Toma de decisiones automatizada: un concepto del RGPD, no un nivel de riesgo del Reglamento de IA
La toma de decisiones automatizada es un concepto del art. 22 del RGPD, no un nivel de riesgo del Reglamento de IA. Cómo difieren y se suman ambos
La toma de decisiones automatizada (TDA) es la adopción de una decisión sobre una persona por medios automatizados. En su sentido jurídico estricto es un término del RGPD, regido por el artículo 22 del RGPD, que otorga a una persona el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado —incluida la elaboración de perfiles— que produzca efectos jurídicos sobre ella o la afecte significativamente de modo similar. Esa es la definición que hay que retener, porque el error más común aquí es tratar la "toma de decisiones automatizada" como una categoría de riesgo del Reglamento de IA. No lo es. El Reglamento de IA no tiene un nivel de TDA.
Los dos regímenes se solapan mucho en la práctica —la mayor parte de la TDA con consecuencias hoy funciona sobre un sistema de IA—, pero son instrumentos distintos con detonantes distintos, y una empresa normalmente tiene que satisfacer ambos. Esta página traza la línea.
La regla del RGPD: artículo 22
El artículo 22(1) del RGPD establece una prohibición por defecto: una persona tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que tenga efectos jurídicos o que la afecte significativamente de modo similar. "Únicamente" es la palabra clave: si un humano revisa de forma significativa y puede anular el resultado, el régimen estricto del artículo 22 no se activa, aunque siguen aplicándose otros deberes del RGPD.
El artículo 22(2) establece tres bases lícitas para tales decisiones únicamente automatizadas: cuando sean necesarias para un contrato, estén autorizadas por el Derecho de la UE o de un Estado miembro, o se basen en el consentimiento explícito de la persona. Cuando la decisión se permite sobre la base del contrato o del consentimiento, el artículo 22(3) exige garantías: como mínimo, el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. Y conforme a los artículos 13 a 15 del RGPD, la persona tiene derecho a información significativa sobre la lógica aplicada y la importancia y las consecuencias previstas del tratamiento.
Un "efecto jurídico" significa algo con una consecuencia jurídica: un contrato cancelado, una prestación denegada, una entrada rechazada. "Significativamente de modo similar" alcanza cosas como la denegación automática de un préstamo o quedar descartado de un empleo en la fase de cribado. Mostrarle a alguien un anuncio personalizado por lo general no supera ese umbral; decidir su solvencia, sí.
La capa del Reglamento de IA: supervisión y transparencia, no un derecho de TDA
El Reglamento de IA, el Reglamento (UE) 2024/1689, no otorga el derecho individual que sí otorga el artículo 22. En su lugar regula los sistemas que realizan el tratamiento, y aprieta sobre todo cuando el caso de uso es de alto riesgo conforme al artículo 6 y al anexo III: por ejemplo, la evaluación de la solvencia, la contratación o el acceso a prestaciones públicas esenciales.
Para esos sistemas de alto riesgo, dos deberes del Reglamento de IA importan más a las decisiones automatizadas:
- Artículo 14 — supervisión humana. Los proveedores deben diseñar los sistemas de alto riesgo de modo que los responsables del despliegue puedan supervisarlos eficazmente, y los responsables del despliegue deben asignar a personas competentes a esa supervisión. Es un deber de diseño del sistema y de gobernanza sobre las organizaciones, distinto del derecho individual del RGPD a la intervención humana. Apuntan en la misma dirección (mantener a un humano en el bucle) pero no son la misma obligación.
- Artículo 50 — transparencia. Cuando una persona interactúa con un sistema de IA, o cuando el contenido es generado por IA, se aplican las divulgaciones pertinentes del artículo 50, para que la gente sepa cuándo interviene la IA.
Algo crucial: el Reglamento de IA clasifica por uso, nunca por si una decisión es "automatizada". Un sistema puede tomar decisiones totalmente automatizadas y aun así ser de riesgo mínimo (un filtro de spam) o de riesgo limitado (un chatbot). La "toma de decisiones automatizada" no es un quinto nivel de riesgo junto a prohibido, alto riesgo, limitado y mínimo: es un concepto del RGPD que atraviesa esos niveles.
