Si tu agente de IA maneja datos de clientes, hoy pesa más el RGPD, y por ahí conviene empezar a ordenar. El AI Act no lo sustituye ni compite con él: mira el mismo agente desde otro ángulo y añade obligaciones propias, como avisar de que se habla con una IA o cuidar la formación del equipo. Son dos normas distintas que se cruzan justo donde un agente trabaja con información de personas.
La confusión es comprensible. Las grandes empresas tienen un equipo que lleva por separado la protección de datos y la regulación de la IA. Una pyme tiene a una o dos personas que además hacen otras cosas, y necesita saber qué es lo mínimo que debe tener claro, en qué orden y cuándo conviene pedir ayuda a un asesor. Este artículo es una guía para decidir, no un dictamen legal: el asesoramiento sobre tu caso concreto lo da un profesional.
Qué mira cada norma
La diferencia más útil es la pregunta que hace cada una:
- RGPD: "¿qué haces con los datos de las personas?". Se aplica siempre que trates datos personales, con o sin inteligencia artificial. Un agente que lee correos de clientes, consulta una ficha o redacta una respuesta con el nombre y el pedido de alguien entra de lleno.
- AI Act: "¿qué sistema de IA usas y para qué?". Regula la tecnología según el uso que se le da, y puede aplicarse aunque no haya un solo dato personal de por medio. Si usas un sistema creado por otra empresa, tu papel es el de responsable de su despliegue, y también tienes obligaciones.
Dicho de otra manera: el RGPD protege a la persona cuyos datos manejas, y el AI Act ordena cómo se usa la IA en tu actividad. Un agente que conteste dudas sobre horarios sin guardar nada personal casi no activa el primero, pero sí la obligación del segundo de avisar a quien escribe de que habla con una IA.
¿Dónde se solapan y dónde se separan las dos normas?
Se solapan en todo lo que un agente hace con datos de personas, y se separan en lo que cada norma exige por su cuenta. Entender esa frontera te evita duplicar trabajo: mucho de lo que ordenas para el RGPD te sirve también para el AI Act, pero no todo, y hay obligaciones del AI Act que no tienen equivalente en la protección de datos.
Se solapan en:
- Saber con claridad qué hace el agente, con qué datos y quién lo supervisa.
- Informar con transparencia a las personas afectadas.
- Mantener supervisión humana en decisiones que pueden afectar a alguien.
- Documentar lo que se hace para poder explicarlo.
Solo el RGPD exige:
- Una base legal para tratar cada dato y no usarlos para otra cosa distinta.
- Atender los derechos de las personas, como el acceso, la rectificación o la supresión.
- Un contrato con el proveedor que trate datos por tu cuenta y medidas de seguridad adecuadas.
Solo el AI Act añade:
- Avisar de que se interactúa con una IA. Según la Comisión Europea, desde el 2 de agosto de 2026 los chatbots deben indicarlo.
- Medidas para apoyar la formación de tu equipo en el uso de la IA. Es la llamada alfabetización en IA, aplicable desde febrero de 2025.
- Prohibiciones de ciertos usos, como el reconocimiento de emociones en el trabajo, y reglas más estrictas para los sistemas de alto riesgo en áreas sensibles como el empleo o la educación, que la Comisión sitúa a partir de diciembre de 2027.
Un ejemplo hipotético: un agente que prepara una primera selección de currículos activa a la vez la protección de datos (son datos personales) y la regulación de la IA (el empleo es un área sensible). Ahí conviene consultar con un profesional antes de ponerlo en marcha, y que la decisión final sobre las personas siga siendo humana.
¿Por cuál de las dos conviene empezar a ordenar?
Empieza por el RGPD, porque es la base y ya se aplica a lo que haces con los datos de tus clientes hoy. Con ese orden hecho, el AI Act se resuelve añadiendo capas concretas en lugar de empezar de cero. Para una pyme, una secuencia razonable es esta:
- Haz un inventario de agentes. Una hoja con cada agente o herramienta de IA que uses: para qué, qué datos toca, quién lo supervisa y quién es el proveedor. Sirve para las dos normas.
- Revisa los datos que ve el agente. Pregúntate si realmente los necesita todos. Cuantos menos datos personales vea, menos riesgo asumes. La AEPD, en su decálogo de recomendaciones, aconseja no incluir en herramientas de IA datos confidenciales de la empresa, de su personal o de sus clientes.
- Cierra lo contractual con el proveedor. Quién trata los datos, con qué medidas y qué pasa si algo sale mal. Puedes apoyarte en IA y RGPD: cómo implantar inteligencia artificial cumpliendo la ley.
- Añade el aviso de transparencia. En el chat, en el teléfono o en el correo, que se vea que habla una IA.
- Forma a tu equipo y guarda constancia. La Comisión aclara que no hace falta ningún certificado: basta un registro interno de las formaciones.
- Comprueba que no estás en un uso prohibido ni de alto riesgo. Si hay duda, se consulta.
Para el detalle de obligaciones del AI Act en una pyme, tienes el EU AI Act explicado para pymes y el checklist de cumplimiento del AI Act. Las fechas han cambiado en los últimos años, así que verifica siempre el calendario con tu asesor.
Qué hace el agente y qué sigue haciendo una persona
Un agente bien configurado puede ayudar con el cumplimiento, no solo ser objeto de él: mantiene el inventario actualizado, deja un registro de lo que hace, evita tratar datos que no necesita y prepara el borrador de respuesta a una solicitud de acceso o de supresión para que lo revise una persona. Sobre esto último, cómo automatizar la gestión de solicitudes RGPD con IA explica el procedimiento.
Lo que no hace, y no debe hacer, es decidir la base legal de un tratamiento, firmar contratos, valorar si un uso es de alto riesgo o responder ante una autoridad. Eso corresponde a tu asesor o a tu delegado de protección de datos, y la decisión de cuánto riesgo asumir es tuya.
Fuentes
- Comisión Europea, AI Act: calendario de aplicación, prohibiciones y obligaciones de transparencia (consultada el 1 de octubre de 2026).
- Comisión Europea, Preguntas y respuestas sobre alfabetización en IA.
- AEPD, decálogo de recomendaciones para proteger la privacidad al usar herramientas de IA (27 de enero de 2026).
Conclusión
Entre el AI Act y el RGPD no hay que elegir, sino ordenarlos: el RGPD primero, porque protege los datos de tus clientes desde ya, y después las capas propias del AI Act, que giran en torno a la transparencia, la formación y el tipo de uso. Un inventario sencillo de tus agentes es la pieza que sirve para las dos.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica, y con un registro claro de qué datos usan para que tu asesor pueda trabajar sobre algo concreto.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.