Llei d'IA i RGPD: què exigeix a cada departament de la teva empresa

Gairebé tot el que màrqueting genera amb IA és de risc mínim i no necessita cap avís, però el que sembla real i no ho és (fotos amb canvis, persones, llocs, vídeos o veus realistes) s'ha d'avisar de manera clara des del 2 d'agost de 2026. A més, continuen manant les normes de publicitat enganyosa i de consum, la LSSI i el dret a la pròpia imatge.

• Menú redactat o dissenyat amb IA Mínim
• Fotos reals millorades sense canviar el que s'hi veu (retall, color, llum, nitidesa) Mínim
• Fotos reals amb elements canviats o afegits amb IA Transparència
• Imatges fotorealistes generades de l'establiment, del producte o de l'entorn Transparència
• Il·lustracions clarament artístiques creades amb IA Mínim
• Persones inventades fotorealistes Transparència
• Vídeos amb persones o llocs realistes generats o modificats amb IA Transparència
• Veu clonada d'una persona real Transparència
• Landing page generada amb IA (textos i disseny) Mínim
• Xat de campanya al web Transparència
• Publicacions de text a les xarxes socials escrites amb IA Mínim
• Butlletins (newsletters) i correus comercials redactats amb IA Mínim
• Traduccions fetes amb IA Mínim
• Respostes a ressenyes redactades amb IA Mínim
• Preus personalitzats per algorisme Fora del Reglament d'IA

El xat, l'assistent de WhatsApp i la centraleta amb IA han de dir que són una IA des del primer contacte, i el client ha de poder parlar amb una persona. Analitzar el text dels missatges és de risc mínim; deduir emocions per la veu o la cara és d'alt risc amb els clients i està prohibit amb els agents propis.

• Xat al web o a l'app que respon dubtes de clients Transparència
• Assistent d'IA a WhatsApp o en missatgeria Transparència
• Agent de veu que atén trucades (centraleta amb IA) Transparència
• Respostes a correus redactades per la IA i revisades per una persona Mínim
• Respostes automàtiques enviades sense revisió humana Transparència
• Classificar i encaminar consultes o reclamacions amb IA Mínim
• Anàlisi de sentiment del text (correus, xats, ressenyes) Mínim
• Anàlisi de les emocions del client per la veu o la cara Alt risc
• Anàlisi de les emocions dels agents per la veu o la cara (control de qualitat) Prohibit
• Avaluar o puntuar el rendiment dels agents amb IA Alt risc
• Resums i transcripció de trucades o reunions amb clients Mínim
• Traducció automàtica de converses amb clients Mínim
• Base de coneixement o preguntes freqüents generades amb IA Mínim
• Respostes a ressenyes públiques amb IA Mínim
• Veu clonada d'una persona real a la centraleta Transparència
• Decisions automàtiques sobre el client (denegar una devolució, bloquejar un compte, puntuar-ne la solvència) Fora del Reglament d'IA
• Xat o assistent d'atenció a l'hoste (motor de reserves o de tercers) Transparència
• Xat o assistent que rep consultes i documents dels clients de la gestoria Transparència

És el departament on el Reglament d'IA obliga més: seleccionar, assignar tasques segons el comportament, avaluar o decidir sobre treballadors amb IA és d'alt risc des del 2 de desembre de 2027, i deduir emocions d'empleats o candidats està prohibit des del 2 de febrer de 2025. Avui ja s'apliquen el RGPD, la LOPDGDD i el dret del comitè a conèixer els algorismes.

• Redactar ofertes de feina i descripcions de llocs de treball amb IA Mínim
• Segmentar a qui es mostra un anunci de feina Alt risc
• Filtrar o puntuar currículums amb IA Alt risc
• Resumir un currículum a petició de qui fa la selecció, sense puntuar ni ordenar Mínim
• Entrevistes per vídeo analitzades per IA (expressions, to, «actitud») Prohibit
• Xat per a candidats o empleats (vacances, nòmines, polítiques) Transparència
• Assignar torns o tasques segons el comportament o les característiques personals Alt risc
• Quadrants de torns només amb disponibilitat i regles objectives (conveni, descansos) Mínim
• Avaluar el rendiment o el comportament dels treballadors amb IA Alt risc
• Decidir ascensos, acomiadaments o condicions de treball amb ajuda de la IA Alt risc
• Reconeixement d'emocions d'empleats (càmeres, veu, manera de teclejar) Prohibit
• Control horari amb biometria (empremta, cara) Fora del Reglament d'IA
• Vigilància de l'activitat a l'ordinador o geolocalització analitzada amb IA Alt risc
• Formació del personal en l'ús de la IA Mínim
• Empleats que utilitzen IA gratuïta amb dades de companys o candidats Fora del Reglament d'IA
• Selecció de temporada i quadrants amb IA en hotels, restauració i comerç Alt risc
• Gestories que porten les nòmines i els recursos humans dels seus clients amb IA Fora del Reglament d'IA

Aquí el Reglament d'IA obliga poc, llevat que s'avaluï amb IA la solvència de persones físiques (consumidors i autònoms) o es tarifin assegurances de vida i salut: alt risc des del 2 de desembre de 2027, amb avaluació d'impacte en els drets fonamentals abans del primer ús. El que ja obliga és el RGPD, el secret i la diligència dels administradors, els secrets empresarials i, segons l'empresa, la normativa de prevenció del blanqueig de capitals, DORA o la d'abús de mercat.

• Quadres de comandament i informes amb IA Mínim
• Previsions de tresoreria, pressupostos i planificació amb IA Mínim
• Suport a decisions estratègiques (inversions, preus, compres d'empreses) amb un xat d'IA Mínim
• Utilitzar assistents d'IA generals amb informació financera confidencial Fora del Reglament d'IA
• Resums i actes de consells i juntes a partir de l'enregistrament Mínim
• Informe de gestió, comunicats o informació a inversors redactats amb IA i publicats Mínim
• Avaluar amb IA la solvència de clients persones físiques (consumidors, autònoms) per donar crèdit, finançament o pagament ajornat Alt risc
• Solvència de clients que són societats (risc comercial, límits de crèdit) Mínim
• Detecció de frau financer (pagaments anòmals, documents falsos en sol·licituds) Mínim
• Avaluació de proveïdors amb IA (risc, solvència, criteris ESG) Mínim
• Prevenció del blanqueig de capitals amb IA: identificació de clients, filtratge de llistes i alertes (només subjectes obligats) Mínim
• Assegurances: tarifar o seleccionar riscos de vida i salut de persones (asseguradores i mediadors) Alt risc
• Entitats financeres que utilitzen IA de proveïdors externs Fora del Reglament d'IA
• Empresa cotitzada que utilitza IA amb informació privilegiada Fora del Reglament d'IA
• Formació de la direcció en l'ús de la IA Mínim
• Decisions del consell preses amb suport de la IA (responsabilitat dels administradors) Fora del Reglament d'IA
• Detecció de frau en reserves i pagaments (hotels) Mínim
• Prevenció del blanqueig de capitals i dades financeres dels clients en gestories i assessories Mínim

Llegir factures, comptabilitzar, conciliar o preparar pagaments amb IA és de risc mínim. El que mana és la normativa mercantil i tributària: l'empresa respon de la seva comptabilitat encara que la porti una IA, els programes de facturació s'han d'adaptar a VERI*FACTU i la factura electrònica entre empreses arriba el 6 d'octubre de 2027 i el 6 d'octubre de 2028.

