y un plan de revisión periódica.
• ¿Quién firma? Pregunta por la experiencia del equipo en protección de datos y en el sector de tu empresa, y pide ejemplos de trabajos anteriores que puedas contrastar.

¿Cuánto cuesta una consultoría de cumplimiento de IA?

No hay precios públicos de referencia. Estos importes son un rango orientativo según la experiencia del consejo editorial para pymes españolas, y dependen del número de sistemas y de su nivel de riesgo.

EXPERTUNO · COMPARATIVA

Servicios de cumplimiento de IA y rango orientativo de precio

Servicio	Entregable	Rango orientativo
Diagnóstico inicial	Inventario de sistemas, clasificación de riesgo y papel, plan de acción	2.000 – 8.000 €
Evaluación de impacto de un sistema	Documento de evaluación con riesgos y medidas	1.500 – 6.000 €
Revisión de contratos con proveedores de IA	Contrato de encargo, cláusulas de IA y transferencias	500 – 2.500 € por contrato
Formación en alfabetización en IA	Sesiones por puestos y normas internas de uso	600 – 3.000 € por grupo
Acompañamiento de un sistema de alto riesgo	Gestión de riesgos, documentación y supervisión humana	15.000 – 60.000 €

Si la formación forma parte del proyecto, revisa si puedes bonificarla; tienes opciones en formación en IA con bonificaciones. Y antes de contratar, pasa la propuesta por el checklist antes de firmar con una consultoría de IA.

Checklist de cumplimiento para tu proyecto de IA

• [ ] Tienes un inventario de los sistemas de IA que usa tu empresa, incluidas herramientas generalistas.
• [ ] Sabes si eres proveedor o responsable del despliegue en cada sistema.
• [ ] Has descartado prácticas prohibidas y comprobado si algún uso es de alto riesgo.
• [ ] Cada tratamiento de datos personales tiene base jurídica e información a los afectados.
• [ ] Has valorado si necesitas evaluación de impacto según la lista de la AEPD.
• [ ] Los proveedores que tratan datos tienen contrato de encargo y sabes dónde se alojan los datos.
• [ ] Tus chatbots y agentes avisan de que el cliente habla con una IA.
• [ ] Hay una persona con autoridad para supervisar y detener cada sistema.
• [ ] Tu equipo ha recibido formación adecuada a su puesto.

Veredicto del consejo

Mercado. El Ómnibus ha dado más tiempo para el alto riesgo, y algunas empresas lo han leído como una moratoria general. No lo es: la alfabetización, las prohibiciones y la transparencia ya se aplican, y el RGPD nunca se detuvo. Las consultorías que venden miedo o que venden inacción se equivocan por igual.

Económico. Para una pyme con usos de riesgo mínimo, el cumplimiento es barato si se hace al principio: inventario, contratos y formación. Lo caro es rehacer un sistema ya desplegado o descubrir tarde que un uso era de alto riesgo. Paga un diagnóstico antes de invertir en desarrollo.

Técnico. Cumplir exige decisiones de diseño: qué datos entran, quién revisa los resultados, qué se registra y cómo se avisa al usuario. Pide que la consultora trabaje con quien construye el sistema, no en paralelo, y que use las guías de la AESIA como base.

Comprador. Contrata a quien te diga con claridad qué te aplica y qué no, con entregables concretos: inventario, clasificación, evaluación de impacto si procede y contratos revisados. Desconfía de certificados genéricos y de promesas de "cumplimiento total" sin analizar tus sistemas.

Si quieres comparar especialistas con pruebas, filtra el directorio de especialistas en cumplimiento de IA y pide a cada uno el mismo punto de partida: el inventario de tus sistemas y un plan de acción por prioridades.