Respuesta directa: en 2026 el RGPD y el Reglamento de IA (AI Act, Reglamento UE 2024/1689) se solapan siempre que un sistema de IA trata datos personales: el AI Act regula el sistema (gestión de riesgos, datos, supervisión humana, transparencia) y el RGPD regula el tratamiento de datos personales que ese sistema realiza. La fecha clave próxima es el 2 de agosto de 2026, en que aplican las obligaciones de transparencia del art. 50 (artificialintelligenceact.eu). Las obligaciones para sistemas de alto riesgo del Anexo III estaban previstas también para esa fecha, pero un acuerdo político (el “Digital Omnibus”) prevé posponerlas (a diciembre de 2027 para sistemas autónomos del Anexo III), un cambio que aún debe adoptarse y publicarse formalmente. Para el DPO esto significa que la transparencia llega ya, y el alto riesgo conviene seguirlo de cerca porque su fecha está en movimiento.
¿Cómo se solapan el RGPD y el AI Act?
Se solapan porque regulan capas distintas del mismo hecho: el RGPD protege a las personas cuyos datos se tratan; el AI Act regula el sistema de IA que hace ese tratamiento. Cuando un sistema de IA procesa datos personales - y casi todos los de alto riesgo lo hacen - ambos reglamentos se aplican a la vez y hay que cumplir los dos.
En la práctica, el reparto es este:
- El AI Act impone obligaciones sobre el sistema: clasificación por riesgo, gestión de riesgos, gobernanza de los datos de entrenamiento, documentación técnica, supervisión humana, robustez y, para ciertos sistemas, transparencia hacia el usuario.
- El RGPD sigue gobernando el tratamiento de datos personales: base de licitud, minimización, información a los interesados, derechos (acceso, supresión, oposición a decisiones automatizadas del art. 22) y, cuando hay alto riesgo, evaluación de impacto (EIPD).
El error a evitar es tratarlos como compartimentos. Un mismo proyecto puede necesitar a la vez la evaluación del AI Act y la EIPD del RGPD, y las dos se alimentan de la misma información sobre el sistema.
¿Cuál es el timeline de obligaciones que afecta a 2026?
El timeline relevante para 2026 tiene una fecha firme y una en movimiento. Conviene distinguirlas bien, porque fijar una fecha equivocada en un calendario de cumplimiento es exactamente el tipo de error que daña la credibilidad del DPO.
- 2 de agosto de 2026 (firme): obligaciones de transparencia del art. 50. Desde esa fecha, los sistemas dentro del ámbito del art. 50 deben informar al usuario de que interactúa con una IA y marcar el contenido generado o manipulado (texto, imagen, audio, vídeo) en formato legible por máquina. Aplica con independencia de cuándo se puso el sistema en el mercado, con una transición hasta el 2 de diciembre de 2026 para ciertos sistemas generativos ya en el mercado (art. 50.2). Fuente: Article 50, artificialintelligenceact.eu.
- Alto riesgo (Anexo III) - fecha en movimiento. La fecha original para las obligaciones de los sistemas de alto riesgo autónomos del Anexo III era también el 2 de agosto de 2026. Sin embargo, el acuerdo político conocido como “Digital Omnibus” prevé posponer esa aplicación (a 2 de diciembre de 2027 para los sistemas autónomos del Anexo III y a 2 de agosto de 2028 para la IA integrada en productos regulados del Anexo I). Este cambio solo surtirá efecto cuando se adopte y publique formalmente en el Diario Oficial; conviene confirmar el estado de tramitación antes de fijar esa fecha en un calendario de cumplimiento.
La lectura para el DPO: la transparencia es una obligación de 2026 que ya hay que preparar; el alto riesgo es algo que hay que vigilar activamente, porque su calendario depende de un texto en tramitación.
¿Cómo cambia el rol del DPO?
El rol del DPO se amplía de hecho, aunque el AI Act no lo nombre como responsable de su cumplimiento. El reglamento de IA reparte responsabilidades entre proveedores y desplegadores y crea figuras de gobernanza, pero en cualquier organización que ya tenga DPO, esa persona es la que mejor entiende el tratamiento de datos del sistema, y por eso acaba siendo central en la gobernanza de IA.
En la práctica, al DPO le toca cada vez más:
- Identificar qué sistemas de IA de la organización (o del cliente) tratan datos personales y bajo qué base de licitud.
- Asegurar que las EIPD del RGPD cubren los riesgos específicos del sistema de IA (sesgo, decisiones automatizadas, datos de entrenamiento).
- Coordinarse con quien gestione la evaluación del AI Act para que ambos documentos sean coherentes.
- Velar por los derechos de los interesados sobre el sistema: información, oposición a decisiones automatizadas (art. 22 RGPD), supresión.
No es que el DPO “herede” el AI Act; es que el solapamiento hace imposible separar la protección de datos de la gobernanza de la IA.
¿Qué cambia en la práctica diaria?
Lo que cambia en la práctica son sobre todo las EIPD y la documentación de las bases de licitud. Dos cambios concretos:
- EIPD sobre sistemas de IA. Cuando un cliente despliega un sistema de IA que trata datos personales con probabilidad de alto riesgo, la EIPD deja de ser un trámite y tiene que abordar los riesgos propios del sistema: calidad y representatividad de los datos de entrenamiento, posibilidad de decisiones automatizadas con efectos jurídicos, explicabilidad y supervisión humana efectiva.