El artículo 22 del RGPD vs el Reglamento de IA, lado a lado
| Artículo 22 del RGPD | Reglamento de IA | |
|---|---|---|
| Qué regula | Decisiones únicamente automatizadas con efecto jurídico / significativo similar | Sistemas de IA, clasificados por uso (artículo 6, anexo III) |
| Mecanismo central | Un derecho individual (intervención humana, expresar opinión, impugnar) | Deberes organizativos (supervisión del artículo 14, transparencia del artículo 50) |
| Detonante | La decisión es únicamente automatizada + efecto significativo | El caso de uso del sistema (p. ej., alto riesgo conforme al anexo III) |
| Condición "automatizada" | Central: la prueba es que sea únicamente automatizada | No es un clasificador: el riesgo depende del uso, no de la automatización |
| Humano en el bucle | Un derecho que la persona puede invocar | Un deber de diseño + gobernanza sobre el proveedor/responsable del despliegue |
| Cumplimiento / multas | Artículo 83 del RGPD (hasta 20 M€ / 4 %) | Artículo 99 (hasta 35 M€ / 7 % por infracciones del artículo 5) |
La conclusión: el artículo 22 del RGPD pregunta "¿se decidió esto sobre una persona por una máquina sola, con consecuencias graves?". El Reglamento de IA pregunta "¿para qué se usa este sistema?". Preguntas distintas, con frecuencia el mismo sistema.
Dónde se suman
Para un sistema de IA de alto riesgo que toma decisiones con consecuencias sobre las personas, ambos regímenes se aplican a la vez. El diseño de supervisión humana del artículo 14 y el derecho del artículo 22(3) del RGPD a la intervención humana se refuerzan mutuamente; la documentación del Reglamento de IA y el deber del RGPD de "información significativa sobre la lógica" se nutren del mismo material subyacente. Y fíjate en las evaluaciones: una EIPD del artículo 35 del RGPD y la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 del Reglamento de IA son instrumentos distintos, pero el artículo 27(4) permite que una EIDF se apoye en una EIPD existente, de modo que la base fáctica se comparte, no se duplica al por mayor.
Ejemplo práctico: una denegación automática de préstamo
Considera Nordkredit Bank AS, un prestamista regional ficticio de la UE —unos 600 empleados, ~90 M€ de volumen de negocios— que ejecuta un modelo de IA que aprueba o rechaza automáticamente las solicitudes de pequeños préstamos al consumo, sin que ningún humano examine los casos rutinarios.
Conforme al RGPD: Esta es una decisión únicamente automatizada con un efecto significativo, de modo que el artículo 22 del RGPD está plenamente comprometido. Nordkredit se apoya en la base de "necesario para un contrato" del artículo 22(2), lo que significa que debe ofrecer las garantías del artículo 22(3): un solicitante rechazado puede exigir intervención humana, expresar su opinión e impugnar la denegación, y Nordkredit debe dar información significativa sobre la lógica del modelo conforme a los artículos 13 a 15 del RGPD.
Conforme al Reglamento de IA: La evaluación de la solvencia es un caso de uso de alto riesgo del anexo III, de modo que Nordkredit es un responsable del despliegue conforme al artículo 26. Debe ejecutar la supervisión humana del artículo 14 (una persona capaz de interpretar y anular los resultados), seguir las instrucciones del proveedor, conservar registros y —como la solvencia se sitúa en el anexo III, punto 5(b)— completar una EIDF del artículo 27 antes del despliegue.
El cuadro combinado: El RGPD otorga al solicitante derechos frente a la denegación automatizada; el Reglamento de IA impone deberes organizativos a Nordkredit para gobernar el sistema que la produjo. Nordkredit no puede satisfacer uno e ignorar el otro. La buena noticia es el solapamiento: el revisor humano que pone en marcha para el artículo 22(3) del RGPD es en gran medida la misma función que exige el artículo 14 del Reglamento de IA, y la EIPD alimenta la EIDF. Constrúyelo una vez, asígnalo a ambos.
Cómo ayuda Confir
Confir está construido para el lado del responsable del despliegue de exactamente este solapamiento. Clasifica cada sistema de IA que despliegas por su finalidad prevista —aplicando los artículos 5, 6 y 50— y señala dónde un uso de alto riesgo del anexo III (como la solvencia o la contratación) pone en juego los deberes de supervisión del artículo 14 y de EIDF del artículo 27, y dónde se entrelazan con tus obligaciones del RGPD. El motor es determinista y basado en reglas: la misma recogida de datos produce la misma conclusión citada, con la regla que se activó mostrada en lenguaje claro, de modo que la línea entre la capa del Reglamento de IA y la capa de TDA del RGPD queda documentada, no adivinada.
Guías relacionadas
- ¿Qué es un sistema de IA de alto riesgo?
- Artículo 22: decisiones automatizadas y supervisión humana
- Artículo 14: la supervisión humana explicada
- Artículo 27: la evaluación de impacto relativa a los derechos fundamentales
- Obligaciones de los responsables del despliegue (artículo 26)
- Obligaciones de transparencia del artículo 50
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →