RGPD 2026: cambios que afectan a las empresas

El RGPD se aplica desde 2018 y sigue siendo en 2026 la base para el tratamiento de datos personales. El uso de IA añade obligaciones de transparencia para determinados sistemas en virtud del Reglamento de IA. Las transferencias de datos a EE. UU. y los incidentes de seguridad requieren un examen de cada caso concreto. Las empresas deben documentar los flujos de datos, las responsabilidades y los canales de notificación.

Revisar el uso de IA y la protección de datos

Quien trate datos personales con una herramienta de IA necesita una base jurídica adecuada y debe informar a las personas afectadas conforme a lo dispuesto en el RGPD. Las empresas deben dejar constancia de qué datos se tratan, con qué finalidad y qué proveedores de servicios tienen acceso a ellos.

Es necesaria una evaluación de impacto relativa a la protección de datos cuando es probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. La respuesta depende del uso concreto. El artículo 22 del RGPD contempla las decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos en una persona o la afecten significativamente de modo similar. A estas decisiones se aplican garantías específicas y excepciones.

Desde el 2 de agosto de 2026 también se aplican determinadas obligaciones de transparencia del Reglamento de IA. Entre ellas figura, bajo determinadas condiciones, la obligación de informar a una persona de que está interactuando con un sistema de IA. La obligación aplicable depende, entre otros factores, de si se actúa como proveedor o responsable del despliegue.

Controlar las transferencias de datos a EE. UU.

La decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. permite transferir datos personales a organizaciones estadounidenses certificadas en virtud de este marco. Antes de una transferencia, las empresas deben comprobar si la certificación cubre al destinatario concreto y el tratamiento en cuestión. El resto de las obligaciones del RGPD siguen vigentes.

Si no existe una base adecuada mediante una decisión de adecuación, pueden recurrirse, por ejemplo, a cláusulas contractuales tipo como garantías adecuadas. En ese caso, debe comprobarse si se garantiza el nivel de protección en la transferencia concreta y si son necesarias medidas adicionales. Los flujos de datos y las bases contractuales deben documentarse de forma trazable.

Notificar las violaciones de datos y los incidentes de seguridad

Por regla general, una violación de la seguridad de los datos personales debe notificarse a la autoridad de control de protección de datos competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que se tenga conocimiento de ella. La notificación no es necesaria si es improbable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas. En caso de alto riesgo, puede ser necesario informar también a las personas afectadas.

Para las entidades importantes y especialmente importantes, el § 32 de la Ley del BSI prevé, en caso de incidentes de seguridad significativos, una alerta temprana en un plazo de 24 horas y otra notificación en un plazo de 72 horas al punto de notificación común. La obligación se aplica, como muy pronto, desde la habilitación del canal de notificación. Debe comprobarse por separado si un incidente está sujeto a ambas normas. Un plan de actuación común con responsabilidades claras ayuda a iniciar a tiempo ambas comprobaciones.

Preguntas frecuentes

Cada pregunta está cerrada. Toca para desplegar la respuesta.

¿Es necesaria una evaluación de impacto relativa a la protección de datos para cada herramienta de IA?

No. Lo determinante es si es probable que el tratamiento concreto entrañe un alto riesgo para los derechos y libertades de las personas físicas.

¿Basta el Marco de Privacidad de Datos para cualquier proveedor estadounidense?

No. El destinatario concreto debe estar certificado en virtud del marco para el tratamiento en cuestión. También siguen vigentes los demás requisitos del RGPD.

¿Hay que notificar dos veces cada ciberincidente?

No. El RGPD se refiere a las violaciones de la seguridad de los datos personales sujetas a notificación. La Ley del BSI contempla los incidentes de seguridad significativos en las entidades afectadas. Ambas condiciones pueden darse al mismo tiempo.

Selección editorial

RecomendadoLista de comprobación NIS2 2026: Qué deben implementar ya las empresasRecomendadoReglamento sobre IA de la UE 2026: Qué significa el Reglamento sobre IA de la UE para la ciberseguridadRecomendadoSeguridad Multi-Cloud 2026: Los 5 mayores riesgos y cómo solucionarlos

Más de la red MBF Media

cloudmagazinTendencias cloud 2026: Lo esencial para responsables de TIMyBusinessFutureIA Hecha en Alemania: 935 startups y un ecosistema que madura