- Bases de licitud bajo presión. Entrenar o ajustar un modelo con datos personales obliga a precisar la base jurídica (interés legítimo con su ponderación, o la que corresponda) y a documentar la compatibilidad de fines si los datos se recogieron para otra cosa. Aquí es donde el solapamiento con el AI Act se nota: la misma decisión que justificas en la EIPD del RGPD sostiene la gobernanza de datos del AI Act.
¿Qué directrices del EDPB de 2025 conviene tener en el radar?
Las directrices del EDPB de 2025 más relevantes para este solapamiento son tres, todas verificables en su web oficial. El detalle a vigilar es su estado: varias se adoptaron como versión para consulta pública, y el criterio definitivo puede variar al publicarse la versión final.
- Directrices 01/2025 sobre seudonimización. Adoptadas el 16 de enero de 2025 y sometidas a consulta pública hasta el 28 de febrero de 2025; aclaran qué cuenta como seudonimización y cuándo el dato seudonimizado sigue siendo dato personal. Relevante para sanidad, investigación, banca/seguros y RRHH, y para cualquier EIPD que presente la seudonimización como su gran garantía. Comprueba el estado actual del documento en la fuente oficial antes de citar la versión definitiva. Fuente: EDPB, Guidelines 01/2025 (PDF).
- Directrices 02/2025 sobre tratamiento de datos personales mediante blockchain. Adoptadas en abril de 2025, con consulta pública hasta el 9 de junio de 2025. La recomendación central es no almacenar datos personales directamente en una blockchain, porque su inmutabilidad choca con los derechos de rectificación y supresión (arts. 16 y 17) y con la limitación del plazo de conservación; si es inevitable, recurrir a datos fuera de cadena, cifrado o hashing con sal secreta. Relevante para fintech, cripto/Web3 y trazabilidad. Consulta el estado del documento en la fuente oficial para confirmar si ya se ha adoptado la versión definitiva. Fuente: EDPB, Guidelines 02/2025 (PDF).
- Directrices 3/2025 sobre la interacción entre la DSA y el RGPD. Las primeras sobre cómo encajan la Ley de Servicios Digitales y el RGPD: sistemas de recomendación que deben respetar la limitación de la finalidad, prohibición de publicidad por perfilado dirigida a menores y minimización en la verificación de edad. Relevante para plataformas, marketplaces y ecommerce con recomendadores o público infantil. Consulta el estado del documento en la fuente oficial para confirmar si ya se ha adoptado la versión definitiva. Fuente: EDPB, Guidelines 3/2025 (PDF).
¿Cómo sé cuándo un desarrollo del EDPB o del AI Act cambia la base de tratamiento de un cliente concreto?
Lo sabes cruzando cada novedad contra el perfil de tratamiento de cada cliente, no leyendo el boletín entero. Una directriz sobre seudonimización solo “cambia algo” para el cliente que apoya una medida de seguridad en seudonimización; una sobre blockchain, para el que diseña una arquitectura inmutable con datos personales; una fecha del AI Act, para el que despliega un sistema de alto riesgo.
El método práctico es:
- Marca en cada cliente qué tratamientos y tecnologías usa (seudonimización, blockchain, recomendadores, sistemas de IA de alto riesgo) y bajo qué base de licitud.
- Cuando el EDPB adopta una versión final o el AI Act mueve una fecha, identifica qué perfiles quedan afectados.
- Registra la fecha en que lo revisaste y qué decidiste, para que quede traza en el expediente.
Eso es lo que automatiza Vigía DPO: marcas en tu cartera los clientes a los que afecta cada criterio del EDPB o cada hito del AI Act, y te avisamos si cambia, con la fuente oficial enlazada lista para tu expediente.
Preguntas frecuentes
¿Cómo se solapan el RGPD y el AI Act en el trabajo de un DPO?
El AI Act regula el sistema de IA (gestión de riesgos, datos de entrenamiento, supervisión humana, transparencia), mientras que el RGPD regula el tratamiento de datos personales que ese sistema realiza. Cuando un sistema de IA trata datos personales, ambos se aplican a la vez: el DPO sigue siendo la figura de referencia en protección de datos y debe valorar las EIPD y las bases de licitud del tratamiento, ahora también de los sistemas de IA.
¿Cuándo entran en vigor las obligaciones del AI Act en 2026?
Desde el 2 de agosto de 2026 aplican, entre otras, las obligaciones de transparencia del art. 50 (avisar de que se interactúa con IA y marcar el contenido generado). Las obligaciones para sistemas de alto riesgo del Anexo III estaban previstas para esa misma fecha, pero un acuerdo político (el “Digital Omnibus”) prevé posponerlas; conviene verificar el estado de adopción definitiva antes de fijar una fecha en un calendario de cumplimiento.
¿El DPO es responsable del cumplimiento del AI Act?
No de forma automática. El AI Act no designa al DPO como responsable de su cumplimiento, pero cuando el sistema de IA trata datos personales el DPO conserva sus funciones del RGPD y, en la práctica, se convierte en una pieza central de la gobernanza de IA: revisa EIPD, bases de licitud, minimización y derechos de los interesados sobre el sistema.
¿Qué directrices del EDPB de 2025 debe conocer un DPO?
Las más relevantes son las Directrices 01/2025 sobre seudonimización, las 02/2025 sobre tratamiento de datos personales mediante blockchain y las 3/2025 sobre la interacción entre la DSA y el RGPD. Marcan criterio sobre medidas de seguridad, arquitecturas inmutables y plataformas online, y conviene cruzarlas contra los clientes a los que afectan.