¿Es seguro usar IA con los datos de tus clientes? Guía para pymes

Introducción

La inteligencia artificial ha pasado en pocos años de ser un experimento a una herramienta habitual en la empresa europea. Según datos de Eurostat, en 2024 el 13,5 % de las empresas de la UE con 10 o más empleados utilizan alguna tecnología de IA, frente al 8 % de 2023 (Eurostat, 2024). Este crecimiento se da también en las pequeñas y medianas empresas, aunque con niveles de adopción inferiores a las grandes compañías (Eurostat, 2024).

Para una pyme que trabaja con datos de clientes, la pregunta no es si la IA es útil, sino si al usarla está exponiendo información personal, qué obligaciones tiene y qué responsabilidad asume. La preocupación es razonable: las brechas de datos y las sanciones por incumplimiento del RGPD han aumentado de forma significativa en los últimos años (AEPD, 2023; AEPD, 2024). El nuevo Reglamento Europeo de IA añade además una capa regulatoria específica para determinados sistemas de alto riesgo, que muchas empresas aún no conocen bien (Joswig y Kurz, 2025; Parlamento Europeo y Consejo, 2024).

Este artículo ofrece una visión rigurosa, pero accesible, sobre si es seguro usar IA con datos de clientes en una pyme, bajo el marco del Reglamento General de Protección de Datos (RGPD) y el Reglamento (UE) 2024/1689 de Inteligencia Artificial, con foco en España y la UE (Parlamento Europeo y Consejo, 2016; Parlamento Europeo y Consejo, 2024). No sustituye al asesoramiento jurídico, pero sí pretende ayudar a formular las preguntas correctas antes de lanzar un proyecto de IA que implique datos personales.

Marco normativo aplicable

RGPD y normativa española

El RGPD es la norma básica que regula el tratamiento de datos personales en la Unión Europea, incluyendo cualquier uso de IA que implique datos de clientes identificados o identificables (Parlamento Europeo y Consejo, 2016). El artículo 4 define “datos personales” como cualquier información sobre una persona física identificada o identificable, y el artículo 5 establece principios como licitud, lealtad, transparencia, minimización, exactitud, limitación de la conservación y seguridad (Parlamento Europeo y Consejo, 2016, arts. 4 y 5).

Para una pyme, las obligaciones clave están en la figura de “responsable del tratamiento”, es decir, quien decide fines y medios del tratamiento (artículo 4.7), y en la gestión de “encargados del tratamiento”, como proveedores de servicios en la nube que procesan datos por cuenta de la empresa (artículo 28) (Parlamento Europeo y Consejo, 2016, arts. 4 y 28). Además, el RGPD exige notificar brechas de datos a la autoridad de control (artículo 33), informar a los afectados en ciertos casos (artículo 34), aplicar medidas técnicas y organizativas apropiadas (artículo 32) y realizar evaluaciones de impacto en protección de datos (EIPD) cuando el tratamiento entraña alto riesgo para los derechos y libertades de las personas físicas (artículo 35) (Parlamento Europeo y Consejo, 2016, arts. 32–35).

En España, el RGPD se complementa con la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que desarrolla y adapta el marco europeo al ordenamiento interno (Ministerio de Hacienda, 2026). La Agencia Española de Protección de Datos (AEPD) publica, además, guías específicas para autónomos y pymes sobre cifrado, gestión de brechas y tratamientos que incluyen IA, que son una referencia práctica importante (AEPD, 2025; AEPD, 2026).

Reglamento Europeo de IA

El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial, establece normas armonizadas para el desarrollo, puesta en servicio y uso de sistemas de IA en la Unión (Parlamento Europeo y Consejo, 2024). Su objetivo es asegurar una IA centrada en el ser humano y fiable, garantizando un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales, incluyendo la protección de datos personales (Parlamento Europeo y Consejo, 2024, art. 1).