• Llegir amb IA les factures rebudes i comptabilitzar-les de manera automàtica Mínim
• Digitalitzar factures en paper i destruir l'original Mínim
• Conciliació bancària automàtica amb IA Mínim
• Proposar i aprovar pagaments (remeses, venciments) amb IA o amb un agent Mínim
• Detectar errors, duplicats o frau en factures de proveïdors i pagaments Mínim
• Emetre factures amb IA o amb un agent (des del xat, des de comandes) Mínim
• Factura electrònica entre empreses: emetre, rebre i llegir factures estructurades Mínim
• Conservar documents i registres, també el que guarda l'eina d'IA Fora del Reglament d'IA
• Dades personals de proveïdors autònoms i d'empleats en factures, despeses i pagaments Fora del Reglament d'IA
• Redactar amb IA escrits a l'AEAT o a la Seguretat Social (requeriments, al·legacions, recursos) Mínim
• Presentar amb certificat digital o deixar que un agent d'IA ompli formularis a la seu electrònica Mínim
• Utilitzar assistents d'IA generals amb dades comptables o fiscals Fora del Reglament d'IA
• Assistent intern que respon dubtes d'administració a empleats o proveïdors (estat d'una factura o d'un pagament) Transparència
• Tancament i comptes anuals preparats amb IA (societats) Mínim
• Violació de seguretat (bretxa) a l'eina (filtració de dades bancàries, nòmines, factures) Fora del Reglament d'IA
• Formació del personal d'administració en l'ús de la IA Mínim
• Factures simplificades a recepció i restauració (hotels) Mínim
• Gestories que porten la comptabilitat i presenten els impostos dels seus clients amb IA Mínim

IT fa possible que la resta de l'empresa compleixi: tria les eines, revisa els contractes, decideix on es tracten les dades i guarda els registres. El Reglament d'IA li demana poc de manera directa; el que és exigible avui ve sobretot del RGPD (contracte d'encàrrec, seguretat, violacions de seguretat i transferències) i de la normativa de ciberseguretat i de dades.

• IA a l'ombra: empleats que utilitzen comptes personals d'IA amb dades de l'empresa Fora del Reglament d'IA
• Contractar comptes d'empresa d'IA generativa Mínim
• Microsoft 365 Copilot: permisos, residència de les dades i cerca web Mínim
• Google Workspace amb Gemini: regions de dades i fonts que consulta Mínim
• Transferències internacionals de dades a proveïdors d'IA dels Estats Units Fora del Reglament d'IA
• Agents d'IA amb accés a sistemes (correu, CRM, ERP, carpetes) que envien correus o modifiquen registres Mínim
• Generació de codi amb IA Mínim
• Assistent intern propi sobre l'API d'un model, amb el nom de l'empresa Transparència
• Seguretat de les eines d'IA (injecció d'instruccions, fuites per permisos, DLP) Fora del Reglament d'IA
• Violació de seguretat (bretxa) de dades relacionada amb la IA Fora del Reglament d'IA
• Inventari de sistemes d'IA i política d'ús Fora del Reglament d'IA
• Formació del personal en l'ús de la IA Mínim
• Detectar l'ús d'IA per part de la plantilla (informes d'ús, eines que registren prompts) Fora del Reglament d'IA
• Canviar de proveïdor de núvol o d'IA al núvol Fora del Reglament d'IA
• Fabricants: productes amb programari que l'empresa fabrica o comercialitza (equips connectats, aplicacions, microprogramari) Fora del Reglament d'IA
• Ciberseguretat d'entitats essencials i importants (NIS2) Fora del Reglament d'IA
• Proveïdors del sector públic: sistemes que presten serveis o solucions a administracions Fora del Reglament d'IA
• Hotels: programa de gestió hotelera, motor de reserves i passarel·les de pagament amb funcions d'IA Fora del Reglament d'IA
• Gestories i assessories: utilitzar una eina d'IA amb les dades dels seus clients Fora del Reglament d'IA

En vendes, el Reglament d'IA només pesa de debò quan la IA avalua els comercials de l'empresa o la solvència de clients que són persones físiques, i prohibeix analitzar les emocions dels comercials per la veu o la cara. La resta (puntuar leads, enriquir contactes, escriure correus, trucar) es regeix avui pel RGPD, la LOPDGDD, la LSSI, la Llei general de telecomunicacions i, amb consumidors, per la normativa de consum i de competència deslleial.

• Puntuar leads o prioritzar oportunitats al CRM Mínim
• Enriquir contactes amb bases de dades comercials Mínim
• Extreure dades de webs o de LinkedIn (scraping) amb IA o agents que naveguen Mínim
• Correus de prospecció redactats o enviats en seqüència per la IA Mínim
• Trucades comercials fetes per persones amb un guió o una llista preparats per la IA Mínim
• Agents de veu sortints amb IA que truquen a clients o a leads Transparència
• Xatbot de vendes al web, a WhatsApp o a les xarxes Transparència
• Propostes, pressupostos i ofertes redactats amb IA Mínim
• Preus personalitzats per algorisme segons el perfil del client Mínim
• Enregistrar, transcriure i analitzar trucades o videotrucades de vendes Mínim
• Detectar les emocions dels comercials per la veu o la cara Prohibit
• Detectar les emocions del client per la veu o la cara durant la trucada Alt risc
• Avaluar o puntuar els comercials amb IA (qualificació de trucades, classificacions, «coaching» que arriba a la direcció) Alt risc
• Repartir leads, comptes o territoris entre comercials segons el seu comportament o rendiment Alt risc
• Avaluar la solvència de clients que són persones físiques (consumidors, autònoms) per donar crèdit, pagament ajornat o condicions Alt risc
• Previsió de vendes i anàlisi de la cartera amb IA Mínim
• Comercials que utilitzen IA gratuïta amb dades de clients (enganxar el CRM o un correu en un xat personal) Fora del Reglament d'IA
• Hotels: venda directa a l'hoste, tarifes dinàmiques i campanyes a antics hostes Mínim
• Gestories i assessories: utilitzar les dades dels seus clients per vendre altres serveis Fora del Reglament d'IA

La major part de la IA d'aquest departament treballa amb dades de coses (estoc, comandes, rutes, màquines) i aquí el Reglament d'IA gairebé no obliga. Les obligacions apareixen quan la IA mesura, assigna o vigila persones, quan les càmeres veuen persones i quan la IA va integrada a les màquines o productes que l'empresa fabrica o comercialitza.

