Ley de IA y RGPD: qué exige a cada departamento de tu empresa

Casi todo lo que marketing genera con IA es riesgo mínimo y no necesita aviso, pero lo que parece real y no lo es (fotos con cambios, personas, lugares, vídeos o voces realistas) se debe avisar de forma clara desde el 2-ago-2026. Además siguen mandando la publicidad engañosa, el consumo, la LSSI y el derecho a la propia imagen.

• Menú redactado o diseñado con IA Mínimo
• Fotos reales mejoradas sin cambiar lo que se ve (recorte, color, luz, nitidez) Mínimo
• Fotos reales con elementos cambiados o añadidos con IA Transparencia
• Imágenes fotorrealistas generadas del establecimiento, del producto o del entorno Transparencia
• Ilustraciones claramente artísticas creadas con IA Mínimo
• Personas inventadas fotorrealistas Transparencia
• Vídeos con personas o lugares realistas generados o modificados con IA Transparencia
• Voz clonada de una persona real Transparencia
• Landing page generada con IA (textos y diseño) Mínimo
• Chat de campaña en la web Transparencia
• Publicaciones de texto en redes sociales escritas con IA Mínimo
• Newsletters y correos comerciales redactados con IA Mínimo
• Traducciones hechas con IA Mínimo
• Respuestas a reseñas redactadas con IA Mínimo
• Precios personalizados por algoritmo Fuera del Reglamento de IA

El chat, el asistente de WhatsApp y la centralita con IA deben decir que son una IA desde el primer contacto, y el cliente debe poder hablar con una persona. Analizar el texto de los mensajes es riesgo mínimo; deducir emociones por la voz o la cara es alto riesgo con los clientes y está prohibido con los propios agentes.

• Chat en la web o la app que responde dudas de clientes Transparencia
• Asistente de IA en WhatsApp o mensajería Transparencia
• Agente de voz que atiende llamadas (centralita con IA) Transparencia
• Respuestas a correos redactadas por la IA y revisadas por una persona Mínimo
• Respuestas automáticas enviadas sin revisión humana Transparencia
• Clasificar y enrutar consultas o reclamaciones con IA Mínimo
• Análisis de sentimiento del texto (correos, chats, reseñas) Mínimo
• Análisis de emociones del cliente por la voz o la cara Alto riesgo
• Análisis de emociones de los agentes por su voz o su cara (control de calidad) Prohibido
• Evaluar o puntuar el rendimiento de los agentes con IA Alto riesgo
• Resúmenes y transcripción de llamadas o reuniones con clientes Mínimo
• Traducción automática de conversaciones con clientes Mínimo
• Base de conocimiento o preguntas frecuentes generadas con IA Mínimo
• Respuestas a reseñas públicas con IA Mínimo
• Voz clonada de una persona real en la centralita Transparencia
• Decisiones automáticas sobre el cliente (denegar una devolución, bloquear una cuenta, puntuar su solvencia) Fuera del Reglamento de IA
• Chat o asistente de atención al huésped (motor de reservas o de terceros) Transparencia
• Chat o asistente que recibe consultas y documentos de los clientes de la gestoría Transparencia

Es el departamento donde el Reglamento de IA obliga más: seleccionar, asignar tareas por comportamiento, evaluar o decidir sobre trabajadores con IA es alto riesgo desde el 2-dic-2027, y deducir emociones de empleados o candidatos está prohibido desde el 2-feb-2025. Hoy ya se aplican el RGPD, la LOPDGDD y el derecho del comité a conocer los algoritmos.

• Redactar ofertas de empleo y descripciones de puestos con IA Mínimo
• Segmentar a quién se muestra un anuncio de empleo Alto riesgo
• Filtrar o puntuar currículums con IA Alto riesgo
• Resumir un currículum a petición de quien selecciona, sin puntuar ni ordenar Mínimo
• Entrevistas por vídeo analizadas por IA (expresiones, tono, «actitud») Prohibido
• Chat para candidatos o empleados (vacaciones, nóminas, políticas) Transparencia
• Asignar turnos o tareas según el comportamiento o las características personales Alto riesgo
• Cuadrantes de turnos solo con disponibilidad y reglas objetivas (convenio, descansos) Mínimo
• Evaluar el rendimiento o el comportamiento de los trabajadores con IA Alto riesgo
• Decidir ascensos, despidos o condiciones de trabajo con ayuda de la IA Alto riesgo
• Reconocimiento de emociones de empleados (cámaras, voz, forma de teclear) Prohibido
• Control horario con biometría (huella, cara) Fuera del Reglamento de IA
• Vigilancia de la actividad en el ordenador o geolocalización analizada con IA Alto riesgo
• Formación del personal en el uso de la IA Mínimo
• Empleados que usan IA gratuita con datos de compañeros o candidatos Fuera del Reglamento de IA
• Selección de temporada y cuadrantes con IA en hoteles, restauración y comercio Alto riesgo
• Gestorías que llevan las nóminas y los recursos humanos de sus clientes con IA Fuera del Reglamento de IA

El Reglamento de IA obliga poco aquí, salvo al evaluar con IA la solvencia de personas físicas (consumidores y autónomos) o tarificar seguros de vida y salud: alto riesgo desde el 2-dic-2027, con evaluación de impacto en los derechos fundamentales antes del primer uso. Lo que obliga ya es el RGPD, el secreto y la diligencia de los administradores, los secretos empresariales y, según la empresa, la normativa de blanqueo, DORA o abuso de mercado.

• Cuadros de mando e informes con IA Mínimo
• Previsiones de tesorería, presupuestos y planificación con IA Mínimo
• Apoyo a decisiones estratégicas (inversiones, precios, compras de empresas) con un chat de IA Mínimo
• Usar asistentes de IA generales con información financiera confidencial Fuera del Reglamento de IA
• Resúmenes y actas de consejos y juntas a partir de la grabación Mínimo
• Informe de gestión, comunicados o información a inversores redactados con IA y publicados Mínimo
• Evaluar con IA la solvencia de clientes personas físicas (consumidores, autónomos) para dar crédito, financiación o pago aplazado Alto riesgo
• Solvencia de clientes que son sociedades (riesgo comercial, límites de crédito) Mínimo
• Detección de fraude financiero (pagos anómalos, documentos falsos en solicitudes) Mínimo
• Evaluación de proveedores con IA (riesgo, solvencia, criterios ESG) Mínimo
• Prevención del blanqueo con IA: identificación de clientes, filtrado de listas y alertas (solo sujetos obligados) Mínimo
• Seguros: tarificar o seleccionar riesgos de vida y salud de personas (aseguradoras y mediadores) Alto riesgo
• Entidades financieras que usan IA de proveedores externos Fuera del Reglamento de IA
• Empresa cotizada que usa IA con información privilegiada Fuera del Reglamento de IA
• Formación de la dirección en el uso de la IA Mínimo
• Decisiones del consejo apoyadas en IA (responsabilidad de los administradores) Fuera del Reglamento de IA
• Detección de fraude en reservas y pagos (hoteles) Mínimo
• Prevención del blanqueo y datos financieros de los clientes en gestorías y asesorías Mínimo

Leer facturas, contabilizar, conciliar o preparar pagos con IA es riesgo mínimo. Lo que manda es la normativa mercantil y tributaria: la empresa responde de su contabilidad aunque la lleve una IA, los programas de facturación deben adaptarse a VERI*FACTU y la factura electrónica entre empresas llega el 6-oct-2027 y el 6-oct-2028.

• Leer facturas recibidas con IA y contabilizarlas de forma automática Mínimo
• Digitalizar facturas en papel y destruir el original Mínimo
• Conciliación bancaria automática con IA Mínimo
• Proponer y aprobar pagos (remesas, vencimientos) con IA o con un agente Mínimo
• Detectar errores, duplicados o fraude en facturas de proveedores y pagos Mínimo
• Emitir facturas con IA o con un agente (desde el chat, desde pedidos) Mínimo
• Factura electrónica entre empresas: emitir, recibir y leer facturas estructuradas Mínimo
• Conservar documentos y registros, también lo que guarda la herramienta de IA Fuera del Reglamento de IA
• Datos personales de proveedores autónomos y de empleados en facturas, gastos y pagos Fuera del Reglamento de IA
• Redactar con IA escritos a la AEAT o a la Seguridad Social (requerimientos, alegaciones, recursos) Mínimo
• Presentar con certificado digital o dejar que un agente de IA rellene formularios en la sede electrónica Mínimo
• Usar asistentes de IA generales con datos contables o fiscales Fuera del Reglamento de IA
• Asistente interno que responde dudas de administración a empleados o proveedores (estado de una factura o de un pago) Transparencia
• Cierre y cuentas anuales preparados con IA (sociedades) Mínimo
• Brecha de seguridad en la herramienta (filtración de datos bancarios, nóminas, facturas) Fuera del Reglamento de IA
• Formación del personal de administración en el uso de la IA Mínimo
• Facturas simplificadas en recepción y restauración (hoteles) Mínimo
• Gestorías que llevan la contabilidad y presentan impuestos de sus clientes con IA Mínimo

IT hace posible que el resto de la empresa cumpla: elige las herramientas, revisa los contratos, decide dónde se tratan los datos y guarda los registros. El Reglamento de IA le pide poco de forma directa; lo exigible hoy viene sobre todo del RGPD (contrato de encargo, seguridad, brechas y transferencias) y de la normativa de ciberseguridad y de datos.

• IA en la sombra: empleados que usan cuentas personales de IA con datos de la empresa Fuera del Reglamento de IA
• Contratar cuentas de empresa de IA generativa Mínimo
• Microsoft 365 Copilot: permisos, residencia de los datos y búsqueda web Mínimo
• Google Workspace con Gemini: regiones de datos y fuentes que consulta Mínimo
• Transferencias internacionales de datos a proveedores de IA de EE. UU. Fuera del Reglamento de IA
• Agentes de IA con acceso a sistemas (correo, CRM, ERP, carpetas) que envían correos o modifican registros Mínimo
• Generación de código con IA Mínimo
• Asistente interno propio sobre la API de un modelo, con el nombre de la empresa Transparencia
• Seguridad de las herramientas de IA (inyección de instrucciones, fugas por permisos, DLP) Fuera del Reglamento de IA
• Brecha de datos relacionada con la IA Fuera del Reglamento de IA
• Inventario de sistemas de IA y política de uso Fuera del Reglamento de IA
• Formación del personal en el uso de la IA Mínimo
• Detectar el uso de IA por la plantilla (informes de uso, herramientas que registran prompts) Fuera del Reglamento de IA
• Cambiar de proveedor de nube o de IA en la nube Fuera del Reglamento de IA
• Fabricantes: productos con software que la empresa fabrica o comercializa (equipos conectados, aplicaciones, firmware) Fuera del Reglamento de IA
• Ciberseguridad de entidades esenciales e importantes (NIS2) Fuera del Reglamento de IA
• Proveedores del sector público: sistemas que prestan servicios o soluciones a administraciones Fuera del Reglamento de IA
• Hoteles: programa de gestión hotelera, motor de reservas y pasarelas de pago con funciones de IA Fuera del Reglamento de IA
• Gestorías y asesorías: usar una herramienta de IA con los datos de sus clientes Fuera del Reglamento de IA

En ventas, el Reglamento de IA solo pesa de verdad cuando la IA evalúa a los propios comerciales o la solvencia de clientes que son personas físicas, y prohíbe analizar las emociones de los comerciales por su voz o su cara. Lo demás (puntuar leads, enriquecer contactos, escribir correos, llamar) se rige hoy por el RGPD, la LOPDGDD, la LSSI, la Ley General de Telecomunicaciones y, con consumidores, por la normativa de consumo y de competencia desleal.

• Puntuar leads o priorizar oportunidades en el CRM Mínimo
• Enriquecer contactos con bases de datos comerciales Mínimo
• Extraer datos de webs o de LinkedIn (scraping) con IA o agentes que navegan Mínimo
• Correos de prospección redactados o enviados en secuencia por la IA Mínimo
• Llamadas comerciales hechas por personas con guion o lista preparados por la IA Mínimo
• Agentes de voz salientes con IA que llaman a clientes o a leads Transparencia
• Chatbot de ventas en la web, WhatsApp o redes Transparencia
• Propuestas, presupuestos y ofertas redactados con IA Mínimo
• Precios personalizados por algoritmo según el perfil del cliente Mínimo
• Grabar, transcribir y analizar llamadas o videollamadas de ventas Mínimo
• Detectar emociones de los comerciales por su voz o su cara Prohibido
• Detectar emociones del cliente por su voz o su cara durante la llamada Alto riesgo
• Evaluar o puntuar a los comerciales con IA (calificación de llamadas, clasificaciones, «coaching» que llega a la dirección) Alto riesgo
• Repartir leads, cuentas o territorios entre comerciales según su comportamiento o rendimiento Alto riesgo
• Evaluar la solvencia de clientes que son personas físicas (consumidores, autónomos) para dar crédito, pago aplazado o condiciones Alto riesgo
• Previsión de ventas y análisis de la cartera con IA Mínimo
• Comerciales que usan IA gratuita con datos de clientes (pegar el CRM o un correo en un chat personal) Fuera del Reglamento de IA
• Hoteles: venta directa al huésped, tarifas dinámicas y campañas a antiguos huéspedes Mínimo
• Gestorías y asesorías: usar los datos de sus clientes para vender otros servicios Fuera del Reglamento de IA

La mayor parte de la IA de este departamento trabaja con datos de cosas (stock, pedidos, rutas, máquinas) y ahí el Reglamento de IA apenas obliga. Las obligaciones aparecen cuando la IA mide, asigna o vigila a personas, cuando las cámaras ven a personas y cuando la IA va dentro de las máquinas o productos que la empresa fabrica o comercializa.

• Evaluar y seleccionar proveedores (precio, plazos, calidad, riesgo) Mínimo
• Previsión de demanda e inventario, reaprovisionamiento automático Mínimo
• Redactar pedidos, comparar ofertas o negociar con un asistente o un agente de IA Transparencia
• Optimizar rutas de reparto o de recogida (tráfico, ventanas horarias, carga) Mínimo
• Asignar tareas, rutas o pedidos a operarios o repartidores según su rendimiento, comportamiento o rasgos Alto riesgo
• Medir la productividad de operarios o repartidores (unidades por hora, tiempos de picking, paradas) Alto riesgo
• Geolocalizar vehículos o repartidores (telemática) Fuera del Reglamento de IA
• Cámaras con IA en la cabina que detectan distracción, uso del móvil o somnolencia del conductor Mínimo
• Visión artificial para control de calidad del producto (defectos, etiquetado, embalaje) Mínimo
• Cámaras con IA que vigilan a personas en almacén o planta (EPI, zonas peligrosas, caídas) Mínimo
• Reconocimiento facial para acceder a almacén o planta, o para fichar Mínimo
• Mantenimiento predictivo (vibraciones, temperaturas, consumos de máquinas, instalaciones o flota) Mínimo
• IA integrada en máquinas que la empresa fabrica (robots, carretillas autónomas, celdas con visión) Alto riesgo
• IA integrada en otros productos regulados que la empresa fabrica (ascensores, equipos a presión, EPI, equipos radioeléctricos, juguetes, productos sanitarios) Alto riesgo
• Comercializar con su marca un producto o herramienta con IA fabricado por otro, o modificarlo sustancialmente Alto riesgo
• Responsabilidad si el producto con IA causa daños Fuera del Reglamento de IA
• Contratar herramientas de IA: cláusulas con el proveedor Fuera del Reglamento de IA
• Datos generados por máquinas, vehículos o equipos conectados que la empresa compra Fuera del Reglamento de IA
• Chat o asistente para proveedores, transportistas o clientes (estado del pedido, citas de muelle) Transparencia
• Formación del personal de almacén, flota y compras Mínimo
• Hoteles: asignar habitaciones a las camareras de pisos según su rendimiento o sus tiempos Alto riesgo
• Gestorías y asesorías: gestionar compras o logística para sus clientes Fuera del Reglamento de IA

Legal usa IA en su propio trabajo (contratos, investigación, canal de denuncias) y, sobre todo, gobierna el uso de la IA en toda la empresa: qué herramientas hay, qué riesgo tienen, qué papel juega la empresa en cada una y qué hay que hacer antes de usarlas. En España aún no hay régimen sancionador propio del Reglamento de IA, pero las sanciones del RGPD y de la LOPDGDD ya se aplican.

• Inventario de los sistemas de IA de la empresa Fuera del Reglamento de IA
• Clasificar cada sistema por nivel de riesgo y por el papel de la empresa (proveedora o responsable del despliegue) Mínimo
• Política de uso de la IA para la plantilla Fuera del Reglamento de IA
• Formación en IA (alfabetización) Mínimo
• Evaluación de impacto relativa a la protección de datos (EIPD) de los usos de IA Fuera del Reglamento de IA
• Evaluación de impacto en los derechos fundamentales (EIDF) Alto riesgo
• Revisar o redactar contratos con IA Mínimo
• Investigación jurídica con IA (jurisprudencia, normativa, doctrina) Mínimo
• Canal de denuncias con IA (transcribir, traducir, clasificar o resumir comunicaciones) Mínimo
• Registro de actividades de tratamiento con los usos de IA Fuera del Reglamento de IA
• Transferencias internacionales a proveedores de IA fuera del EEE Fuera del Reglamento de IA
• Transparencia de la IA en toda la empresa (chats, contenido generado, ultrasuplantaciones) Transparencia
• Relación con el delegado de protección de datos (DPD) Fuera del Reglamento de IA
• Vigilancia normativa (directrices, códigos, normas españolas) Fuera del Reglamento de IA
• Auditorías de la IA (interna o externa) Fuera del Reglamento de IA
• Plataformas de gobierno y privacidad con IA Mínimo
• Empleados que usan IA gratuita con contratos, datos de clientes o información confidencial Fuera del Reglamento de IA
• Asistente propio desarrollado por la empresa sobre la API de un modelo y puesto a disposición con su marca Transparencia
• Hoteles: herramientas de terceros con IA integrada (motor de reservas, programa de gestión, chats) y canal de denuncias Fuera del Reglamento de IA
• Gestorías y asesorías: usar IA con datos de clientes y asesorar a sus clientes en el cumplimiento de IA Fuera del Reglamento de IA

Lo que más se sanciona en recepción no es la IA, sino la copia del documento de identidad. El Reglamento de IA pide aquí sobre todo transparencia en chats y agentes de voz y prudencia con la biometría; el registro de viajeros, el RGPD y la normativa de consumo pesan más.

• Check-in presencial con lectura del documento en un equipo local (chip NFC o zona MRZ) que extrae solo los campos exigidos y descarta la imagen Mínimo
• Escanear, fotocopiar o fotografiar el documento de identidad y guardar la imagen (también para que una IA lo «lea» después) Fuera del Reglamento de IA
• Check-in online con subida de una foto del documento de identidad Mínimo
• Verificación facial: selfie comparado con la foto del documento Mínimo
• Reconocimiento facial a la llegada (cámara que identifica a huéspedes VIP o habituales) Alto riesgo
• Envío automático de los partes de viajeros desde el PMS a la plataforma policial Mínimo
• Usar el registro de viajeros para marketing, para enriquecer perfiles o para entrenar una IA Fuera del Reglamento de IA
• Chat de recepción en la web, la app, WhatsApp o redes Transparencia
• Agente de voz que atiende la centralita Transparencia
• Motor de reservas con IA (asistente que cotiza y reserva, recomendaciones de habitación) Transparencia
• Precios dinámicos según la demanda y la ocupación Mínimo
• Precios personalizados según el perfil del huésped (historial, dispositivo, fidelización) Mínimo
• Upselling y ofertas personalizadas antes o durante la estancia (habitación superior, late check-out, spa) Mínimo
• Perfiles de huéspedes con preferencias y peticiones (almohada, alergias, movilidad reducida, cuna) Mínimo
• Decisiones automáticas sobre el huésped: denegar una reserva, exigir depósito o «lista negra» por puntuación de riesgo o de no-show Mínimo
• Traducción automática en el mostrador (app o dispositivo) con huéspedes Mínimo
• Clasificar y responder quejas con IA Mínimo
• Respuestas a reseñas con IA Mínimo
• Mensajes previos a la llegada (confirmación, instrucciones, enlace al check-in online, código de acceso) Mínimo
• Promociones y newsletters a antiguos huéspedes, redactadas o segmentadas con IA Mínimo
• Asistente con IA como canal de atención permanente o de incidencias en Catalunya (hoteles y viviendas de uso turístico) Transparencia

Es el departamento del hotel donde la IA toca más a la plantilla: reparto de habitaciones, tiempos de limpieza, partes de averías y cámaras. Pesa el Derecho laboral y de protección de datos que ya se aplica hoy y, desde el 2-dic-2027, el alto riesgo cuando la IA reparte tareas por rendimiento o mide la productividad.