El Reglamento introduce una clasificación de sistemas de IA en función del riesgo (prohibidos, alto riesgo, sistemas de IA de propósito general, etc.), con obligaciones más exigentes para los sistemas de alto riesgo, por ejemplo en ámbitos como crédito, empleo o acceso a servicios esenciales (Parlamento Europeo y Consejo, 2024, arts. 5 y 6). Para estos sistemas se exige un sistema de gestión de riesgos continuo, gobernanza de datos, documentación técnica, trazabilidad, supervisión humana y robustez, entre otros requisitos (Parlamento Europeo y Consejo, 2024, arts. 9–15).

Aunque el Reglamento de IA es directamente aplicable desde 2024, gran parte de sus disposiciones entran en vigor de forma escalonada; la norma será plenamente aplicable a partir del 2 de agosto de 2026, con plazos específicos para distintas obligaciones (Parlamento Europeo y Consejo, 2024, art. 113). El Comité Europeo de Protección de Datos (CEPD) ha subrayado que, cuando un sistema de IA implique tratamiento de datos personales, el RGPD sigue siendo plenamente aplicable y las autoridades de protección de datos deben participar activamente en su supervisión (CEPD, 2024).

Otros instrumentos relevantes

Más allá del RGPD y el Reglamento de IA, el ecosistema regulatorio europeo incluye otros textos que afectan indirectamente a proyectos de IA con datos de clientes. La AEPD, por ejemplo, ha publicado un “Mapa de referencia para tratamientos que incluyen inteligencia artificial” que sintetiza la interacción entre RGPD, Reglamento de IA, Reglamento de Datos y otras normas sectoriales (AEPD, 2025). Este mapa resulta útil para entender que el cumplimiento de protección de datos es un componente dentro de un marco más amplio de gobernanza de datos y seguridad.

A nivel internacional, la Recomendación del Consejo de la OCDE sobre la Inteligencia Artificial establece principios de administración responsable de sistemas de IA, incluyendo respeto a la privacidad y protección de datos, transparencia, robustez y rendición de cuentas (OCDE, 2023). Un informe específico de la OCDE sobre IA, gobernanza de datos y privacidad concluye que, pese a los desafíos, los desarrollos tecnológicos y regulatorios de la IA son en general compatibles con las reglas de privacidad si se aplican principios de diseño responsable y medidas de protección adecuadas (OCDE, 2024).

Estado de la cuestión: incidentes y preocupación empresarial

Los datos disponibles muestran que el riesgo de brechas de datos personales es real y creciente en España y la Unión Europea, aunque no derivado exclusivamente del uso de IA. La memoria anual de la AEPD indica que en 2023 se recibieron 2.004 notificaciones de brechas de datos personales, un incremento del 10 % respecto a 2022, siendo la mayoría en el sector privado (AEPD, 2023). En 2024 las notificaciones aumentaron hasta 2.933, lo que supone un incremento superior al 46 % respecto al año anterior, con un impacto estimado en alrededor de 100 millones de personas afectadas o potencialmente afectadas (AEPD, 2024).

Las brechas más graves se relacionan frecuentemente con ransomware, intrusiones en sistemas de información y fallos de seguridad que permiten la exfiltración de grandes volúmenes de datos personales, tanto en entidades públicas como privadas (AEPD, 2023). Las sanciones vinculadas a brechas de datos han representado porcentajes significativos del importe total de las multas impuestas por la AEPD: en 2023 las brechas concentraron una parte relevante de los 29,8 millones de euros en sanciones, y en 2024 supusieron aproximadamente el 37 % de la cuantía total, con más de 13 millones de euros en multas por brechas (AEPD, 2023; AEPD, 2025).

A nivel europeo, los informes de ENISA sobre el panorama de amenazas señalan un aumento en el número y complejidad de los incidentes de ciberseguridad entre 2023 y 2024, con ransomware y ataques contra la disponibilidad (DDoS) como amenazas principales, seguidos de amenazas contra los datos, como brechas y fugas de información (ENISA, 2024). ENISA destaca además que un porcentaje relevante de los incidentes tiene su origen en errores humanos, lo que apunta a la importancia de la formación y las políticas internas, más allá de la tecnología concreta utilizada (ENISA, 2024).

