Lo que dice la ley

«La ley de IA prohíbe usar ChatGPT en el trabajo». «Con la nueva ley, ninguna máquina puede decidir sobre ti». «Eso es cosa de las grandes tecnológicas, a mí no me afecta».

Las tres circulan, y las tres son falsas o verdades a medias. La ley no prohíbe herramientas, sino usos concretos. Las máquinas pueden intervenir en decisiones sobre ti, pero con derechos que puedes ejercer. Y te afecta, aunque no tengas una empresa: como persona cuyos datos se usan, como alguien sobre quien se decide y, si trabajas, como parte de una plantilla que usa IA.

En esta lección vas a ver, en llano, las dos normas que importan: el Reglamento General de Protección de Datos, el RGPD, y el Reglamento europeo de Inteligencia Artificial. Qué dicen, qué derechos te dan y a quién acudir. Sin jerga jurídica de más, y con cada artículo comprobado en el texto oficial.

Una advertencia: esto es una explicación para entender la ley, no asesoramiento jurídico. Para un caso concreto, pregunta a quien sepa.

Dos leyes, dos preguntas

• El RGPD responde a qué se hace con tus datos. Se aplica desde 2018 a cualquier empresa u organismo que trate datos personales en la Unión, use IA o no. Le da a cada persona derechos sobre sus datos.
• El Reglamento de IA responde a qué se puede hacer con un sistema de IA. Es de 2024 y entra por fases hasta 2028. Ordena los usos por su riesgo y pide más cuanto más riesgo hay.

Se aplican a la vez. Un asistente que responde a clientes tiene que cumplir el RGPD con los datos que recoge y, además, el Reglamento de IA, que le pide avisar de que es una IA.

En España, la autoridad de protección de datos es la Agencia Española de Protección de Datos, la AEPD, y la de inteligencia artificial será la Agencia Española de Supervisión de la Inteligencia Artificial, AESIA, con sede en A Coruña. La ley española que adapta el Reglamento de IA estaba en octubre de 2026 en el Congreso, en plazo de enmiendas.

Un detalle que tranquiliza: el Reglamento de IA no se aplica a las personas que usan la IA para algo puramente personal y no profesional. Usar un asistente en casa no te obliga a nada.

El Reglamento de IA, por niveles de riesgo

• Prohibido. Desde febrero de 2025, usos como la puntuación social o el reconocimiento de emociones en el trabajo y en clase (art. 5). Desde diciembre de 2026 se suma la IA que genera imágenes íntimas o sexuales de alguien sin su consentimiento.
• Alto riesgo. La IA que decide sobre empleo, educación, crédito o servicios esenciales (anexo III) tendrá que cumplir obligaciones estrictas desde diciembre de 2027: gestión de riesgos, registro de lo que hace, supervisión humana y documentación.
• Transparencia. Desde agosto de 2026, quien te ofrece un sistema que conversa contigo tiene que avisarte de que es una IA, y el contenido generado tiene que ir marcado (art. 50).
• El resto, que es la mayoría de los usos de cada día, como redactar o resumir, sin obligaciones específicas.

Las fechas las cambió en 2026 el ómnibus digital, que retrasó el alto riesgo. El calendario completo, comprobado en el texto oficial, está en la página del Reglamento de IA de Andruna.

Tus derechos con tus datos

El RGPD te da varios derechos. Los que más vas a usar con un servicio de IA:

• Acceso (art. 15). Puedes preguntar si tratan tus datos y pedir una copia, para qué los usan y a quién se los dan.
• Supresión (art. 17). Puedes pedir que borren tus datos, con algunas excepciones, como las que exige otra ley.
• Plazo (art. 12). Tienen un mes desde que lo pides para responder, prorrogable otros dos si es complejo, y tienen que avisarte de la prórroga.
• Reclamación (art. 77). Si no responden o no estás de acuerdo, puedes reclamar ante la AEPD.

Casi todos los servicios tienen un formulario de privacidad o un correo para estas peticiones, y algunos, una descarga directa de tus datos en los ajustes. No hace falta abogado ni justificar por qué lo pides.

Recuerda que un dato personal no es solo tu nombre: también tus conversaciones, tus archivos subidos y lo que el servicio ha deducido de ti.

Cuando una IA decide sobre ti

Un sistema automático puede intervenir en decisiones que te importan: si te dan un préstamo, si pasas a la siguiente fase de una selección, si te conceden una ayuda. Dos normas te protegen.

El RGPD te da derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que tenga efectos jurídicos en ti o te afecte de forma parecida (art. 22). Hay excepciones, como cuando es necesario para un contrato, pero incluso entonces puedes pedir que intervenga una persona, dar tu punto de vista e impugnar la decisión.

El Reglamento de IA añade un derecho propio para los sistemas de alto riesgo: que quien los usa te dé explicaciones claras y significativas sobre el papel que tuvo la IA en la decisión y sobre sus elementos principales (art. 86).

En la práctica, dos preguntas sirven siempre: «¿Ha intervenido un sistema automático en esta decisión?» y «¿Puede revisarla una persona?».

Lo que se pide a quien usa la IA

Si usas la IA en tu trabajo, la ley no te pide a ti cosas por tu cuenta, sino a la organización que la pone en marcha, a la que llama responsable del despliegue. Algunas de sus obligaciones:

• Alfabetización en IA (art. 4). Apoyar que su personal sepa usarla. El ómnibus de 2026 la rebajó: ya no exige garantizar un nivel concreto.
• Avisar a la plantilla (art. 26.7). Antes de usar en el trabajo un sistema de alto riesgo, informar a los representantes de los trabajadores y a las personas afectadas.
• Supervisión humana de los sistemas de alto riesgo, con personas que entiendan lo que hacen y puedan pararlos.
• Transparencia: avisar cuando alguien habla con una IA y marcar los contenidos falsos realistas que publique, como un vídeo con la cara de alguien.

Lo que esto significa en tu día a día en el trabajo lo verás en la lección 4.

Hazlo: ejerce un derecho

1. Elige un servicio que uses mucho: tu asistente de IA, una red social o una aplicación de compras.
2. Busca en su página de privacidad cómo se piden tus datos. Puede ser una descarga en los ajustes, un formulario o un correo.
3. Pide tus datos, apunta el día y el canal, y espera la respuesta. El plazo es de un mes, ampliable a dos más con aviso.
4. Cuando llegue, mira qué tienen de ti y si algo te sorprende.

Si no hay formulario, basta un correo a la dirección de privacidad: «Al amparo del artículo 15 del RGPD, solicito confirmación de si tratáis mis datos personales, una copia de ellos y la información sobre su tratamiento». Pueden pedirte que acredites quién eres, para no entregar tus datos a otra persona.

Apúntalo en tu cuaderno. Es la mejor manera de entender que tus datos son tuyos: ver lo que otros guardan de ti.