• Dictado por voz de incidencias, partes y estado de habitaciones Mínimo
• Asignar habitaciones a las camareras con reglas objetivas (salidas, llegadas, plantas, tipo de habitación, disponibilidad, cuota del convenio) Mínimo
• Asignar habitaciones según el rendimiento o el historial de cada camarera (velocidad, incidencias, valoraciones de huéspedes) Alto riesgo
• Medir la productividad de la plantilla: minutos por habitación, rankings, alertas al supervisor Alto riesgo
• Tiempos de limpieza previstos por la IA para planificar el día, sin evaluar a nadie Mínimo
• Localizar a la plantilla dentro del hotel (balizas, wifi, app de tareas) Alto riesgo
• Detección de emociones o de estrés de la plantilla por cámara, voz o pulsera Prohibido
• Sensores y mantenimiento predictivo (calderas, climatización, fugas, consumo de agua y energía) Mínimo
• Sensores en habitaciones o apartamentos (presencia, ruido, humo, apertura de puertas) Mínimo
• Cámaras con analítica en zonas comunes: objetos abandonados, aforo, caídas o intrusión Mínimo
• Reconocimiento facial con las cámaras para identificar a personas Alto riesgo
• Objetos perdidos: registro con fotos y búsqueda del dueño cruzando con las reservas Mínimo
• Datos de huéspedes en partes de averías y tareas («cliente alérgico», «movilidad reducida», nombre del huésped) Mínimo
• Asistente interno que responde con los procedimientos del hotel (limpieza, productos químicos, prevención de riesgos) Transparencia
• Previsión de inventario de lencería, productos y piezas de repuesto Mínimo

Lo que más riesgo tiene en restauración no es el Reglamento de IA, sino la información alimentaria: si la IA se equivoca con un alérgeno, responde el establecimiento. Además, el asistente debe decir que es una IA y las fotos de platos generadas no pueden engañar.

• Carta o menú redactado, traducido o diseñado con IA Mínimo
• Asistente (chat, QR en la mesa, WhatsApp) que responde dudas sobre platos y alérgenos Transparencia
• Fotos de platos generadas con IA que parecen reales (carta digital, web, redes, plataformas de reparto) Transparencia
• Fotos reales de platos retocadas sin cambiar lo que se ve (luz, color, encuadre) Mínimo
• Reservas de mesa por chat o WhatsApp con IA Transparencia
• Agente de voz que coge el teléfono y toma reservas Transparencia
• Predicción de no-shows y depósito o tarjeta de garantía según la puntuación del cliente Mínimo
• Alergias o intolerancias guardadas en la ficha del cliente para próximas visitas Mínimo
• Respuestas a reseñas redactadas con IA Mínimo
• Precios dinámicos en el restaurante (según la hora, la demanda o la ocupación del hotel) Mínimo
• Previsión de compras y de producción (cubiertos, merma, pedidos a proveedores) Mínimo
• Turnos de cocina y sala con IA Alto riesgo
• Cámaras con IA en cocina o sala (higiene, tiempos de emplatado, colas) Alto riesgo
• Marketing a clientes del restaurante con datos de reservas (correos, WhatsApp, SMS) Mínimo
• Recomendador de platos, vinos o extras en la carta digital Mínimo
• Carta, carteles y asistentes traducidos o atendidos con IA en Catalunya Mínimo

Preparar y presentar impuestos con IA es riesgo mínimo para el Reglamento de IA. Lo que obliga de verdad es que el despacho responde de lo que presenta, necesita la representación del cliente y su propio certificado, la renta contiene datos de categorías especiales y el asesor fiscal es sujeto obligado de prevención del blanqueo. Sus claves valen para todo el despacho.

• Preparar declaraciones con IA (IRPF, IVA, Impuesto sobre Sociedades): cuadrar datos, proponer casillas y deducciones Mínimo
• Leer documentos del cliente con IA (certificados de retenciones, datos fiscales de la AEAT, escrituras, facturas, recibos) Mínimo
• Consultar la normativa con IA (asistentes jurídicos o generales) Mínimo
• Presentación telemática de declaraciones en nombre de los clientes Mínimo
• Custodiar certificados digitales de clientes en el despacho o dárselos a una herramienta de IA Fuera del Reglamento de IA
• Agentes de IA que presentan declaraciones, contestan requerimientos o tramitan en la sede electrónica sin intervención de una persona Mínimo
• IA que vigila el buzón de notificaciones de la AEAT, resume requerimientos y avisa de plazos Mínimo
• VeriFactu: asesorar a los clientes sobre sus sistemas de facturación (también los que generan facturas con IA) Mínimo
• Factura electrónica obligatoria entre empresas: adaptar a los clientes Mínimo
• Chat o asistente para clientes (dudas de la renta, documentación que falta, estado del expediente) Transparencia
• Recogida de documentación por correo, WhatsApp o portal con clasificación automática por cliente y ejercicio Mínimo
• Planificación fiscal o simulaciones con IA para un cliente Mínimo
• Informe de rentas o de capacidad económica de un particular para un banco o un arrendador, con puntuación por IA Alto riesgo
• Diligencia debida de blanqueo de los clientes con IA (identificación, titular real, listas de sanciones) Mínimo
• Empleados del despacho que usan IA gratuita con declaraciones de clientes Fuera del Reglamento de IA
• Conservación de declaraciones, justificantes y conversaciones con la IA Fuera del Reglamento de IA
• Usar IA con datos de clientes sin haber fijado si el despacho es encargado o responsable de cada servicio Fuera del Reglamento de IA
• Proveedor de IA en la nube que trata datos de los clientes del despacho Mínimo
• Enviar datos de clientes a proveedores de IA de fuera del Espacio Económico Europeo Mínimo
• Confidencialidad y secreto profesional cuando el despacho usa IA Fuera del Reglamento de IA
• El despacho como sujeto obligado de prevención del blanqueo Fuera del Reglamento de IA
• Alfabetización en IA del personal del despacho Mínimo
• Tratar con IA, a gran escala, datos de salud o sindicales de la renta (despacho grande o red de oficinas) Mínimo

Casi todo lo que hace la IA en contabilidad es riesgo mínimo. Lo que obliga es lo de siempre: la contabilidad es responsabilidad del empresario aunque la lleve el despacho, las cuentas las formulan y firman los administradores y, como contable externo, el despacho es sujeto obligado de prevención del blanqueo.

• Lectura automática de facturas (OCR con IA) y propuesta de asiento Mínimo
• Conciliación bancaria automática Mínimo
• Clasificación contable y asignación de cuentas del PGC por la IA Mínimo
• Cierre del ejercicio y borrador de cuentas anuales preparados con IA Mínimo
• Legalización de libros y depósito de cuentas con ayuda de la IA Mínimo
• Informe de gestión o memoria redactados con IA Mínimo
• Informes de gestión para clientes (cuadros de mando, previsiones, comentarios de tesorería) generados con IA Mínimo
• Detección de errores, anomalías o posible fraude en la contabilidad del cliente Mínimo
• Asistente que contesta dudas contables al personal del despacho (PGC, resoluciones del ICAC, consultas) Mínimo
• Chat o portal para clientes que contesta sobre su contabilidad (saldos, facturas pendientes, plazos) Transparencia
• Evaluar la solvencia de clientes particulares (personas físicas) para financiación, alquiler o aplazamientos Alto riesgo
• Datos de proveedores autónomos y de clientes particulares que aparecen en la contabilidad Fuera del Reglamento de IA
• Diligencia debida de blanqueo de los clientes del despacho asistida por IA Mínimo
• Despacho que, además de llevar contabilidades, audita cuentas Mínimo
• Empleados del despacho que usan IA gratuita con contabilidades de clientes Fuera del Reglamento de IA
• Conservación de la documentación contable digitalizada y de los registros de la IA Fuera del Reglamento de IA

Redactar documentos societarios con IA es riesgo mínimo. Lo que obliga: un acta dice lo que se acordó y la firma quien tiene la facultad; quien constituye sociedades es sujeto obligado de blanqueo y no puede basarse solo en el registro de titularidades reales; la due diligence maneja secretos empresariales, y la firma electrónica tiene sus propias reglas.

• Constitución de sociedades con IA: borrador de estatutos, DUE, reserva de denominación, documentación para el notario Mínimo
• Actas de junta o de consejo redactadas con IA (a partir de notas, de la convocatoria o de una grabación) Mínimo
• Certificaciones de acuerdos y elevación a público preparadas con IA Mínimo
• Libros societarios (actas, registro de socios) llevados o preparados con IA Mínimo
• Registro Mercantil: presentación telemática, lectura de calificaciones y subsanación de defectos con IA Mínimo
• Identificación del titular real y diligencia debida asistidas por IA (Registro de Titularidades Reales, listas de sanciones, personas con responsabilidad pública) Mínimo
• Identificación no presencial de clientes por vídeo o con verificación biométrica automática Mínimo
• Indicios de blanqueo detectados por la IA en una operación societaria (estructuras opacas, cambios de titularidad sin lógica, domicilios en serie) Mínimo
• Poderes y escrituras: borradores y minutas para el notario con datos de socios, administradores y apoderados Mínimo
• Due diligence con IA (revisión masiva de contratos, litigios, laboral, propiedad industrial) en una compraventa o una entrada de socios Mínimo
• Protocolo familiar redactado con IA Mínimo
• Firma electrónica de actas, contratos o certificaciones y su gestión automática con IA Mínimo
• Asistente que contesta dudas societarias al personal (consultas, resoluciones de la DGSJFP, plazos) Mínimo
• Chat para clientes (estado de una constitución, documentos pendientes, citas con el notario) Transparencia
• Análisis con IA de datos públicos de sociedades y administradores (BORME, Registro Mercantil) para captar clientes o perfilar Fuera del Reglamento de IA
• Empleados del despacho que usan IA gratuita con estatutos, pactos de socios o data rooms Fuera del Reglamento de IA

El despacho hace recursos humanos para sus clientes y trata datos de sus trabajadores: nóminas, bajas, despidos y, a veces, antecedentes. Seleccionar personal o decidir sobre trabajadores con IA es alto riesgo desde el 2-dic-2027, y hoy ya obligan el RGPD, el Estatuto de los Trabajadores y, desde el 5-oct-2026, la información escrita sobre algoritmos.

• Interpretar el convenio colectivo o revisar incidencias de nómina con un asistente de IA Mínimo
• Contratos de trabajo e información de incorporación redactados con IA Mínimo
• Altas y bajas en la Seguridad Social preparadas o presentadas automáticamente Mínimo
• Cálculo de finiquitos e indemnizaciones de un despido ya decidido por el cliente Mínimo
• IA que propone a quién despedir, a quién incluir en un ERTE o a quién ascender Alto riesgo
• ERTE: memoria, comunicaciones y documentación redactadas con IA Mínimo
• Bajas médicas e incapacidad temporal: gestión de partes y cálculo de prestaciones Mínimo
• Selección de personal para un cliente con IA: filtrar, puntuar u ordenar currículums Alto riesgo
• Resumir currículums a petición de quien selecciona, sin puntuar ni ordenar Mínimo
• Ofertas de empleo redactadas con IA para clientes Mínimo
• Registro horario de los clientes con un programa Mínimo
• Registro horario con biometría (huella o cara) Fuera del Reglamento de IA
• Planes de igualdad y diagnóstico de situación preparados con IA Mínimo
• Registro retributivo y auditoría retributiva con IA Mínimo
• Escritos y respuestas a la Inspección de Trabajo redactados con IA Mínimo
• Chat de dudas para los empleados de los clientes (nómina, vacaciones, permisos) Transparencia
• Certificados de delitos de naturaleza sexual de trabajadores con menores Mínimo
• Evaluar el rendimiento de los empleados de un cliente (consultoría de recursos humanos) Alto riesgo
• Reconocimiento de emociones de la plantilla de un cliente (voz, cámara, forma de teclear) Prohibido
• Personal del despacho que usa IA gratuita con nóminas o contratos de clientes Fuera del Reglamento de IA
• Registro de actividades del despacho laboral, aunque tenga menos de 250 personas Fuera del Reglamento de IA

Aquí la IA no solo redacta: rellena formularios, vigila notificaciones y puede presentar escritos en nombre de un cliente y con credenciales. El Reglamento de IA apenas obliga; lo que obliga es el derecho administrativo, la representación, la seguridad y la responsabilidad profesional del despacho.

• Transferencias de vehículos ante la DGT: lectura de permisos y contratos y preparación del expediente con IA Mínimo
• Agente de IA que rellena formularios en una sede electrónica y deja el envío a una persona Mínimo
• Agente de IA que presenta o firma escritos sin revisión humana Mínimo
• Custodia de certificados digitales de clientes en los equipos del despacho Fuera del Reglamento de IA
• Cl@ve o contraseñas del cliente guardadas por el despacho o usadas por un agente de IA Fuera del Reglamento de IA
• Vigilancia de notificaciones electrónicas con IA (buzones de sedes, dirección electrónica habilitada única) Mínimo
• Cómputo de plazos administrativos con IA Mínimo
• Clasificar y resumir requerimientos y notificaciones recibidas Mínimo
• Extranjería: preparar expedientes (autorizaciones de residencia, arraigo, renovaciones) con IA Mínimo
• Certificados de antecedentes penales recogidos para un trámite Mínimo
• Licencias de actividad u obra: memorias y documentación redactadas con IA Mínimo
• Ayudas y subvenciones: solicitudes preparadas con IA Mínimo
• Predecir con IA si una solicitud prosperará, para asesorar al cliente Mínimo
• Chat de seguimiento de expedientes para clientes Transparencia
• Personal del despacho que usa IA gratuita con documentos de clientes Fuera del Reglamento de IA

Es la puerta de entrada de todos los datos del despacho: DNI, nóminas, escrituras, partes de baja y certificados llegan por correo, WhatsApp o portal, y aquí la IA clasifica, lee y archiva. Casi todo es riesgo mínimo; lo que obliga es el RGPD: minimización, seguridad del canal, plazos de conservación y el papel de encargado.

• Clasificación automática de los documentos recibidos (por cliente, tipo y trámite) Mínimo
• Buzón de correo genérico con IA que lee, resume y reparte Mínimo
• Recepción de documentos por WhatsApp Mínimo
• Portal del cliente con subida de documentos y lectura automática Mínimo
• OCR de DNI y documentos de identidad Mínimo
• Extracción de datos de facturas, nóminas o escrituras con IA Mínimo
• Partes de baja, informes médicos o certificados penales que llegan a recepción Mínimo
• Conservación y borrado automatizados por plazos Mínimo
• Búsqueda inteligente en el archivo (preguntar a la IA por documentos de los clientes) Mínimo
• Chat de atención en la web o el portal Transparencia
• Asistente de voz en la centralita del despacho Transparencia
• Firma electrónica de encargos, mandatos y documentos con clientes Mínimo
• Respuestas a clientes redactadas por IA y revisadas Mínimo
• Envío de documentos a clientes por correo con IA Mínimo
• Registro de actividades de tratamiento que incluya los tratamientos con IA Fuera del Reglamento de IA
• Personal que reenvía documentos de clientes a su correo personal o a una IA gratuita Fuera del Reglamento de IA
• Guardar copia del DNI del cliente cuando el despacho es sujeto obligado de prevención del blanqueo (asesoría fiscal, contabilidad externa, constitución de sociedades, domicilio social) Fuera del Reglamento de IA
• Guardar copia del DNI en servicios que no son de la Ley 10/2010 (por ejemplo, solo trámites ante la DGT o solo nóminas) Fuera del Reglamento de IA

• Mercadona, S.A. (2021): Instaló reconocimiento facial en sus tiendas para detectar a personas con orden de alejamiento. 2.520.000 € (3.150.000 € iniciales; −20 % por pago voluntario) · RGPD arts. 6 y 9, 12 y 13, 5.1.c, 25.1 y 35 · fuente oficial
• AENA, S.M.E., S.A. (2024): Usó reconocimiento facial para el acceso de pasajeros a zonas del aeropuerto sin una evaluación de impacto válida. 10.043.002 € · RGPD art. 35 · fuente oficial
• Yoti Ltd (2025): Proveedor de verificación de edad por la cara: usaba por defecto los datos biométricos, también de menores, para «investigación y desarrollo». 950.000 € (500.000 + 200.000 + 250.000) · RGPD arts. 9, 7 y 5.1.e · fuente oficial
• Universitat Internacional Valenciana – Valencian International University, S.L. (25-4-2025): Exámenes en línea vigilados con reconocimiento facial, inteligencia artificial y decisiones automatizadas, sin alternativa para el alumno. 650.000 € (300.000 + 350.000) · RGPD arts. 9 y 5.1.c · fuente oficial
• Universidad Europea de Valencia, S.L. (2025): Obligó a usar en los exámenes en línea un programa con reconocimiento facial y control de cámara y micrófono. 160.000 € (200.000 € iniciales; −20 % por pago voluntario) · RGPD arts. 9 y 35 · fuente oficial
• Fundació per a la Universitat Oberta de Catalunya (UOC) (2022): Exigía registrarse en una herramienta de reconocimiento facial para hacer las pruebas a distancia. 20.000 € · RGPD arts. 5.1.a y 9 · fuente oficial
• Liga Nacional de Fútbol Profesional (2023): Impuso el acceso biométrico a las gradas de animación de los estadios sin una evaluación de impacto válida. 1.000.000 € · RGPD art. 35 · fuente oficial
• SIDECU, S.A. (gimnasios) (2024): Cambió el acceso a sus gimnasios por reconocimiento facial y negaba la entrada a quien no lo aceptaba. 96.000 € (160.000 € iniciales; −40 % por pronto pago y reconocimiento) · RGPD arts. 9 y 35 · fuente oficial
• Loro Parque, S.A. (2023): Tomaba la huella dactilar a los visitantes con entrada para dos parques, para comprobar que era la misma persona. 250.000 € · RGPD art. 9 · fuente oficial
• CTC Externalización, S.L. (2023 · SAN de 30-6-2026): Fichaje de la plantilla con huella dactilar sin informar bien, sin medidas de seguridad suficientes y sin evaluación de impacto. 50.000 € tras la AN (365.000 € iniciales: 200.000 + 65.000 + 100.000) · AEPD: RGPD arts. 13, 32 y 35. AN: el art. 13 pasa a infracción leve (LOPDGDD art. 74.a, 10.000 €), el art. 32 queda en 40.000 € y anula la multa del art. 35 · fuente oficial
• MAXAMCORP International, S.L. (1-3-2026): Sustituyó la tarjeta por la huella dactilar para fichar, sin base válida ni evaluación de impacto. 400.000 € (300.000 + 100.000) · RGPD arts. 9 y 35 · fuente oficial
• Cartonajes Bañeres, S.A. (2023): Fichaje por reconocimiento facial sin evaluación de impacto; además no contestó a un extrabajador que pidió sus datos. 220.000 € (200.000 + 20.000) · RGPD arts. 35 y 15 · fuente oficial
• Ares Capital, S.A. (VTC) (2024): Exigía a los conductores usar aplicaciones de trabajo en su móvil personal, con geolocalización, y recogía más datos de los necesarios. 200.000 € · RGPD arts. 13, 5.1.c y 6.1 · fuente oficial
• GlovoApp23, S.A. (2022 · resolución de 7-3-2023): Configuró mal los permisos: personal de atención de otros países podía ver los datos de los repartidores (ubicación, valoraciones). 550.000 € + apercibimiento · RGPD arts. 25 y 32 (multa) y 13 (apercibimiento) · fuente oficial
• Posada del León de Oro, C.B. (hotel, Madrid) (2025): Cámara con grabación de imagen y audio en la recepción, que veía en directo cualquier empleado. 240 € (400 € iniciales; −40 %) · RGPD arts. 5.1.c y 13 · fuente oficial
• Universitat Autònoma de Barcelona (7-10-2025): Un asistente de IA para reuniones (Read.ai) grabó y transcribió una reunión de Teams sin que los participantes lo supieran, y envió el resumen por correo. Sin multa (administración pública: solo declaración de infracción) · RGPD arts. 25 y 5.1.a · fuente oficial
• Adverbis Spain, S.L. (2024): Hizo una llamada automática (locución grabada) a un número inscrito en la Lista Robinson. 5.000 € · Ley 11/2022 (LGTel) art. 66.1.b, tipificada en el art. 107.30 · fuente oficial
• Más Sol Energía 15, S.L. (28-4-2026): Llamó a un número de la Lista Robinson y no supo decir de dónde había sacado el teléfono. 10.000 € (5.000 + 5.000) · LGTel art. 66.1.b; RGPD art. 14 · fuente oficial
• Napptive Solutions, S.L. (2024): Usó para prospección un correo publicado en GitHub sin informar a la persona del origen de sus datos (extracción de datos de webs). Sin multa (apercibimiento) · RGPD art. 14 · fuente oficial
• Informa D&B, S.A. (2024 · resolución de 14-4-2025): Compró a un tercero un fichero con datos de autónomos y los comercializó sin base legal ni informarles. 1.800.000 € (900.000 + 900.000) · RGPD arts. 6.1 y 14 · fuente oficial
• Axesor Conocer para Decidir, S.A.U. (2025): Comercializaba datos de autónomos sacados del censo de la Cámara de Comercio, sin base legal ni informarles. 128.000 € (160.000 € iniciales; −20 %) · RGPD arts. 6.1 y 14 · fuente oficial
• CaixaBank, S.A. (Resolución de 5-1-2021 · SAN de 8-5-2025): Elaboraba perfiles comerciales de sus clientes con un consentimiento mal recogido y les informaba de forma confusa (la AEPD declaró que no infringió el art. 22 del RGPD). 2.000.000 € tras la AN (6.000.000 € iniciales) · RGPD arts. 6, 13 y 14 · fuente oficial
• Banco Bilbao Vizcaya Argentaria, S.A. (Resolución de 18-11-2020 · STS de 11-11-2024): Tratamiento de datos de clientes con fines comerciales sin base válida e información insuficiente. 5.000.000 € (2.000.000 + 3.000.000) · RGPD arts. 13, 14 y 6 · fuente oficial
• Vodafone España, S.A.U. (Resolución de 11-2-2021 · SAN de 29-10-2024): Campañas comerciales masivas (llamadas, SMS, correos) hechas por proveedores sin control y sin respetar las oposiciones. 4.580.000 € tras la AN (8.150.000 € iniciales) · RGPD arts. 28 y 24, art. 44; LSSI art. 21; Ley 9/2014 (LGTel) art. 48.1.b · fuente oficial
• Gestores Administrativos Reunidos, S.A. (GARSA) (2026): Gestoría administrativa del sector bancario: sufrió una brecha de datos de clientes y la AEPD tuvo que ordenarle avisar a los afectados. 75.000 € (125.000 € iniciales: 100.000 + 25.000; −40 %) · RGPD arts. 5.1.f y 33 · fuente oficial
• Administraciones Benipon, S.L. (2025): Administrador de fincas (encargado de una comunidad) que subcontrató sin autorización y no avisó de una brecha al responsable. 1.100 € (300 + 300 + 500) · RGPD arts. 28.2, 28.4 y 33.2 · fuente oficial
• Konecta BTO, S.L. (2025): Centro de atención telefónica que trabajaba como encargado: un acceso no autorizado a sus sistemas expuso datos de los clientes de su cliente. 300.000 € (500.000 € iniciales; −40 %) · RGPD art. 5.1.f · fuente oficial
• Coyare, S.L.U. (Bufete-RA) (2023): Despacho que envió publicidad a 95 personas con todas las direcciones visibles en copia (CC). 2.500 € (2.000 + 500) · RGPD arts. 5.1.f y 32 · fuente oficial
• Marina Salud, S.A. (2024): Como encargada del tratamiento de la Conselleria, recurrió a subencargados sin informar antes al responsable de los cambios. 500.000 € · RGPD art. 28.2 · fuente oficial
• Endesa Energía, S.A.U. (Resolución de 25-10-2023): Acceso no autorizado a sus sistemas comerciales con datos de clientes; falló al notificar la brecha y al avisar a los afectados, e hizo transferencias internacionales sin garantías. 6.100.000 € (2.500.000 + 1.500.000 + 800.000 + 800.000 + 500.000) · RGPD arts. 5.1.f, 32, 33, 34 y 44 · fuente oficial
• Fundació Universitat Oberta de Catalunya (UOC) (27-8-2026): Tras pasar trabajos por una herramienta antiplagio, un profesor envió a tres alumnos, en un mismo correo, los nombres y trabajos de los tres acusados. 1.800 € (2.250 € iniciales; −20 %) · RGPD art. 5.1.f · fuente oficial
• Suneris, S.A. (hotel) (2024 · pago de 28-6-2025): Escaneaba el documento de identidad de los huéspedes en el registro de entrada. 5.400 € (9.000 € iniciales; −40 %) · RGPD art. 5.1.c · fuente oficial
• Unique Hotel Apartment, S.L. (2023): Guardaba copia escaneada del DNI de los huéspedes. 2.000 € · RGPD art. 5.1.c · fuente oficial
• Un particular (Resolución de 12-9-2025 · revocación posterior): Difundió imágenes de desnudos falsos de menores creadas con IA (caso conocido en prensa como Almendralejo). 1.200 € pagados (2.000 € iniciales; −40 %) · RGPD art. 6.1 · fuente oficial