En paralelo, estudios sobre pymes europeas revelan que, aunque existe una alta familiaridad con el RGPD, el conocimiento sobre el Reglamento de IA y sus implicaciones es menor y heterogéneo según el sector (Joswig y Kurz, 2025). Las principales dificultades identificadas incluyen recursos limitados, ambigüedad en la clasificación de sistemas de alto riesgo y la complejidad de cumplir simultáneamente con el RGPD y el Reglamento de IA (Joswig y Kurz, 2025). Todo ello configura un contexto en el que la preocupación empresarial por privacidad y cumplimiento normativo es creciente y justificada.

Análisis: riesgos reales frente a riesgos percibidos

Qué significa “usar IA” con datos de clientes

No todos los usos de IA con datos de clientes son iguales desde el punto de vista jurídico y de riesgo. A grandes rasgos, se pueden distinguir tres escenarios frecuentes en pymes:

1. Uso de servicios de IA en la nube de terceros sin un contrato específico de encargado del tratamiento.
2. Uso de un proveedor de IA con contrato formal de encargado del tratamiento bajo el RGPD.
3. Implementación de modelos de IA autoalojados dentro de la infraestructura de la propia empresa o de un proveedor europeo con fuerte control sobre los datos.

En todos los casos, si se procesan datos de clientes identificados o identificables, el RGPD aplica y la pyme sigue siendo responsable del tratamiento, aunque delegue parte de las operaciones en terceros (Parlamento Europeo y Consejo, 2016, arts. 4 y 28). El CEPD ha resaltado que el tratamiento de datos personales en el desarrollo y uso de modelos de IA exige una evaluación exhaustiva de la licitud del tratamiento en todas las fases, incluyendo entrenamiento, despliegue y uso cotidiano (CEPD, 2024).

Escenario 1: servicio en la nube de terceros

En este escenario, la empresa usa herramientas de IA “de consumo” o servicios en la nube con condiciones de uso genéricas, sin un contrato específico de encargado del tratamiento. El riesgo principal es que el proveedor trate los datos no solo para prestar el servicio, sino también para otros fines, como la mejora de modelos, analítica o incluso usos comerciales, convirtiéndose potencialmente en responsable del tratamiento independiente (Parlamento Europeo y Consejo, 2016, art. 4.7).

Sin un acuerdo que cumpla el artículo 28 del RGPD (contrato de encargado del tratamiento), la pyme tiene dificultades para garantizar que el proveedor solo actúa siguiendo sus instrucciones, que aplica medidas de seguridad adecuadas y que informa sobre subencargados y transferencias internacionales (Parlamento Europeo y Consejo, 2016, art. 28). Además, muchos proveedores globales alojan datos fuera de la UE, lo que añade requisitos de transferencias internacionales y evaluación de garantías adecuadas (Parlamento Europeo y Consejo, 2016, arts. 44–49). Este es el escenario con mayor riesgo de falta de control sobre el ciclo de vida de los datos.

Escenario 2: proveedor con contrato de encargado del tratamiento

Cuando la pyme contrata un servicio de IA empresarial con un contrato de encargado del tratamiento alineado con el artículo 28 RGPD, el marco de garantías mejora sustancialmente (Parlamento Europeo y Consejo, 2016, art. 28). El contrato debe especificar, entre otros, objeto y duración del tratamiento, tipo de datos, categorías de interesados, obligaciones y derechos del responsable, medidas de seguridad, reglas sobre subencargados y condiciones para las transferencias fuera de la UE (Parlamento Europeo y Consejo, 2016, art. 28).

En este contexto, el proveedor se compromete a tratar los datos únicamente según las instrucciones de la pyme, a implementar medidas técnicas como cifrado, control de acceso, registro de actividades y a colaborar en la gestión de brechas y ejercicio de derechos (AEPD, 2025). El Reglamento de IA añade requisitos específicos si el sistema contratado se clasifica como de alto riesgo, por ejemplo la exigencia de documentación, trazabilidad y supervisión humana, lo que en la práctica se plasma en cláusulas adicionales de cumplimiento (Parlamento Europeo y Consejo, 2024, arts. 9–15).