• Avaluar i seleccionar proveïdors (preu, terminis, qualitat, risc) Mínim
• Previsió de demanda i d'inventari, reaprovisionament automàtic Mínim
• Redactar comandes, comparar ofertes o negociar amb un assistent o un agent d'IA Transparència
• Optimitzar rutes de repartiment o de recollida (trànsit, franges horàries, càrrega) Mínim
• Assignar tasques, rutes o comandes a operaris o repartidors segons el seu rendiment, comportament o trets Alt risc
• Mesurar la productivitat d'operaris o repartidors (unitats per hora, temps de preparació de comandes, aturades) Alt risc
• Geolocalitzar vehicles o repartidors (telemàtica) Fora del Reglament d'IA
• Càmeres amb IA a la cabina que detecten distracció, ús del mòbil o somnolència del conductor Mínim
• Visió artificial per al control de qualitat del producte (defectes, etiquetatge, embalatge) Mínim
• Càmeres amb IA que vigilen persones al magatzem o a la planta (EPI, zones perilloses, caigudes) Mínim
• Reconeixement facial per accedir al magatzem o a la planta, o per fitxar Mínim
• Manteniment predictiu (vibracions, temperatures, consums de màquines, instal·lacions o flota) Mínim
• IA integrada en màquines que l'empresa fabrica (robots, carretons autònoms, cel·les amb visió) Alt risc
• IA integrada en altres productes regulats que l'empresa fabrica (ascensors, equips a pressió, EPI, equips radioelèctrics, joguines, productes sanitaris) Alt risc
• Comercialitzar amb la marca pròpia un producte o una eina amb IA fabricats per un altre, o modificar-los substancialment Alt risc
• Responsabilitat si el producte amb IA causa danys Fora del Reglament d'IA
• Contractar eines d'IA: clàusules amb el proveïdor Fora del Reglament d'IA
• Dades generades per màquines, vehicles o equips connectats que l'empresa compra Fora del Reglament d'IA
• Xat o assistent per a proveïdors, transportistes o clients (estat de la comanda, cites de moll) Transparència
• Formació del personal de magatzem, flota i compres Mínim
• Hotels: assignar habitacions a les cambreres de pisos segons el seu rendiment o els seus temps Alt risc
• Gestories i assessories: gestionar compres o logística per als seus clients Fora del Reglament d'IA

Legal utilitza la IA en la seva pròpia feina (contractes, recerca, canal de denúncies) i, sobretot, governa l'ús de la IA a tota l'empresa: quines eines hi ha, quin risc tenen, quin paper hi té l'empresa en cadascuna i què cal fer abans d'utilitzar-les. A Espanya encara no hi ha un règim sancionador propi del Reglament d'IA, però les sancions del RGPD i de la LOPDGDD ja s'apliquen.

• Inventari dels sistemes d'IA de l'empresa Fora del Reglament d'IA
• Classificar cada sistema per nivell de risc i pel paper de l'empresa (proveïdora o responsable del desplegament) Mínim
• Política d'ús de la IA per a la plantilla Fora del Reglament d'IA
• Formació en IA (alfabetització) Mínim
• Avaluació d'impacte relativa a la protecció de dades (AIPD) dels usos d'IA Fora del Reglament d'IA
• Avaluació d'impacte en els drets fonamentals (AIDF) Alt risc
• Revisar o redactar contractes amb IA Mínim
• Recerca jurídica amb IA (jurisprudència, normativa, doctrina) Mínim
• Canal de denúncies amb IA (transcriure, traduir, classificar o resumir comunicacions) Mínim
• Registre d'activitats de tractament amb els usos d'IA Fora del Reglament d'IA
• Transferències internacionals a proveïdors d'IA de fora de l'EEE Fora del Reglament d'IA
• Transparència de la IA a tota l'empresa (xats, contingut generat, ultrafalsificacions) Transparència
• Relació amb el delegat de protecció de dades (DPD) Fora del Reglament d'IA
• Vigilància normativa (directrius, codis, normes espanyoles) Fora del Reglament d'IA
• Auditories de la IA (internes o externes) Fora del Reglament d'IA
• Plataformes de governança i privacitat amb IA Mínim
• Empleats que utilitzen IA gratuïta amb contractes, dades de clients o informació confidencial Fora del Reglament d'IA
• Assistent propi desenvolupat per l'empresa sobre l'API d'un model i posat a disposició amb la seva marca Transparència
• Hotels: eines de tercers amb IA integrada (motor de reserves, programa de gestió, xats) i canal de denúncies Fora del Reglament d'IA
• Gestories i assessories: utilitzar IA amb dades de clients i assessorar els seus clients en el compliment en matèria d'IA Fora del Reglament d'IA

El que més se sanciona a la recepció no és la IA, sinó la còpia del document d'identitat. Aquí el Reglament d'IA demana sobretot transparència en xats i agents de veu i prudència amb la biometria; el registre de viatgers, el RGPD i la normativa de consum hi pesen més.

• Check-in presencial amb lectura del document en un equip local (xip NFC o zona MRZ) que n'extreu només els camps exigits i descarta la imatge Mínim
• Escanejar, fotocopiar o fotografiar el document d'identitat i guardar-ne la imatge (també perquè una IA el «llegeixi» després) Fora del Reglament d'IA
• Check-in en línia amb pujada d'una foto del document d'identitat Mínim
• Verificació facial: selfie comparat amb la foto del document Mínim
• Reconeixement facial a l'arribada (càmera que identifica hostes VIP o habituals) Alt risc
• Enviament automàtic dels comunicats de viatgers des del PMS a la plataforma policial Mínim
• Fer servir el registre de viatgers per a màrqueting, per enriquir perfils o per entrenar una IA Fora del Reglament d'IA
• Xat de recepció al web, l'app, WhatsApp o xarxes socials Transparència
• Agent de veu que atén la centraleta Transparència
• Motor de reserves amb IA (assistent que dona preus i reserva, recomanacions d'habitació) Transparència
• Preus dinàmics segons la demanda i l'ocupació Mínim
• Preus personalitzats segons el perfil de l'hoste (historial, dispositiu, fidelització) Mínim
• Upselling i ofertes personalitzades abans de l'estada o durant l'estada (habitació superior, late check-out, spa) Mínim
• Perfils d'hostes amb preferències i peticions (coixí, al·lèrgies, mobilitat reduïda, bressol) Mínim
• Decisions automàtiques sobre l'hoste: denegar una reserva, exigir dipòsit o «llista negra» per puntuació de risc o de no-show Mínim
• Traducció automàtica al taulell (app o dispositiu) amb hostes Mínim
• Classificar i respondre queixes amb IA Mínim
• Respostes a ressenyes amb IA Mínim
• Missatges previs a l'arribada (confirmació, instruccions, enllaç al check-in en línia, codi d'accés) Mínim
• Promocions i butlletins a antics hostes, redactats o segmentats amb IA Mínim
• Assistent amb IA com a canal d'atenció permanent o d'incidències a Catalunya (hotels i habitatges d'ús turístic) Transparència

És el departament de l'hotel on la IA toca més la plantilla: repartiment d'habitacions, temps de neteja, comunicats d'avaries i càmeres. Hi pesen el dret laboral i de protecció de dades que ja s'aplica avui i, a partir del 2 de desembre de 2027, l'alt risc quan la IA reparteix tasques segons el rendiment o mesura la productivitat.

