Inteligencia artificial, privacidad y protección de datos

Vivimos un momento en el que las organizaciones se ven cada vez más obligadas a
someter sus tratamientos y sus sistemas de inteligencia artificial a auditorías de
cumplimiento del RGPD y del nuevo Reglamento Europeo de IA. La entrada en
aplicación del AI Act/RIA ha disparado la demanda de revisiones de conformidad,
evaluaciones de impacto y due diligence de proveedores, y, en la práctica
profesional, son ya uno de los encargos más solicitados a abogados, DPO y
compliance officers. Esta obra nace, precisamente, de esa experiencia: ofrece al
profesional la metodología y las herramientas que necesita para afrontar con rigor y
eficiencia ese trabajo de auditoría y asesoramiento.

Se trata de la primera obra del mercado español que aborda de forma
verdaderamente integrada el doble marco normativo que toda organización debe
cumplir ya: el Reglamento General de Protección de Datos (RGPD) y el nuevo
Reglamento Europeo de Inteligencia Artificial (Rgto UE/2024/1689, AI Act/RIA ).
Frente a los tratados que explican cada norma por separado, esta monografía
adopta el formato memento : un manual eminentemente práctico, estructurado en
torno a las preguntas reales que se plantea el profesional ¿estoy ante un
sistema de IA? , ¿qué normativa me aplica? , ¿quién es responsable? , ¿cuál
es la base jurídica? y resuelto con guías de calificación, tablas de referencia,
checklists y modelos directamente aplicables.

La obra se articula en diez partes y treinta capítulos que recorren todo el ciclo de
cumplimiento: desde el marco normativo y conceptual, la determinación de actores y
bases jurídicas, el análisis de riesgo y de impacto (EIPD y la nueva FRIA del AI Act),
las obligaciones operativas (registro de actividades, privacidad desde el diseño,
seguridad, DPO, códigos de conducta), los derechos de los interesados y la
contratación con proveedores de IA, hasta un régimen sancionador comparado
RGPD-RIA. Una parte final reúne formularios, plantillas y clausulado tipo listos para
usar (plantilla integrada EIPD/FRIA, RAT adaptado a IA, política interna de uso de
IA y checklist global de cumplimiento dual).

Su mayor valor es la máxima actualidad y la vocación operativa. Incorpora el AI Act
y su calendario de aplicación, las posiciones más recientes del Comité Europeo de
Protección de Datos (CEPD) y de la AEPD incluido el entrenamiento de modelos
y los LLMs y un ecosistema regulatorio ampliado (Data Act, Data Governance Act,
DSA, DMA). Destaca, además, por sus nueve capítulos sectoriales sanidad,
servicios financieros y seguros, ámbito laboral, biometría y reconocimiento facial,
sector público, menores de edad, IA generativa y derechos de autor, y marketing y
publicidad , que trasladan la teoría a casos de uso concretos. Es una herramienta
de consulta diaria, concebida desde la práctica de la auditoría y el asesoramiento,
que permite al lector pasar de la duda a la decisión jurídica fundamentada con
rapidez y seguridad, y abordar una auditoría de cumplimiento dual RGPD-AI Act con
método y garantías.
Esta obra forma parte de la Colección Derecho e Inteligencia Artificial, dirigida
por Moisés Barrio Andrés.

AUTORES

MIGUEL ORTEGO RUIZ (Doctor en Derecho -cum laude- por la Universidad
Complutense de Madrid. Abogado en ejercicio -ICAM, col. 90.987- y socio director
de Ortego Legal, S.L.P. Profesor universitario, acreditado por ANECA como
Profesor Contratado Doctor. Delegado de Protección de Datos certificado -CIPP/E,
IAPP-. Árbitro internacional -MCIArb, Chartered Institute of Arbitrators-. Titulado
Mercantil y Empresarial. Auditor interno especializado en compliance y gestión de
riesgos)


SUMARIO

PARTE I. MARCO NORMATIVO Y CONCEPTUAL
Capítulo 1. ¿Estoy ante un sistema de IA?
Capítulo 2. ¿Se tratan datos personales?
Capítulo 3. ¿Qué normativa me aplica?
PARTE II. ACTORES Y CONFIGURACIÓN JURÍDICA
Capítulo 4. ¿Quién es responsable?
Capítulo 5. ¿Cuál es la base jurídica?
Capítulo 6. ¿Qué tipo de datos utilizo?
Capítulo 7. ¿Para qué finalidad trato los datos? El principio de limitación de finalidad
en la IA
Capítulo 8. ¿Cómo cumplo con el deber de información y transparencia en la IA?
PARTE III. ANÁLISIS DE RIESGO
Capítulo 9. El RIA: clasificación de riesgos y obligaciones
PARTE IV. ANÁLISIS DE IMPACTO
Capítulo 10. ¿Cuándo y cómo realizo una evaluación de impacto en protección de
datos en sistemas de IA?
Capítulo 11. ¿Cómo realizo una evaluación de impacto en derechos fundamentales
del RIA ( FRIA )?
Capítulo 12. ¿Cómo gestiono la elaboración de perfiles y las decisiones
automatizadas?
PARTE V. OBLIGACIONES OPERATIVAS
Capítulo 13. ¿Cómo elaboro y mantengo el registro de actividades de tratamiento en
sistemas de IA?
Capítulo 14. Privacidad desde el diseño y por defecto en sistemas de IA
Capítulo 15. Seguridad del tratamiento en sistemas de inteligencia artificial
Capítulo 16. Delegado de protección de datos en organizaciones con IA
Capítulo 17. Códigos de conducta y certificaciones en el contexto de la IA
PARTE VI. DERECHOS DE LOS INTERESADOS
Capítulo 18. ¿Cómo garantizo los derechos de los interesados en sistemas de IA?
PARTE VII. CONTRATACIÓN Y TRANSFERENCIAS
Capítulo 19. ¿Cómo gestiono la relación con los proveedores de IA? El encargado
del tratamiento.
Capítulo 20. ¿Cómo gestiono las transferencias internacionales de datos en la IA?
PARTE VIII. RESPONSABILIDAD Y RÉGIMEN SANCIONADOR
Capítulo 21. Régimen sancionador: infracciones y sanciones en materia de
privacidad e IA
PARTE IX. APLICACIONES PRÁCTICAS DE LA IA POR SECTORES
Capítulo 22. Sector sanitario y datos de salud
Capítulo 23. Servicios financieros y seguros
Capítulo 24. Ámbito laboral
Capítulo 25. Datos biométricos y reconocimiento facial en sistemas de IA
Capítulo 26. Sector público y administración electrónica
Capítulo 27. Inteligencia artificial y menores de edad
Capítulo 28. IA generativa: GPAI, datos de entrenamiento y derechos de autor
Capítulo 29. Marketing, publicidad y personalización
PARTE X. HERRAMIENTAS PRÁCTICAS
Capítulo 30. Formularios, modelos y plantillas de cumplimiento