El riesgo no desaparece, pero se traslada en parte a la diligencia en la selección del proveedor y en la revisión del contrato. La pyme sigue siendo responsable frente a sus clientes, pero puede demostrar que ha elegido un proveedor que cumple estándares normativos y de seguridad razonables (AEPD, 2026; Joswig y Kurz, 2025).

Escenario 3: modelo autoalojado en la UE

En el tercer escenario, la empresa despliega modelos de IA en su propia infraestructura o en la de un proveedor europeo con fuerte control sobre los datos, sin que estos salgan del perímetro definido. Desde la perspectiva de protección de datos, esto reduce riesgos de transferencias internacionales y de usos secundarios no autorizados, porque la pyme mantiene un control más directo sobre el almacenamiento y el acceso (Ministerio de Hacienda, 2026).

Sin embargo, el RGPD sigue aplicando plenamente: la empresa debe definir la base jurídica del tratamiento (por ejemplo, ejecución de contrato, cumplimiento de obligación legal o interés legítimo), documentar la evaluación de ponderación cuando se usa el interés legítimo y aplicar medidas de seguridad técnicas y organizativas adecuadas al riesgo (Parlamento Europeo y Consejo, 2016, arts. 6, 24 y 32). El CEPD ha advertido que incluso cuando un modelo se considera “entrenado” y se despliega internamente, pueden seguir existiendo riesgos de extracción o inferencia de datos personales a partir del modelo, por lo que la evaluación de anonimización debe hacerse caso por caso (CEPD, 2024).

En este escenario, la principal ventaja es la mayor capacidad de gobernanza interna sobre los datos y la arquitectura, pero también exige más madurez técnica y organizativa por parte de la pyme, incluyendo recursos para seguridad, auditoría y evaluación de impacto (AEPD, 2025; Lorè et al., 2023).

Riesgos reales: brechas, fugas y uso secundario

Los datos de la AEPD y ENISA sugieren que los riesgos más frecuentes no derivan de la tecnología de IA en sí, sino de factores clásicos de seguridad y gobernanza: configuración deficiente, ausencia de controles de acceso, falta de cifrado, errores humanos, ausencia de procedimientos de respuesta a incidentes y subestimación del impacto de las brechas (AEPD, 2023; ENISA, 2024). La introducción de IA puede amplificar algunos vectores, por ejemplo a través de campañas de phishing más sofisticadas o automatización de ataques, pero no sustituye al riesgo básico de una infraestructura mal protegida (ENISA, 2024).

Un riesgo específico asociado a proyectos de IA es el “uso secundario” de datos: entrenar modelos con datos recopilados para un fin diferente sin base jurídica clara o sin informar a los interesados. El CEPD ha recordado que si la fase de desarrollo de un modelo carece de base legal adecuada para el tratamiento de datos, esto puede invalidar el tratamiento posterior en la fase de implementación y dar lugar a medidas correctivas, incluyendo sanciones o la obligación de borrar la base de datos utilizada (CEPD, 2024). Este riesgo es especialmente relevante cuando se reutilizan históricos de atención al cliente, emails o registros de navegación para entrenar modelos sin revisión jurídica previa (AEPD, 2026).

Riesgos percibidos: “la IA lo ve todo”

En el otro extremo, muchas empresas sobreestiman el riesgo en términos técnicos y subestiman el riesgo organizativo. Es frecuente encontrar la idea de que cualquier uso de IA implica que “la máquina lo ve todo” y que los datos se “suben a la nube para siempre”, incluso cuando se trata de implementaciones autoalojadas o servicios configurados para no almacenar prompts ni resultados (AEPD, 2026). La OCDE subraya que un enfoque equilibrado debe distinguir entre riesgos inherentes a ciertas arquitecturas y riesgos gestionables mediante medidas de diseño y gobernanza, incluyendo privacidad desde el diseño y tecnologías de mejora de la privacidad (OCDE, 2024; OCDE, 2025).

Otra percepción común es que la IA es “incompatible” con el RGPD, cuando la evidencia apunta a lo contrario: proyectos que integran evaluaciones de impacto, minimización de datos, controles de acceso y mecanismos de transparencia consiguen combinar innovación con cumplimiento, incluso en entornos públicos con fuertes exigencias regulatorias (Lorè et al., 2023). El problema no es tanto la IA en sí, sino el despliegue apresurado sin mapa de riesgos ni consulta a especialistas cuando el contexto lo exige (Joswig y Kurz, 2025).

Discusión: errores y malentendidos frecuentes

La AEPD y el CEPD han documentado una serie de malentendidos habituales sobre IA y protección de datos que afectan directamente a pymes (AEPD, 2026; CEPD, 2024). Algunos de los más relevantes son:

• Creer que si los datos se “pseudonimizan” o se eliminan ciertos identificadores, el RGPD deja de aplicarse. En realidad, mientras exista la posibilidad razonable de reidentificación con medios adicionales, se sigue tratando de datos personales y el RGPD aplica (Parlamento Europeo y Consejo, 2016, art. 4).
• Pensar que un modelo entrenado deja de contener riesgos para la privacidad. El CEPD ha enfatizado que la anonimización de modelos de IA no puede asumirse automáticamente: es necesario demostrar que no es posible extraer datos personales ni inferir información identificable con medios razonables (CEPD, 2024).
• Asumir que el proveedor de IA es “el responsable” y que la empresa usuaria queda exonerada. El RGPD establece que quien decide fines y medios del tratamiento (por ejemplo, usar IA para mejorar atención al cliente) es el responsable, aunque utilice encargados del tratamiento; el proveedor puede ser responsable independiente para ciertos usos, pero esto no elimina la responsabilidad de la pyme (Parlamento Europeo y Consejo, 2016, art. 4.7).
• Interpretar que el consentimiento dado por el cliente para recibir comunicaciones comerciales cubre automáticamente cualquier uso de IA con sus datos. El RGPD exige que el consentimiento sea específico e informado; usar datos para entrenar modelos, perfilado avanzado o decisiones automatizadas puede requerir bases jurídicas adicionales o información más detallada (Parlamento Europeo y Consejo, 2016, arts. 6 y 22).
• Olvidar que los registros de actividad, los prompts introducidos en herramientas de IA y los logs de sistemas pueden ser datos personales, especialmente cuando se asocian a usuarios identificables. No tratarlos como tal genera riesgos de incumplimiento y brechas inadvertidas (AEPD, 2025).
• Considerar que las evaluaciones de impacto en protección de datos (EIPD) son opcionales o solo para grandes empresas. El artículo 35 RGPD obliga a realizar una EIPD cuando un tratamiento entraña un alto riesgo, lo que puede ocurrir en proyectos de IA que manejan grandes volúmenes de datos sensibles, realizan perfilado intensivo o afectan a decisiones con efectos significativos (Parlamento Europeo y Consejo, 2016, art. 35).

Estos malentendidos suelen combinarse con decisiones de compra tecnológicas basadas en promesas de eficiencia, sin integrar a tiempo al delegado de protección de datos o al asesor jurídico en la fase de diseño (AEPD, 2026). La consecuencia es que los problemas se detectan tarde, cuando el sistema ya está en producción, aumentando el coste de corrección y el riesgo de sanción.

Conclusiones: qué debe verificar una pyme antes de lanzar un proyecto de IA

Antes de poner en marcha un proyecto de IA que trate datos personales de clientes, una pyme debería, como mínimo, verificar los siguientes puntos. En casos complejos, especialmente si hay datos sensibles, decisiones automatizadas significativas o uso de sistemas de alto riesgo según el Reglamento de IA, conviene recabar asesoramiento jurídico y de protección de datos especializado.

1. Definir claramente el caso de uso y los datos afectados. Identificar qué problema se quiere resolver, qué datos se van a utilizar (identificadores, historiales de compra, comunicaciones, datos sensibles) y si se trata de entrenamiento de modelos, uso de modelos ya entrenados o ambas cosas (Parlamento Europeo y Consejo, 2016).

2. Determinar la base jurídica del tratamiento. Ver si el tratamiento se apoya en la ejecución de un contrato, el cumplimiento de una obligación legal, el interés legítimo o el consentimiento, documentando especialmente el análisis de interés legítimo cuando se usa esta base (Parlamento Europeo y Consejo, 2016, art. 6; CEPD, 2024).

3. Mapear roles y responsabilidades. Identificar quién es el responsable del tratamiento (normalmente la propia pyme), qué proveedores actúan como encargados y si existe alguna corresponsabilidad, reflejándolo en contratos y acuerdos de tratamiento (Parlamento Europeo y Consejo, 2016, art. 28; AEPD, 2026).

4. Revisar el contrato con el proveedor de IA. Comprobar que cumple los requisitos del artículo 28 RGPD: instrucciones claras, medidas de seguridad, gestión de subencargados, cooperación en brechas y ejercicio de derechos, así como la política de uso de datos para entrenamiento y la posibilidad de excluir datos de ciertos usos (Parlamento Europeo y Consejo, 2016, art. 28).

5. Analizar localización y transferencias de datos. Ver dónde se almacenan y procesan los datos (UE, Espacio Económico Europeo, terceros países) y si existen mecanismos adecuados para transferencias internacionales (cláusulas tipo, decisiones de adecuación, etc.) (Parlamento Europeo y Consejo, 2016, arts. 44–49).

6. Evaluar si el sistema de IA entra en categorías de riesgo del Reglamento de IA. Revisar si el caso de uso puede clasificarse como sistema de alto riesgo, por ejemplo en ámbitos de empleo, crédito o servicios esenciales, y qué obligaciones adicionales conlleva (Parlamento Europeo y Consejo, 2024, arts. 5–6 y 9–15). En caso de duda, es razonable consultar a especialistas o al delegado de protección de datos.

7. Aplicar medidas técnicas y organizativas adecuadas. Implantar cifrado, control de accesos, registro de operaciones, pruebas de seguridad, políticas de retención y borrado de datos, y considerar tecnologías de mejora de la privacidad (como entornos de ejecución confiables o aprendizaje federado) cuando el riesgo lo justifique (Parlamento Europeo y Consejo, 2016, art. 32; OCDE, 2025).

8. Realizar una evaluación de impacto cuando proceda. Si el proyecto entraña alto riesgo para los derechos y libertades de los afectados, elaborar una EIPD que analice riesgos, medidas mitigadoras y la proporcionalidad del tratamiento, integrando en ella los aspectos específicos de la IA (Parlamento Europeo y Consejo, 2016, art. 35; AEPD, 2025).

9. Formar al personal y gestionar el factor humano. La evidencia muestra que una parte importante de los incidentes de seguridad obedecen a errores humanos, por lo que es esencial formar a los equipos en el uso adecuado de herramientas de IA, en la protección de datos y en la detección de posibles brechas (ENISA, 2024; AEPD, 2023).

10. Preparar un plan de respuesta a incidentes. Definir cómo se detectan, notifican y gestionan las brechas, quién decide, cómo se comunica con la AEPD y con los afectados, y qué medidas se toman para evitar recurrencias, en línea con las obligaciones de los artículos 33 y 34 RGPD (Parlamento Europeo y Consejo, 2016, arts. 33–34; AEPD, 2024).

Usar IA con datos de clientes puede ser seguro y conforme a derecho si se integra en una estrategia de gobernanza de datos, seguridad y cumplimiento. La clave no está solo en la tecnología, sino en cómo se diseña el proyecto, qué preguntas se plantean al inicio y hasta qué punto la pyme está dispuesta a tratar la protección de datos como un componente esencial de su innovación, y no como un trámite final.

Referencias

Agencia Española de Protección de Datos [AEPD]. (2023). Memoria 2023. AEPD. https://www.aepd.es/memorias/memoria-aepd-2023.pdf

Agencia Española de Protección de Datos [AEPD]. (2024). Memoria 2024. AEPD. https://www.aepd.es/memorias/memoria-aepd-2024.pdf

Agencia Española de Protección de Datos [AEPD]. (2025). Tratamientos que incluyen inteligencia artificial (IA). Mapa de referencia. Hoja de ruta básica de cumplimiento RGPD/LOPDGDD. AEPD. https://www.aepd.es/infografias/tratamientos-inteligencia-artificial.pdf

Agencia Española de Protección de Datos [AEPD]. (2025, mayo 26). La AEPD recibió 19.000 reclamaciones en 2024, con la IA, los espacios de datos y los neurodatos entre sus retos prioritarios. AEPD. https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-recibio-19000-reclamaciones-con-ia-espacios-de-datos-y-neurodatos

Agencia Española de Protección de Datos [AEPD]. (2026). Innovación y Tecnología. AEPD. https://www.aepd.es/areas-de-actuacion/innovacion-y-tecnologia

Comité Europeo de Protección de Datos [CEPD]. (2024). Declaración 3/2024 sobre el papel de las autoridades de protección de datos en el marco de la Ley de Inteligencia Artificial. CEPD. https://www.edpb.europa.eu/system/files/2025-01/edpb_statement_202403_dpasroleaiact_es.pdf

Comité Europeo de Protección de Datos [CEPD]. (2024). Dictamen 28/2024 sobre determinados aspectos de la protección de datos relacionados con el tratamiento de datos personales en el contexto de los modelos de IA. CEPD. https://www.edpb.europa.eu/system/files/documents/2024-12/edpb_opinion_202428_ai-models_en.pdf

ENISA. (2024). ENISA Threat Landscape 2024. Publications Office of the European Union. https://op.europa.eu/en/publication-detail/-/publication/e71394ea-85f0-11ef-a67d-01aa75ed71a1/language-en

Eurostat. (2024). Use of artificial intelligence in enterprises. Statistics Explained. https://ec.europa.eu/eurostat/statistics-explained/index.php?title=Use_of_artificial_intelligence_in_enterprises

Joswig, T., & Kurz, W. (2025). Regulatory and compliance requirements for SMEs operating AI systems through data centers in the EU, with a focus on data protection challenges in Germany. Journal of Next-Generation Research 5.0, 1(2). https://jngr5.com/jngr/article/view/89

Lorè, F., Basile, P., Appice, A., de Gemmis, M., & Malerba, D. (2023). An AI framework to support decisions on GDPR compliance. Journal of Intelligent Information Systems, 61, 541–568. https://doi.org/10.1007/s10844-023-00782-4

Ministerio de Hacienda. (2026). Normativa sobre datos personales. Gobierno de España. https://www.hacienda.gob.es/gl-ES/El%20Ministerio/Paginas/DPD/Normativa_PD.aspx

OCDE. (2023). Recomendación del Consejo sobre la Inteligencia Artificial (OECD/LEGAL/0449). Organización para la Cooperación y el Desarrollo Económicos. https://legalinstruments.oecd.org/en/instruments/oecd-legal-0449

OCDE. (2024). AI, data governance and privacy: Synergies and areas of international co-operation (OECD Artificial Intelligence Papers, No. 22). OECD Publishing. https://doi.org/10.1787/2476b1a4-en

OCDE. (2025). Sharing trustworthy AI models with privacy-enhancing technologies. OECD Publishing. https://www.oecd.org/en/publications/sharing-trustworthy-ai-models-with-privacy-enhancing-technologies_a266160b-en.html

Parlamento Europeo y Consejo. (2016). Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos). Diario Oficial de la Unión Europea, L 119. https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=es

Parlamento Europeo y Consejo. (2024). Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial). Diario Oficial de la Unión Europea, L 1689. https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=es