• Dictat per veu d'incidències, comunicats i estat de les habitacions Mínim
• Assignar habitacions a les cambreres de pisos amb regles objectives (sortides, arribades, plantes, tipus d'habitació, disponibilitat, quota del conveni) Mínim
• Assignar habitacions segons el rendiment o l'historial de cada cambrera (velocitat, incidències, valoracions d'hostes) Alt risc
• Mesurar la productivitat de la plantilla: minuts per habitació, rànquings, alertes al supervisor Alt risc
• Temps de neteja previstos per la IA per planificar el dia, sense avaluar ningú Mínim
• Localitzar la plantilla dins de l'hotel (balises, wifi, app de tasques) Alt risc
• Detecció d'emocions o d'estrès de la plantilla per càmera, veu o polsera Prohibit
• Sensors i manteniment predictiu (calderes, climatització, fuites, consum d'aigua i energia) Mínim
• Sensors en habitacions o apartaments (presència, soroll, fum, obertura de portes) Mínim
• Càmeres amb analítica a les zones comunes: objectes abandonats, aforament, caigudes o intrusions Mínim
• Reconeixement facial amb les càmeres per identificar persones Alt risc
• Objectes perduts: registre amb fotos i cerca del propietari creuant-lo amb les reserves Mínim
• Dades d'hostes en comunicats d'avaries i tasques («client al·lèrgic», «mobilitat reduïda», nom de l'hoste) Mínim
• Assistent intern que respon amb els procediments de l'hotel (neteja, productes químics, prevenció de riscos) Transparència
• Previsió d'inventari de llenceria, productes i peces de recanvi Mínim

El que comporta més risc a la restauració no és el Reglament d'IA, sinó la informació alimentària: si la IA s'equivoca amb un al·lergen, en respon l'establiment. A més, l'assistent ha de dir que és una IA i les fotos de plats generades no poden enganyar.

• Carta o menú redactat, traduït o dissenyat amb IA Mínim
• Assistent (xat, QR a la taula, WhatsApp) que respon dubtes sobre plats i al·lèrgens Transparència
• Fotos de plats generades amb IA que semblen reals (carta digital, web, xarxes, plataformes de repartiment) Transparència
• Fotos reals de plats retocades sense canviar el que s'hi veu (llum, color, enquadrament) Mínim
• Reserves de taula per xat o WhatsApp amb IA Transparència
• Agent de veu que agafa el telèfon i pren reserves Transparència
• Predicció de no-shows i dipòsit o targeta de garantia segons la puntuació del client Mínim
• Al·lèrgies o intoleràncies guardades a la fitxa del client per a pròximes visites Mínim
• Respostes a ressenyes redactades amb IA Mínim
• Preus dinàmics al restaurant (segons l'hora, la demanda o l'ocupació de l'hotel) Mínim
• Previsió de compres i de producció (coberts, minves, comandes a proveïdors) Mínim
• Torns de cuina i sala amb IA Alt risc
• Càmeres amb IA a la cuina o la sala (higiene, temps d'emplatament, cues) Alt risc
• Màrqueting a clients del restaurant amb dades de reserves (correus, WhatsApp, SMS) Mínim
• Recomanador de plats, vins o extres a la carta digital Mínim
• Carta, cartells i assistents traduïts o atesos amb IA a Catalunya Mínim

Preparar i presentar impostos amb IA és de risc mínim per al Reglament d'IA. El que obliga de debò és que el despatx respon del que presenta, necessita la representació del client i el seu propi certificat, la renda conté dades de categories especials i l'assessor fiscal és subjecte obligat de prevenció del blanqueig. Les seves claus valen per a tot el despatx.

• Preparar declaracions amb IA (IRPF, IVA, impost sobre societats): quadrar dades, proposar caselles i deduccions Mínim
• Llegir documents del client amb IA (certificats de retencions, dades fiscals de l'AEAT, escriptures, factures, rebuts) Mínim
• Consultar la normativa amb IA (assistents jurídics o generals) Mínim
• Presentació telemàtica de declaracions en nom dels clients Mínim
• Custodiar certificats digitals de clients al despatx o donar-los a una eina d'IA Fora del Reglament d'IA
• Agents d'IA que presenten declaracions, contesten requeriments o tramiten a la seu electrònica sense intervenció d'una persona Mínim
• IA que vigila la bústia de notificacions de l'AEAT, resumeix requeriments i avisa de terminis Mínim
• VeriFactu: assessorar els clients sobre els seus sistemes de facturació (també els que generen factures amb IA) Mínim
• Factura electrònica obligatòria entre empreses: adaptar els clients Mínim
• Xat o assistent per a clients (dubtes de la renda, documentació que falta, estat de l'expedient) Transparència
• Recollida de documentació per correu, WhatsApp o portal amb classificació automàtica per client i exercici Mínim
• Planificació fiscal o simulacions amb IA per a un client Mínim
• Informe de rendes o de capacitat econòmica d'un particular per a un banc o un arrendador, amb puntuació per IA Alt risc
• Diligència deguda de prevenció del blanqueig dels clients amb IA (identificació, titular real, llistes de sancions) Mínim
• Empleats del despatx que fan servir IA gratuïta amb declaracions de clients Fora del Reglament d'IA
• Conservació de declaracions, justificants i converses amb la IA Fora del Reglament d'IA
• Fer servir IA amb dades de clients sense haver fixat si el despatx és encarregat o responsable de cada servei Fora del Reglament d'IA
• Proveïdor d'IA al núvol que tracta dades dels clients del despatx Mínim
• Enviar dades de clients a proveïdors d'IA de fora de l'Espai Econòmic Europeu Mínim
• Confidencialitat i secret professional quan el despatx fa servir IA Fora del Reglament d'IA
• El despatx com a subjecte obligat de prevenció del blanqueig Fora del Reglament d'IA
• Alfabetització en IA del personal del despatx Mínim
• Tractar amb IA, a gran escala, dades de salut o sindicals de la renda (despatx gran o xarxa d'oficines) Mínim

Gairebé tot el que fa la IA en comptabilitat és de risc mínim. El que obliga és el de sempre: la comptabilitat és responsabilitat de l'empresari encara que la porti el despatx, els comptes els formulen i signen els administradors i, com a comptable extern, el despatx és subjecte obligat de prevenció del blanqueig.

• Lectura automàtica de factures (OCR amb IA) i proposta d'assentament Mínim
• Conciliació bancària automàtica Mínim
• Classificació comptable i assignació de comptes del PGC per la IA Mínim
• Tancament de l'exercici i esborrany de comptes anuals preparats amb IA Mínim
• Legalització de llibres i dipòsit de comptes amb ajuda de la IA Mínim
• Informe de gestió o memòria redactats amb IA Mínim
• Informes de gestió per a clients (quadres de comandament, previsions, comentaris de tresoreria) generats amb IA Mínim
• Detecció d'errors, anomalies o possible frau a la comptabilitat del client Mínim
• Assistent que contesta dubtes comptables al personal del despatx (PGC, resolucions de l'ICAC, consultes) Mínim
• Xat o portal per a clients que contesta sobre la seva comptabilitat (saldos, factures pendents, terminis) Transparència
• Avaluar la solvència de clients particulars (persones físiques) per a finançament, lloguer o ajornaments Alt risc
• Dades de proveïdors autònoms i de clients particulars que apareixen a la comptabilitat Fora del Reglament d'IA
• Diligència deguda de prevenció del blanqueig dels clients del despatx assistida per IA Mínim
• Despatx que, a més de portar comptabilitats, audita comptes Mínim
• Empleats del despatx que fan servir IA gratuïta amb comptabilitats de clients Fora del Reglament d'IA
• Conservació de la documentació comptable digitalitzada i dels registres de la IA Fora del Reglament d'IA

Redactar documents societaris amb IA és de risc mínim. El que obliga: una acta diu el que es va acordar i la signa qui en té la facultat; qui constitueix societats és subjecte obligat de prevenció del blanqueig i no es pot basar només en el registre de titularitats reals; la due diligence treballa amb secrets empresarials, i la signatura electrònica té les seves pròpies regles.

