Reglamento de IA y RGPD: qué registro necesitas para cada uno
28 de octubre de 2026 · Fuentes comprobadas el 28 de octubre de 2026.
Una empresa que usa IA para tratar datos de personas tiene encima dos normas europeas: el Reglamento general de protección de datos (RGPD, Reglamento (UE) 2016/679) y el Reglamento europeo de IA (Reglamento (UE) 2024/1689). Las dos piden documentar, pero no lo mismo ni de la misma forma. Este artículo resume lo que dice cada texto oficial tal como rige hoy; no interpreta y no constituye asesoramiento jurídico.
El RGPD: el registro de actividades de tratamiento (art. 30)
El RGPD se aplica desde el 25 de mayo de 2018 (art. 99.2). Su art. 30 pide a cada responsable del tratamiento un registro de las actividades de tratamiento efectuadas bajo su responsabilidad, con este contenido (apartado 1):
- a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante y del delegado de protección de datos;
- b) los fines del tratamiento;
- c) una descripción de las categorías de interesados y de las categorías de datos personales;
- d) las categorías de destinatarios, incluidos los de terceros países u organizaciones internacionales;
- e) en su caso, las transferencias a un tercer país o una organización internacional;
- f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
- g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.
El encargado del tratamiento lleva su propio registro de las categorías de tratamiento que hace por cuenta de cada responsable (apartado 2). Los registros constan por escrito, también en formato electrónico (apartado 3), y se ponen a disposición de la autoridad de control que los pida (apartado 4).
La excepción del apartado 5 es la que más mira una pyme: las obligaciones de los apartados 1 y 2 no se aplican a empresas u organizaciones con menos de 250 personas, «a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales».
Si un sistema de IA trata datos personales (un filtro de currículums, un chat que atiende a clientes identificados), ese tratamiento es una actividad más del registro del art. 30, con sus fines, sus categorías de datos y sus destinatarios.
El Reglamento de IA: no hay un art. 30, pero hay que saber qué se usa
El Reglamento de IA no tiene un artículo que pida a quien usa IA (el «responsable del despliegue», art. 3, punto 4) un registro con un contenido fijo. Lo que pide se apoya, sin embargo, en saber qué sistemas de IA se usan, para qué y sobre quién:
| Qué pide | Artículo | Desde |
|---|---|---|
| Adoptar medidas para apoyar la alfabetización en IA de quien maneja los sistemas | Art. 4 | 2 de febrero de 2025 |
| No usar sistemas para las prácticas prohibidas | Art. 5 | 2 de febrero de 2025 (letras b bis y b ter: 2 de diciembre de 2026) |
| Informar a las personas expuestas a un sistema de reconocimiento de emociones o de categorización biométrica y avisar de las ultrafalsificaciones | Art. 50.3 y 50.4 | 2 de agosto de 2026 |
| Conservar los archivos de registro que generen automáticamente los sistemas de alto riesgo, en la medida en que estén bajo su control, al menos seis meses | Art. 26.6 | 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I) |
| Hacer y notificar la evaluación de impacto relativa a los derechos fundamentales, quien esté obligado | Art. 27 | 2 de diciembre de 2027 |
Los «archivos de registro» del art. 26.6 son los que genera el propio sistema de alto riesgo (sus logs), no un registro de la empresa. El registro en la base de datos de la UE del art. 49 corresponde a los proveedores de los sistemas de alto riesgo del anexo III y, entre los responsables del despliegue, solo a las autoridades públicas y a quienes actúen en su nombre (art. 49.3).
Dónde se cruzan
- **La evaluación de impacto.** El art. 26.9 del Reglamento de IA dice que, cuando proceda, los responsables del despliegue de sistemas de alto riesgo utilizarán la información que les facilita el proveedor (art. 13) para la evaluación de impacto relativa a la protección de datos del art. 35 del RGPD. Y, si la evaluación del RGPD ya cubre alguna de las obligaciones del art. 27, el art. 27.4 permite que la evaluación de impacto relativa a los derechos fundamentales incluya referencias cruzadas a sus secciones pertinentes o las partes pertinentes de esta.
- **Las categorías especiales para corregir sesgos.** El art. 4 bis, que añadió el Reglamento (UE) 2026/1744, permite excepcionalmente tratar categorías especiales de datos para detectar y corregir sesgos, con condiciones. Una de ellas toca al registro del RGPD: que los registros de las actividades de tratamiento «incluyan las razones por las que el tratamiento de categorías especiales de datos personales era estrictamente necesario para detectar y corregir sesgos, y por las que ese objetivo no podía alcanzarse mediante el tratamiento de otros datos» (art. 4 bis.1, letra f).
- **Los mismos datos de partida.** Para los dos hace falta saber qué herramienta se usa, de qué proveedor, para qué, a quién afecta y qué datos trata.
Cómo llevar los dos sin duplicar
- Lista los sistemas de IA que usa la empresa con su proveedor, su uso y las personas a las que afecta.
- Marca los que tratan datos personales y, entre ellos, los que tratan categorías especiales.
- Para cada uno de esos, comprueba que su tratamiento está en el registro de actividades del RGPD (o anota por qué la empresa no lo lleva, según el art. 30.5).
- Para el Reglamento de IA, anota en cada sistema la revisión de prácticas prohibidas, la clasificación y la formación, y guarda las pruebas.
- Revisa los dos cuando cambie una herramienta o su uso.
La plantilla Inventario de IA cubre la parte del Reglamento de IA: la base «Sistemas de IA» recoge cada sistema con «Proveedor», «Para qué se usa», «Afecta a», «Trata datos personales» y «Trata categorías especiales de datos», que sirven para cruzarlo con el registro del RGPD, y las bases de referencia traen precargados los arts. 4, 5, 26, 27 y 50 con su fecha y su enlace a EUR-Lex: Inventario de IA. No sustituye al registro de actividades de tratamiento del RGPD, que es otro documento.
Fuentes (abiertas el 28 de octubre de 2026)
- Reglamento (UE) 2016/679 (RGPD), de 27 de abril de 2016, la versión vigente que da EUR-Lex (sin modificaciones; solo correcciones de errores): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679 — arts. 30 y 99.
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026, la versión consolidada vigente que da EUR-Lex (EUR-Lex): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:02024R1689-20260727 — arts. 3, 4, 4 bis, 5, 26, 27, 49, 50 y 113.
- Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (DOUE L de 24 de julio de 2026): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32026R1744 — art. 1, punto 6 (art. 4 bis).
Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico.