OVERSERA

Governance AtlasEspaña

Protección de datos e inteligencia artificial

Naturaleza
Norma vigente, más recursos de la autoridad.
Jurisdicción
España

Si un sistema trata datos personales, la base está en el Reglamento (UE) 2016/679 y en la Ley Orgánica 3/2018. Los materiales de la AEPD ayudan a leer esa base. No ocupan su lugar, y no todos tienen la misma naturaleza.

Identidad y naturaleza

Hay dos normas y un conjunto de recursos. Las normas son el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Los recursos seleccionados los publica la Agencia Española de Protección de Datos.

El artículo 2.1 de la ley orgánica aplica sus títulos I a IX y los artículos 89 a 94 a cualquier tratamiento total o parcialmente automatizado de datos personales, y al tratamiento no automatizado contenido o destinado a un fichero. En el texto consolidado consultado, cuya última actualización publicada es la del 27 de diciembre de 2025, no aparece la expresión «inteligencia artificial».

Base normativa

El Reglamento (UE) 2016/679 se leyó en el texto original del Diario Oficial de la Unión Europea, L 119, de 4 de mayo de 2016, páginas 1 a 88, reproducido por el BOE con el identificador DOUE-L-2016-80807. No es un texto consolidado. Las correcciones de errores del DOUE L 127, de 23 de mayo de 2018, y del DOUE L 74, de 4 de marzo de 2021, no modifican el artículo 22. La de 2021 corrige el artículo 18.1.a, sobre la impugnación de la exactitud de los datos, y no el artículo 5 ni el 22.

El artículo 22 reconoce a todo interesado el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. El apartado 2 deja fuera ese derecho cuando la decisión es necesaria para celebrar o ejecutar un contrato, cuando la autoriza el Derecho de la Unión o de los Estados miembros con medidas adecuadas de salvaguarda, o cuando se basa en el consentimiento explícito. En los casos de contrato y de consentimiento, el apartado 3 exige como mínimo el derecho a obtener intervención humana del responsable, a expresar el punto de vista y a impugnar la decisión. El apartado 4 impide basar esas decisiones en las categorías especiales del artículo 9.1, salvo las letras a o g de su apartado 2 y con salvaguardas. El precepto no alcanza cualquier uso de inteligencia artificial: exige una decisión basada únicamente en tratamiento automatizado y un efecto jurídico o equivalente.

El artículo 5.1.d del mismo texto original dice que los datos personales serán exactos y, si fuera necesario, actualizados, y que se adoptarán medidas razonables para suprimir o rectificar sin dilación los que sean inexactos respecto de los fines del tratamiento. La ley orgánica española acompaña al reglamento. En su texto consolidado no aparece la expresión «inteligencia artificial». El artículo 2.1 sí incluye el tratamiento total o parcialmente automatizado de datos personales.

Recursos de la AEPD

El índice «Innovación y Tecnología», con última modificación el 14 de septiembre de 2026, agrupa materiales de naturaleza distinta. Esta ficha selecciona unos pocos y no los etiqueta como un solo bloque de orientación.

«Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción» es un PDF de febrero de 2020. Se comprobó la portada, no el cuerpo.

«Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial» aparece en el índice en julio de 2026. Su resumen ejecutivo distingue la calidad de los datos y el principio de exactitud del artículo 5.1.d: dice que están relacionados y que no son conceptos equivalentes. También dice que la calidad no se limita a los datos de entrada. No se leyó cada capítulo. La distinción es del documento de la AEPD, no un artículo nuevo del reglamento.

«Evaluación de la intervención humana en las decisiones automatizadas», del 4 de marzo de 2024, es un artículo de la Agencia. Recomienda valorar si la persona que interviene tiene autoridad y competencia, preparación, independencia y diligencia, y medios, información y tiempo para discutir la decisión. Comenta el artículo 22 y cita la sentencia del Tribunal de Justicia de 7 de diciembre de 2023, asunto C-634/21, SCHUFA. Es una recomendación de la autoridad. El texto del artículo 22 es el del DOUE, no esta recomendación.

«Inteligencia artificial agéntica desde la perspectiva de protección de datos», versión 1.2 de febrero de 2026, se presenta como orientaciones. El resumen ejecutivo las dirige a responsables y encargados que se planteen usar sistemas de IA agéntica en tratamientos de datos personales. Dice que no analiza el cumplimiento de un tratamiento concreto, sino las peculiaridades de implementarlo total o parcialmente con agentes. El índice anuncia vulnerabilidades, aspectos de cumplimiento y medidas.

La «Política general para el uso de IA generativa en procesos administrativos de la AEPD», versión del 27 de noviembre de 2025, y el «Resumen básico de obligaciones y recomendaciones para la gestión de IAG en la AEPD», de enero de 2026, describen el uso interno de IA generativa en la propia Agencia. El resumen dice que se dirige a los órganos de decisión y a los equipos que implantan esos casos de uso en la AEPD, y que su lista no es exhaustiva. No son una política obligatoria para cualquier empresa.

Qué no permite concluir

  • No cabe llamar «simple orientación» al conjunto formado por el RGPD, la ley orgánica y los materiales de la AEPD. Las dos primeras son normas. Los materiales son recursos, y entre ellos hay una política interna de la Agencia.
  • No cabe exportar la política de IA generativa de la AEPD como obligación general de otras organizaciones.
  • No cabe extender el artículo 22 a cualquier sistema de inteligencia artificial. Hace falta la decisión automatizada y el efecto que el precepto describe, y siguen en pie sus excepciones y garantías.

Explicación de Oversera

La lectura de Oversera para el Consejo

La primera información es si hay datos personales y quién es responsable del tratamiento. Sin eso, una guía de la AEPD no indica todavía qué norma toca abrir.

Si hay decisiones automatizadas sobre personas, el artículo de 2024 ofrece una pregunta de gestión: quién puede cambiar de verdad el resultado, con competencia, información y tiempo. Esa pregunta no sustituye al artículo 22 ni clasifica el sistema.

Si la dirección cita la política interna de la AEPD, el Consejo puede pedir que se deje claro que ese documento ordena el uso dentro de la Agencia.

Lectura editorial de Oversera. No sustituye la determinación jurídica aplicable al caso concreto.

Preguntas de Oversera

Preguntas para el Consejo

  1. ¿Este sistema trata datos personales y quién figura como responsable o encargado?
  2. Si hay una decisión automatizada con efectos sobre las personas, ¿la intervención humana puede modificar el resultado o es solo una revisión formal?
  3. ¿Qué documento de la AEPD se está usando, y es una norma, una orientación o la política interna de la propia Agencia?

Fuentes

  • Norma

    Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016externo

    Editor
    Diario Oficial de la Unión Europea, reproducido por el Boletín Oficial del Estado
    Localización
    DOUE L 119, de 4 de mayo de 2016. Artículo 5.1.d y artículo 22. PDF: https://www.boe.es/doue/2016/119/L00001-00088.pdf
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Texto original del DOUE alojado por el BOE, identificador DOUE-L-2016-80807. Se leyeron el artículo 5, apartado 1, letra d, y el artículo 22 completo. Se revisaron las correcciones de errores DOUE-L-2018-80845 y DOUE-L-2021-80264 en busca de cambios a esos preceptos.

    Es el texto original del Diario Oficial, no un texto consolidado. La corrección del DOUE L 127, de 23 de mayo de 2018, no modifica los artículos 5 ni 22. La del DOUE L 74, de 4 de marzo de 2021, corrige el artículo 18.1.a y no el artículo 22 ni el artículo 5. Una descarga anterior del HTML de EUR-Lex devolvió HTTP 202; el articulado citado se leyó en esta reproducción del BOE.

  • Texto consolidado

    Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitalesexterno

    Editor
    Boletín Oficial del Estado
    Localización
    BOE-A-2018-16673. Artículo 2.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Texto consolidado. La página indica última actualización publicada el 27/12/2025. Se leyó el artículo 2 y se buscó la expresión «inteligencia artificial» en el texto extraído, sin resultados.

    La ausencia de esa expresión en el texto extraído no equivale a un dictamen sobre todo el régimen de decisiones automatizadas. El texto consolidado no sustituye al acto auténtico.

  • Autoridad

    Innovación y Tecnologíaexterno

    Editor
    Agencia Española de Protección de Datos
    Localización
    Apartado Inteligencia artificial y decisiones automatizadas.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Índice de la AEPD. La página indica última modificación el 14 de septiembre de 2026. Se localizó el apartado «Inteligencia artificial y decisiones automatizadas» y los enlaces de los recursos seleccionados.

    La fecha del índice no acredita que cada PDF enlazado haya sido revisado ese mismo día.

  • Orientación oficial

    Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducciónexterno

    Editor
    Agencia Española de Protección de Datos
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Portada del PDF. Figura como introducción y fecha «Febrero de 2020».

    No se extrajo el índice ni el cuerpo. La fecha es la que aparece en portada, no un día concreto.

  • Orientación oficial

    Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificialexterno

    Editor
    Agencia Española de Protección de Datos
    Localización
    Resumen ejecutivo e índice.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    El índice de la AEPD lo fecha en julio de 2026. Se leyeron la portada, el resumen ejecutivo y el índice del PDF, de 23 páginas.

    El PDF no muestra en la portada un día concreto de versión. Julio de 2026 es la fecha del índice de la AEPD, no una fecha leída dentro del archivo.

  • Orientación oficial

    Evaluación de la intervención humana en las decisiones automatizadasexterno

    Editor
    Agencia Española de Protección de Datos
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Artículo publicado en el sitio de la AEPD, fechado el 4 de marzo de 2024. Se leyó el cuerpo del artículo.

    Es un artículo de la División de Innovación y Tecnología. Comenta el artículo 22 y materiales del Grupo de Trabajo del artículo 29. No sustituye al texto del DOUE.

  • Orientación oficial

    Inteligencia artificial agéntica desde la perspectiva de protección de datosexterno

    Editor
    Agencia Española de Protección de Datos
    Localización
    Resumen ejecutivo.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Portada, resumen ejecutivo e índice de las primeras páginas. El PDF declara 76 páginas y la versión V1.2 de febrero de 2026.

    No se leyó el desarrollo de cada vulnerabilidad ni el catálogo de medidas.

  • Orientación oficial

    Política general para el uso de IA generativa en procesos administrativos de la AEPDexterno

    Editor
    Agencia Española de Protección de Datos
    Localización
    Portada e índice.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Portada e índice. La portada indica «Versión: 27 de noviembre de 2025» y limita el objeto a los procesos administrativos de la AEPD.

    Describe el uso interno de IA generativa en la AEPD. No se leyó como política general obligatoria para otras organizaciones.

  • Orientación oficial

    Resumen básico de obligaciones y recomendaciones para la gestión de IAG en la AEPDexterno

    Editor
    Agencia Española de Protección de Datos
    Localización
    Primera página.
    Comprobado
    30 de septiembre de 2026
    Alcance y límite de esta fuente

    Primera página. Se identifica como resumen de enero de 2026, dentro de la política interna de noviembre de 2025 y de su anexo de diciembre de 2025.

    El propio texto dice que la lista no es exhaustiva y que se dirige a los órganos de decisión y equipos que implantan casos de uso de IA generativa en la AEPD. Enero de 2026 no fija un día.

Comprobación

Comprobado el 30 de septiembre de 2026. Artículos 5.1.d y 22 del texto original del RGPD en el BOE (DOUE-L-2016-80807), correcciones de 2018 y 2021, artículo 2 de la LOPDGDD consolidada e índice de la AEPD, consultados el 30 de septiembre de 2026.

Relacionado

Volver a EspañaVolver a Atlas