• Constitució de societats amb IA: esborrany d'estatuts, DUE, reserva de denominació, documentació per al notari Mínim
• Actes de junta o de consell redactades amb IA (a partir de notes, de la convocatòria o d'un enregistrament) Mínim
• Certificacions d'acords i elevació a públic preparades amb IA Mínim
• Llibres societaris (actes, registre de socis) portats o preparats amb IA Mínim
• Registre Mercantil: presentació telemàtica, lectura de qualificacions i esmena de defectes amb IA Mínim
• Identificació del titular real i diligència deguda assistides per IA (Registre de Titularitats Reals, llistes de sancions, persones amb responsabilitat pública) Mínim
• Identificació no presencial de clients per vídeo o amb verificació biomètrica automàtica Mínim
• Indicis de blanqueig detectats per la IA en una operació societària (estructures opaques, canvis de titularitat sense lògica, domicilis en sèrie) Mínim
• Poders i escriptures: esborranys i minutes per al notari amb dades de socis, administradors i apoderats Mínim
• Due diligence amb IA (revisió massiva de contractes, litigis, laboral, propietat industrial) en una compravenda o una entrada de socis Mínim
• Protocol familiar redactat amb IA Mínim
• Signatura electrònica d'actes, contractes o certificacions i la seva gestió automàtica amb IA Mínim
• Assistent que contesta dubtes societaris al personal (consultes, resolucions de la DGSJFP, terminis) Mínim
• Xat per a clients (estat d'una constitució, documents pendents, cites amb el notari) Transparència
• Anàlisi amb IA de dades públiques de societats i administradors (BORME, Registre Mercantil) per captar clients o perfilar Fora del Reglament d'IA
• Empleats del despatx que fan servir IA gratuïta amb estatuts, pactes de socis o data rooms Fora del Reglament d'IA

El despatx fa recursos humans per als seus clients i tracta dades dels seus treballadors: nòmines, baixes, acomiadaments i, de vegades, antecedents. Seleccionar personal o decidir sobre treballadors amb IA és d'alt risc a partir del 2 de desembre de 2027, i ja avui obliguen el RGPD, l'Estatut dels treballadors i, des del 5 d'octubre de 2026, la informació escrita sobre algorismes.

• Interpretar el conveni col·lectiu o revisar incidències de nòmina amb un assistent d'IA Mínim
• Contractes de treball i informació d'incorporació redactats amb IA Mínim
• Altes i baixes a la Seguretat Social preparades o presentades automàticament Mínim
• Càlcul de finiquits i indemnitzacions d'un acomiadament ja decidit pel client Mínim
• IA que proposa qui acomiadar, qui incloure en un ERTO o qui ascendir Alt risc
• ERTO: memòria, comunicacions i documentació redactades amb IA Mínim
• Baixes mèdiques i incapacitat temporal: gestió de comunicats i càlcul de prestacions Mínim
• Selecció de personal per a un client amb IA: filtrar, puntuar o ordenar currículums Alt risc
• Resumir currículums a petició de qui selecciona, sense puntuar ni ordenar Mínim
• Ofertes de feina redactades amb IA per a clients Mínim
• Registre horari dels clients amb un programa Mínim
• Registre horari amb biometria (empremta o cara) Fora del Reglament d'IA
• Plans d'igualtat i diagnosi de situació preparats amb IA Mínim
• Registre retributiu i auditoria retributiva amb IA Mínim
• Escrits i respostes a la Inspecció de Treball redactats amb IA Mínim
• Xat de dubtes per als empleats dels clients (nòmina, vacances, permisos) Transparència
• Certificats de delictes de naturalesa sexual de treballadors amb menors Mínim
• Avaluar el rendiment dels empleats d'un client (consultoria de recursos humans) Alt risc
• Reconeixement d'emocions de la plantilla d'un client (veu, càmera, manera de teclejar) Prohibit
• Personal del despatx que fa servir IA gratuïta amb nòmines o contractes de clients Fora del Reglament d'IA
• Registre d'activitats del despatx laboral, encara que tingui menys de 250 persones Fora del Reglament d'IA

Aquí la IA no només redacta: emplena formularis, vigila notificacions i pot presentar escrits en nom d'un client i amb credencials. El Reglament d'IA gairebé no obliga; el que obliga és el dret administratiu, la representació, la seguretat i la responsabilitat professional del despatx.

• Transferències de vehicles davant la DGT: lectura de permisos i contractes i preparació de l'expedient amb IA Mínim
• Agent d'IA que emplena formularis en una seu electrònica i deixa l'enviament a una persona Mínim
• Agent d'IA que presenta o signa escrits sense revisió humana Mínim
• Custòdia de certificats digitals de clients als equips del despatx Fora del Reglament d'IA
• Cl@ve o contrasenyes del client guardades pel despatx o fetes servir per un agent d'IA Fora del Reglament d'IA
• Vigilància de notificacions electròniques amb IA (bústies de seus, adreça electrònica habilitada única) Mínim
• Còmput de terminis administratius amb IA Mínim
• Classificar i resumir requeriments i notificacions rebudes Mínim
• Estrangeria: preparar expedients (autoritzacions de residència, arrelament, renovacions) amb IA Mínim
• Certificats d'antecedents penals recollits per a un tràmit Mínim
• Llicències d'activitat o d'obres: memòries i documentació redactades amb IA Mínim
• Ajuts i subvencions: sol·licituds preparades amb IA Mínim
• Predir amb IA si una sol·licitud prosperarà, per assessorar el client Mínim
• Xat de seguiment d'expedients per a clients Transparència
• Personal del despatx que fa servir IA gratuïta amb documents de clients Fora del Reglament d'IA

És la porta d'entrada de totes les dades del despatx: DNI, nòmines, escriptures, comunicats de baixa i certificats arriben per correu, WhatsApp o portal, i aquí la IA classifica, llegeix i arxiva. Gairebé tot és de risc mínim; el que obliga és el RGPD: minimització, seguretat del canal, terminis de conservació i el paper d'encarregat.

• Classificació automàtica dels documents rebuts (per client, tipus i tràmit) Mínim
• Bústia de correu genèrica amb IA que llegeix, resumeix i reparteix Mínim
• Recepció de documents per WhatsApp Mínim
• Portal del client amb pujada de documents i lectura automàtica Mínim
• OCR de DNI i documents d'identitat Mínim
• Extracció de dades de factures, nòmines o escriptures amb IA Mínim
• Comunicats de baixa, informes mèdics o certificats penals que arriben a la recepció Mínim
• Conservació i esborrament automatitzats per terminis Mínim
• Cerca intel·ligent a l'arxiu (preguntar a la IA per documents dels clients) Mínim
• Xat d'atenció al web o al portal Transparència
• Assistent de veu a la centraleta del despatx Transparència
• Signatura electrònica d'encàrrecs, mandats i documents amb clients Mínim
• Respostes a clients redactades per IA i revisades Mínim
• Enviament de documents a clients per correu amb IA Mínim
• Registre d'activitats de tractament que inclogui els tractaments amb IA Fora del Reglament d'IA
• Personal que reenvia documents de clients al seu correu personal o a una IA gratuïta Fora del Reglament d'IA
• Guardar còpia del DNI del client quan el despatx és subjecte obligat de prevenció del blanqueig (assessoria fiscal, comptabilitat externa, constitució de societats, domicili social) Fora del Reglament d'IA
• Guardar còpia del DNI en serveis que no són de la Llei 10/2010 (per exemple, només tràmits davant la DGT o només nòmines) Fora del Reglament d'IA

• Mercadona, S.A. (2021): Va instal·lar reconeixement facial a les seves botigues per detectar persones amb ordre d'allunyament. 2.520.000 € (3.150.000 € inicials; −20 % per pagament voluntari) · RGPD arts. 6 i 9, 12 i 13, 5.1.c, 25.1 i 35 · font oficial
• AENA, S.M.E., S.A. (2024): Va fer servir reconeixement facial per a l'accés de passatgers a zones de l'aeroport sense una avaluació d'impacte vàlida. 10.043.002 € · RGPD art. 35 · font oficial
• Yoti Ltd (2025): Proveïdor de verificació d'edat per la cara: feia servir per defecte les dades biomètriques, també de menors, per a «recerca i desenvolupament». 950.000 € (500.000 + 200.000 + 250.000) · RGPD arts. 9, 7 i 5.1.e · font oficial
• Universitat Internacional Valenciana – Valencian International University, S.L. (25-4-2025): Exàmens en línia vigilats amb reconeixement facial, intel·ligència artificial i decisions automatitzades, sense alternativa per a l'alumne. 650.000 € (300.000 + 350.000) · RGPD arts. 9 i 5.1.c · font oficial
• Universidad Europea de Valencia, S.L. (2025): Va obligar a fer servir en els exàmens en línia un programa amb reconeixement facial i control de càmera i micròfon. 160.000 € (200.000 € inicials; −20 % per pagament voluntari) · RGPD arts. 9 i 35 · font oficial
• Fundació per a la Universitat Oberta de Catalunya (UOC) (2022): Exigia registrar-se en una eina de reconeixement facial per fer les proves a distància. 20.000 € · RGPD arts. 5.1.a i 9 · font oficial
• Liga Nacional de Fútbol Profesional (2023): Va imposar l'accés biomètric a les grades d'animació dels estadis sense una avaluació d'impacte vàlida. 1.000.000 € · RGPD art. 35 · font oficial
• SIDECU, S.A. (gimnasios) (2024): Va canviar l'accés als seus gimnasos per reconeixement facial i negava l'entrada a qui no l'acceptava. 96.000 € (160.000 € inicials; −40 % per pagament anticipat i reconeixement) · RGPD arts. 9 i 35 · font oficial
• Loro Parque, S.A. (2023): Prenia l'empremta dactilar als visitants amb entrada per a dos parcs, per comprovar que era la mateixa persona. 250.000 € · RGPD art. 9 · font oficial
• CTC Externalización, S.L. (2023 · SAN de 30-6-2026): Fitxatge de la plantilla amb empremta dactilar sense informar-ne bé, sense prou mesures de seguretat i sense avaluació d'impacte. 50.000 € després de l'AN (365.000 € inicials: 200.000 + 65.000 + 100.000) · AEPD: RGPD arts. 13, 32 i 35. AN: l'art. 13 passa a infracció lleu (LOPDGDD art. 74.a, 10.000 €), l'art. 32 queda en 40.000 € i anul·la la multa de l'art. 35 · font oficial
• MAXAMCORP International, S.L. (1-3-2026): Va substituir la targeta per l'empremta dactilar per fitxar, sense base vàlida ni avaluació d'impacte. 400.000 € (300.000 + 100.000) · RGPD arts. 9 i 35 · font oficial
• Cartonajes Bañeres, S.A. (2023): Fitxatge per reconeixement facial sense avaluació d'impacte; a més, no va contestar un extreballador que va demanar les seves dades. 220.000 € (200.000 + 20.000) · RGPD arts. 35 i 15 · font oficial
• Ares Capital, S.A. (VTC) (2024): Exigia als conductors fer servir aplicacions de treball al seu mòbil personal, amb geolocalització, i recollia més dades de les necessàries. 200.000 € · RGPD arts. 13, 5.1.c i 6.1 · font oficial
• GlovoApp23, S.A. (2022 · resolució de 7-3-2023): Va configurar malament els permisos: personal d'atenció d'altres països podia veure les dades dels repartidors (ubicació, valoracions). 550.000 € + advertiment · RGPD arts. 25 i 32 (multa) i 13 (advertiment) · font oficial
• Posada del León de Oro, C.B. (hotel, Madrid) (2025): Càmera amb enregistrament d'imatge i àudio a la recepció, que qualsevol empleat veia en directe. 240 € (400 € inicials; −40 %) · RGPD arts. 5.1.c i 13 · font oficial
• Universitat Autònoma de Barcelona (7-10-2025): Un assistent d'IA per a reunions (Read.ai) va enregistrar i transcriure una reunió de Teams sense que els participants ho sabessin, i en va enviar el resum per correu. Sense multa (administració pública: només declaració d'infracció) · RGPD arts. 25 i 5.1.a · font oficial
• Adverbis Spain, S.L. (2024): Va fer una trucada automàtica (locució enregistrada) a un número inscrit a la Llista Robinson. 5.000 € · Llei 11/2022 (LGTel) art. 66.1.b, tipificada a l'art. 107.30 · font oficial
• Más Sol Energía 15, S.L. (28-4-2026): Va trucar a un número de la Llista Robinson i no va saber dir d'on havia tret el telèfon. 10.000 € (5.000 + 5.000) · LGTel art. 66.1.b; RGPD art. 14 · font oficial
• Napptive Solutions, S.L. (2024): Va fer servir per a prospecció un correu publicat a GitHub sense informar la persona de l'origen de les seves dades (extracció de dades de webs). Sense multa (advertiment) · RGPD art. 14 · font oficial
• Informa D&B, S.A. (2024 · resolució de 14-4-2025): Va comprar a un tercer un fitxer amb dades d'autònoms i les va comercialitzar sense base legal ni informar-los. 1.800.000 € (900.000 + 900.000) · RGPD arts. 6.1 i 14 · font oficial
• Axesor Conocer para Decidir, S.A.U. (2025): Comercialitzava dades d'autònoms tretes del cens de la Cambra de Comerç, sense base legal ni informar-los. 128.000 € (160.000 € inicials; −20 %) · RGPD arts. 6.1 i 14 · font oficial
• CaixaBank, S.A. (Resolució de 5-1-2021 · SAN de 8-5-2025): Elaborava perfils comercials dels seus clients amb un consentiment mal recollit i els informava de manera confusa (l'AEPD va declarar que no va infringir l'art. 22 del RGPD). 2.000.000 € després de l'AN (6.000.000 € inicials) · RGPD arts. 6, 13 i 14 · font oficial
• Banco Bilbao Vizcaya Argentaria, S.A. (Resolució de 18-11-2020 · STS de 11-11-2024): Tractament de dades de clients amb finalitats comercials sense base vàlida i amb informació insuficient. 5.000.000 € (2.000.000 + 3.000.000) · RGPD arts. 13, 14 i 6 · font oficial
• Vodafone España, S.A.U. (Resolució de 11-2-2021 · SAN de 29-10-2024): Campanyes comercials massives (trucades, SMS, correus) fetes per proveïdors sense control i sense respectar les oposicions. 4.580.000 € després de l'AN (8.150.000 € inicials) · RGPD arts. 28 i 24, art. 44; LSSI art. 21; Llei 9/2014 (LGTel) art. 48.1.b · font oficial
• Gestores Administrativos Reunidos, S.A. (GARSA) (2026): Gestoria administrativa del sector bancari: va patir una violació de seguretat (bretxa) amb dades de clients i l'AEPD li va haver d'ordenar que avisés els afectats. 75.000 € (125.000 € inicials: 100.000 + 25.000; −40 %) · RGPD arts. 5.1.f i 33 · font oficial
• Administraciones Benipon, S.L. (2025): Administrador de finques (encarregat d'una comunitat) que va subcontractar sense autorització i no va avisar el responsable d'una violació de seguretat (bretxa). 1.100 € (300 + 300 + 500) · RGPD arts. 28.2, 28.4 i 33.2 · font oficial
• Konecta BTO, S.L. (2025): Centre d'atenció telefònica que treballava com a encarregat: un accés no autoritzat als seus sistemes va exposar dades dels clients del seu client. 300.000 € (500.000 € inicials; −40 %) · RGPD art. 5.1.f · font oficial
• Coyare, S.L.U. (Bufete-RA) (2023): Despatx que va enviar publicitat a 95 persones amb totes les adreces visibles en còpia (CC). 2.500 € (2.000 + 500) · RGPD arts. 5.1.f i 32 · font oficial
• Marina Salud, S.A. (2024): Com a encarregada del tractament de la Conselleria, va recórrer a subencarregats sense informar prèviament el responsable dels canvis. 500.000 € · RGPD art. 28.2 · font oficial
• Endesa Energía, S.A.U. (Resolució de 25-10-2023): Accés no autoritzat als seus sistemes comercials amb dades de clients; va fallar en la notificació de la violació de seguretat (bretxa) i en l'avís als afectats, i va fer transferències internacionals sense garanties. 6.100.000 € (2.500.000 + 1.500.000 + 800.000 + 800.000 + 500.000) · RGPD arts. 5.1.f, 32, 33, 34 i 44 · font oficial
• Fundació Universitat Oberta de Catalunya (UOC) (27-8-2026): Després de passar treballs per una eina antiplagi, un professor va enviar a tres alumnes, en un mateix correu, els noms i els treballs dels tres acusats. 1.800 € (2.250 € inicials; −20 %) · RGPD art. 5.1.f · font oficial
• Suneris, S.A. (hotel) (2024 · pagament de 28-6-2025): Escanejava el document d'identitat dels hostes al registre d'entrada. 5.400 € (9.000 € inicials; −40 %) · RGPD art. 5.1.c · font oficial
• Unique Hotel Apartment, S.L. (2023): Guardava còpia escanejada del DNI dels hostes. 2.000 € · RGPD art. 5.1.c · font oficial
• Un particular (Resolució de 12-9-2025 · revocació posterior): Va difondre imatges de nus falsos de menors creades amb IA (cas conegut a la premsa com a Almendralejo). 1.200 € pagats (2.000 € inicials; −40 %) · RGPD art. 6.1 · font oficial
• Quinze menors (no identificats) (20-6-2024): Van crear amb aplicacions d'IA nus falsos de companyes a partir de les seves fotos de xarxes socials i els van difondre. Llibertat vigilada d'un any per a cadascun · Codi penal: pornografia infantil i delictes contra la integritat moral (20 de cadascun) · font oficial
• GlovoApp23, S.L. (25-9-2020): El Suprem va declarar laboral la relació d'un repartidor amb Glovo: l'algorisme assignava comandes i franges segons la seva valoració. — · Estatut dels treballadors, arts. 1.1 i 8.1 · font oficial
• Foundever Spain, S.A. (4-7-2025): No va informar els delegats sindicals dels paràmetres de l'algorisme que repartia els dies lliures de la plantilla. 6.250 € d'indemnització al sindicat · Estatut dels treballadors, art. 64.4.d; llibertat sindical (CE art. 28.1) · font oficial
• Administració General de l'Estat (BOSCO, bo social elèctric) (11-9-2025): El Suprem va reconèixer a una fundació el dret d'accedir al codi font del programa que decideix qui rep el bo social. — · Llei 19/2013, de transparència · font oficial
• Make Packing, S.L. y Art & Graphic Packaging, S.L. (15-1-2026): Va implantar el fitxatge per reconeixement facial sense consultar ni comptar amb la plantilla (2023-2025). 7.501 € d'indemnització a una treballadora · Dret a la pròpia imatge en relació amb la protecció de dades (CE arts. 18.1 i 18.4) · font oficial
• Tiendas Conexión, S.L.U. (15-9-2020): Va validar un acomiadament basat en el GPS del cotxe d'empresa: la treballadora sabia que el vehicle en portava. — · CE arts. 18.1 i 18.4 (intimitat i protecció de dades); acomiadament disciplinari (Estatut dels treballadors, art. 54) · font oficial
• OpenAI (ChatGPT) (02-11-2024 (comunicat 20-12-2024)): Va entrenar ChatGPT amb dades personals sense base legal, va informar malament, no verificava l'edat i no va notificar una violació de seguretat (bretxa). 15.000.000 € · RGPD: base jurídica, transparència, verificació d'edat i notificació de violacions de seguretat. Els articles exactes no es poden comprovar: la resolució s'ha retirat del web · font oficial
• Luka Inc. (xatbot Replika) (10-04-2025 (comunicat 19-05-2025)): Oferia un xatbot «de companyia» sense base legal per tractar dades, amb una política de privadesa deficient i sense verificar l'edat. 5.000.000 € · RGPD arts. 5.1.a, 5.1.c, 6, 12, 13, 24 i 25.1 · font oficial
• Character Technologies Inc. (Character.AI) (03-07-2026 (comunicat 09-07-2026)): Els seus xatbots de personatges donaven informació deficient, va fer tard l'avaluació d'impacte i el nomenament de representant a la UE, i protegia poc els menors. 158.000 € · RGPD arts. 5.2, 12, 13, 14, 24.1, 25.2, 27 i 35.1 · font oficial
• Hangzhou DeepSeek Artificial Intelligence y Beijing DeepSeek Artificial Intelligence (30-01-2025): Tractava dades d'usuaris a Itàlia amb informació insuficient, sense representant a la UE i guardant-les a la Xina, i se li va prohibir continuar fent-ho amb efecte immediat. Sense multa · RGPD arts. 6, 12, 13, 14, 27, 31 i 32 i cap. III; mesura de l'art. 58.2.f · font oficial
• Societat amb seu a les Illes Verges Britàniques que gestiona l'app Clothoff (el Garante no en publica la raó social) (01-10-2025 (comunicat 03-10-2025)): App que «despulla» amb IA persones reals, menors inclosos, sense comprovar-ne el consentiment ni l'edat. Sense multa · RGPD (mesura urgent; v. provvedimento) · font oficial
• R.T.I. – Reti Televisive Italiane S.p.A. (23-07-2026 (comunicat 07-08-2026)): Va emetre ultrafalsificacions (deepfakes) en vídeo d'un periodista, amb la veu imitada per IA, i l'avís de «fet amb IA» no era prou clar. Sense multa · RGPD arts. 5 i 25; mesures de l'art. 58.2.b i 58.2.f · font oficial
• Myndoor S.r.l. (14-05-2026 (comunicat 28-05-2026)): Oferia un complement per a Slack i Teams que mesura amb IA l'estrès dels empleats pel que escriuen, i el Garante li va adreçar una advertència citant la prohibició de reconèixer emocions a la feina. Sense multa · RGPD art. 58.2.a i Codi italià art. 154.1.f; es cita l'art. 5.1.f del Reglament (UE) 2024/1689 · font oficial
• Foodinho s.r.l. (grup Glovo) (13-11-2024 (comunicat 22-11-2024)): Gestió de més de 35.000 repartidors per algorisme: reconeixement facial, ubicació fora de l'horari i desactivació de comptes sense explicar com recórrer ni oferir intervenció humana. 5.000.000 € · RGPD arts. 5.1.a, c, d i e, 6, 9.2.b, 12, 13, 22.3, 25, 28, 32, 35 i 88; Codi italià arts. 2-septies i 114; D. Lgs. 81/2015 art. 47-quinquies · font oficial
• Deliveroo Italy s.r.l. (22-07-2021 (butlletí 02-08-2021)): Algorisme opac per repartir comandes entre uns 8.000 repartidors, amb geolocalització contínua i risc de discriminació. 2.500.000 € · RGPD arts. 5.1.a, c i e, 13, 22.3, 25, 30.1, 32, 35, 37.7 i 88 · font oficial
• Comune di Trento (11-01-2024 (comunicat 25-01-2024)): Projectes de recerca que analitzaven amb IA les càmeres i els micròfons del carrer i missatges a les xarxes socials, sense base legal ni avaluació d'impacte. 50.000 € · RGPD arts. 5.1.a, 6, 9, 10, 13 i 14 i 35; Codi italià arts. 2-ter, 2-sexies i 2-octies · font oficial
• Clearview AI (10-02-2022 (comunicat 09-03-2022)): Va crear una base de dades de reconeixement facial amb fotos tretes d'internet, i se li va prohibir tractar dades de persones a Itàlia. 20.000.000 € · RGPD arts. 5.1.a, b i e, 6, 9, 12, 13, 14, 15 i 27 · font oficial
• Clearview AI (nom segons l'EDPB; Légifrance ja l'anonimitza, perquè la CNIL deixa de citar l'empresa al cap de dos anys) (17-10-2022 i 17-04-2023): Va fer servir reconeixement facial sense base legal, no va atendre els drets d'accés i de supressió i tampoc no va complir l'ordre de la CNIL. 20.000.000 € + 5.200.000 € (multa coercitiva) · RGPD arts. 6, 12, 15 i 17 · font oficial
• Clearview AI Inc. (16-05-2024 (publicada 03-09-2024)): Base de dades biomètrica il·legal amb fotos de persones als Països Baixos, poca transparència i sol·licituds d'accés sense resposta. 30.500.000 € (més quatre ordres amb multa coercitiva) · RGPD arts. 5.1.a amb 6.1, 9.1, 12.1 amb 14.1 i 14.2, 12.2 i 12.3 amb 15, i 27.1 · font oficial
• Clearview AI Inc. (Multa de maig de 2022; Upper Tribunal 06-10-2025): La mateixa base de dades facial de Clearview; l'Upper Tribunal va retornar el 2025 a l'ICO la competència que un tribunal li havia negat el 2023. ≈ 7.500.000 £ («£7.5m», ICO) · UK GDPR (àmbit territorial i material, arts. 2 i 3) · font oficial
• Uber (22-07-2024 (publicada 26-08-2024)): Va enviar als EUA dades de conductors europeus (documents, ubicació, fotos i, en alguns casos, dades penals i mèdiques) sense les garanties de transferència. 290.000.000 € · RGPD arts. 44, 46 i 49 · font oficial
• Uber B.V. (Publicada per l'EDPB el 08-10-2026): Desactivava de manera totalment automàtica els comptes de conductors per sospita de frau o males valoracions, sense informar-los bé. 824.990.000 € · RGPD arts. 22 i 13 · font oficial
• Amazon France Logistique (CNIL 27-12-2023; Conseil d'État 23-12-2025): Els seus escàners de magatzem mesuraven cada treballador al segon i guardaven tots els indicadors 31 dies, un excés de dades que va confirmar el Conseil d'État. 32.000.000 € → 15.000.000 € · RGPD arts. 5.1.c, 12, 13 i 32 (s'anul·la la infracció de l'art. 6.1.f) · font oficial
• LinkedIn Ireland Unlimited Company (22-10-2024 (comunicat 24-10-2024)): Analitzava el comportament dels seus usuaris per a publicitat dirigida sense base legal vàlida ni prou transparència. 310.000.000 € · RGPD arts. 5.1.a, 6, 13.1.c i 14.1.c · font oficial
• TikTok Technology Limited (30-04-2025 (comunicat 02-05-2025)): Permetia accedir des de la Xina a dades d'usuaris europeus sense garantir una protecció equivalent i sense explicar-ho. 530.000.000 € (485 M€ + 45 M€) · RGPD arts. 46.1 i 13.1.f · font oficial
• X (Grok) (08-08-2024; tancada el 04-09-2024): Va fer servir publicacions públiques d'usuaris europeus per entrenar Grok i es va comprometre davant el jutge a deixar de tractar aquestes dades de manera permanent. Sense multa · RGPD (licitud del tractament) · font oficial
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. y Beijing DeepSeek Artificial Intelligence Co., Ltd. (16-12-2025 (comunicat 30-04-2026)): El seu xatbot no avisava que pot «al·lucinar» (inventar dades), i es va comprometre a posar avisos permanents i a reforçar la informació. Sense multa · Codi del consum italià arts. 20, 21 i 22 (tancament per l'art. 27.7, sense declarar infracció) · font oficial
• SCHUFA Holding (agència de solvència) (07-12-2023): Calcular automàticament la probabilitat d'impagament d'una persona és una «decisió automatitzada» si un tercer (un banc, per exemple) s'hi basa per concedir o denegar un contracte. No escau · RGPD art. 22.1 (interpretació) · font oficial
• Dun & Bradstreet Austria GmbH (27-02-2025): A qui li deneguen un contracte per un perfil automàtic de solvència cal explicar-li de manera comprensible com s'ha arribat al resultat, i el secret comercial no permet negar-s'hi sense més. No escau · RGPD arts. 15.1.h i 22.1 (interpretació) · font oficial
• Uber B.V. (04-04-2023): Va desactivar conductors sense intervenció humana real, i el tribunal l'obliga a explicar-los la lògica de la decisió. 4.000 €/dia de multa coercitiva · RGPD arts. 15.1.h i 22 · font oficial
• (Comissió Europea; afecta qualsevol empresa que enviï dades als EUA) (03-09-2025; recurs del 31-10-2025): El Tribunal General va confirmar el marc de transferències de dades UE-EUA (Data Privacy Framework), i la sentència està recorreguda davant el Tribunal de Justícia. No escau · Decisió d'adequació (UE) 2023/1795; RGPD art. 45 · font oficial