• Quince menores (no se identifican) (20-6-2024): Crearon con aplicaciones de IA desnudos falsos de compañeras a partir de sus fotos de redes y los difundieron. Libertad vigilada de un año para cada uno · Código Penal: pornografía infantil y delitos contra la integridad moral (20 de cada) · fuente oficial
• GlovoApp23, S.L. (25-9-2020): El Supremo declaró laboral la relación de un repartidor con Glovo: el algoritmo asignaba pedidos y franjas según su valoración. — · Estatuto de los Trabajadores, arts. 1.1 y 8.1 · fuente oficial
• Foundever Spain, S.A. (4-7-2025): No informó a los delegados sindicales de los parámetros del algoritmo que repartía los días libres de la plantilla. 6.250 € de indemnización al sindicato · Estatuto de los Trabajadores, art. 64.4.d; libertad sindical (CE art. 28.1) · fuente oficial
• Administración General del Estado (BOSCO, bono social eléctrico) (11-9-2025): El Supremo reconoció a una fundación el derecho a acceder al código fuente del programa que decide quién recibe el bono social. — · Ley 19/2013 de transparencia · fuente oficial
• Make Packing, S.L. y Art & Graphic Packaging, S.L. (15-1-2026): Implantó el fichaje por reconocimiento facial sin consultar ni contar con la plantilla (2023-2025). 7.501 € de indemnización a una trabajadora · Derecho a la propia imagen en relación con la protección de datos (CE arts. 18.1 y 18.4) · fuente oficial
• Tiendas Conexión, S.L.U. (15-9-2020): Validó un despido basado en el GPS del coche de empresa: la trabajadora sabía que el vehículo lo llevaba. — · CE arts. 18.1 y 18.4 (intimidad y protección de datos); despido disciplinario (Estatuto de los Trabajadores, art. 54) · fuente oficial
• OpenAI (ChatGPT) (02-11-2024 (comunicado 20-12-2024)): Entrenó ChatGPT con datos personales sin base legal, informó mal, no verificaba la edad y no notificó una brecha de seguridad. 15.000.000 € · RGPD: base jurídica, transparencia, verificación de edad y notificación de brechas. Los artículos exactos no se pueden comprobar: la resolución está retirada de la web · fuente oficial
• Luka Inc. (chatbot Replika) (10-04-2025 (comunicado 19-05-2025)): Ofrecía un chatbot «de compañía» sin base legal para tratar datos, con una política de privacidad deficiente y sin verificar la edad. 5.000.000 € · RGPD arts. 5.1.a, 5.1.c, 6, 12, 13, 24 y 25.1 · fuente oficial
• Character Technologies Inc. (Character.AI) (03-07-2026 (comunicado 09-07-2026)): Sus chatbots de personajes daban información deficiente, hizo tarde la evaluación de impacto y el nombramiento de representante en la UE, y protegía poco a los menores. 158.000 € · RGPD arts. 5.2, 12, 13, 14, 24.1, 25.2, 27 y 35.1 · fuente oficial
• Hangzhou DeepSeek Artificial Intelligence y Beijing DeepSeek Artificial Intelligence (30-01-2025): Trataba datos de usuarios en Italia con información insuficiente, sin representante en la UE y guardándolos en China, y se le prohibió seguir haciéndolo con efecto inmediato. Sin multa · RGPD arts. 6, 12, 13, 14, 27, 31 y 32 y cap. III; medida del art. 58.2.f · fuente oficial
• Sociedad con sede en las Islas Vírgenes Británicas que gestiona la app Clothoff (el Garante no publica su razón social) (01-10-2025 (comunicado 03-10-2025)): App que «desnuda» con IA a personas reales, menores incluidos, sin comprobar el consentimiento ni la edad. Sin multa · RGPD (medida urgente; ver provvedimento) · fuente oficial
• R.T.I. – Reti Televisive Italiane S.p.A. (23-07-2026 (comunicado 07-08-2026)): Emitió vídeos ultrafalsos de un periodista, con su voz imitada por IA, y el aviso de «hecho con IA» no era lo bastante claro. Sin multa · RGPD arts. 5 y 25; medidas del art. 58.2.b y 58.2.f · fuente oficial
• Myndoor S.r.l. (14-05-2026 (comunicado 28-05-2026)): Ofrecía un complemento para Slack y Teams que mide con IA el estrés de los empleados por lo que escriben, y el Garante le advirtió citando la prohibición de reconocer emociones en el trabajo. Sin multa · RGPD art. 58.2.a y Código italiano art. 154.1.f; se cita el art. 5.1.f del Reglamento (UE) 2024/1689 · fuente oficial
• Foodinho s.r.l. (grupo Glovo) (13-11-2024 (comunicado 22-11-2024)): Gestión de más de 35.000 repartidores por algoritmo: reconocimiento facial, ubicación fuera del horario y desactivación de cuentas sin explicar cómo recurrir ni ofrecer intervención humana. 5.000.000 € · RGPD arts. 5.1.a, c, d y e, 6, 9.2.b, 12, 13, 22.3, 25, 28, 32, 35 y 88; Código italiano arts. 2-septies y 114; D. Lgs. 81/2015 art. 47-quinquies · fuente oficial
• Deliveroo Italy s.r.l. (22-07-2021 (newsletter 02-08-2021)): Algoritmo opaco para repartir pedidos entre unos 8.000 repartidores, con geolocalización continua y riesgo de discriminación. 2.500.000 € · RGPD arts. 5.1.a, c y e, 13, 22.3, 25, 30.1, 32, 35, 37.7 y 88 · fuente oficial
• Comune di Trento (11-01-2024 (comunicado 25-01-2024)): Proyectos de investigación que analizaban con IA las cámaras y los micrófonos de la calle y mensajes en redes sociales, sin base legal ni evaluación de impacto. 50.000 € · RGPD arts. 5.1.a, 6, 9, 10, 13 y 14 y 35; Código italiano arts. 2-ter, 2-sexies y 2-octies · fuente oficial
• Clearview AI (10-02-2022 (comunicado 09-03-2022)): Creó una base de datos de reconocimiento facial con fotos sacadas de internet, y se le prohibió tratar datos de personas en Italia. 20.000.000 € · RGPD arts. 5.1.a, b y e, 6, 9, 12, 13, 14, 15 y 27 · fuente oficial
• Clearview AI (nombre según el EDPB; Légifrance ya lo anonimiza, porque la CNIL deja de nombrar a la empresa a los dos años) (17-10-2022 y 17-04-2023): Usó reconocimiento facial sin base legal, no atendió los derechos de acceso y borrado y tampoco cumplió la orden de la CNIL. 20.000.000 € + 5.200.000 € (multa coercitiva) · RGPD arts. 6, 12, 15 y 17 · fuente oficial
• Clearview AI Inc. (16-05-2024 (publicada 03-09-2024)): Base de datos biométrica ilegal con fotos de personas en los Países Bajos, poca transparencia y accesos sin responder. 30.500.000 € (más cuatro órdenes con multa coercitiva) · RGPD arts. 5.1.a con 6.1, 9.1, 12.1 con 14.1 y 14.2, 12.2 y 12.3 con 15, y 27.1 · fuente oficial
• Clearview AI Inc. (Multa de mayo-2022; Upper Tribunal 06-10-2025): Misma base de datos facial de Clearview; el Upper Tribunal devolvió en 2025 al ICO la competencia que un tribunal le había negado en 2023. ≈ 7.500.000 £ («£7.5m», ICO) · UK GDPR (ámbito territorial y material, arts. 2 y 3) · fuente oficial
• Uber (22-07-2024 (publicada 26-08-2024)): Envió a EE. UU. datos de conductores europeos (documentos, ubicación, fotos y, en algunos casos, datos penales y médicos) sin las garantías de transferencia. 290.000.000 € · RGPD arts. 44, 46 y 49 · fuente oficial
• Uber B.V. (Publicada por el EDPB el 08-10-2026): Desactivaba de forma totalmente automática las cuentas de conductores por sospecha de fraude o malas valoraciones, sin informarles bien. 824.990.000 € · RGPD arts. 22 y 13 · fuente oficial
• Amazon France Logistique (CNIL 27-12-2023; Conseil d'État 23-12-2025): Sus escáneres de almacén medían a cada trabajador al segundo y guardaban todos los indicadores 31 días, un exceso de datos que confirmó el Conseil d'État. 32.000.000 € → 15.000.000 € · RGPD arts. 5.1.c, 12, 13 y 32 (se anula la infracción del art. 6.1.f) · fuente oficial
• LinkedIn Ireland Unlimited Company (22-10-2024 (comunicado 24-10-2024)): Analizaba el comportamiento de sus usuarios para publicidad dirigida sin base legal válida ni transparencia suficiente. 310.000.000 € · RGPD arts. 5.1.a, 6, 13.1.c y 14.1.c · fuente oficial
• TikTok Technology Limited (30-04-2025 (comunicado 02-05-2025)): Permitía acceder desde China a datos de usuarios europeos sin garantizar una protección equivalente y sin explicarlo. 530.000.000 € (485 M€ + 45 M€) · RGPD arts. 46.1 y 13.1.f · fuente oficial
• X (Grok) (08-08-2024; cerrada el 04-09-2024): Usó publicaciones públicas de usuarios europeos para entrenar Grok y se comprometió ante el juez a dejar de tratar esos datos de forma permanente. Sin multa · RGPD (licitud del tratamiento) · fuente oficial
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. y Beijing DeepSeek Artificial Intelligence Co., Ltd. (16-12-2025 (comunicado 30-04-2026)): Su chatbot no avisaba de que puede «alucinar» (inventar datos), y se comprometió a poner avisos permanentes y a reforzar la información. Sin multa · Código del consumo italiano arts. 20, 21 y 22 (cierre por el art. 27.7, sin declarar infracción) · fuente oficial
• SCHUFA Holding (agencia de solvencia) (07-12-2023): Calcular automáticamente la probabilidad de impago de una persona es una «decisión automatizada» si un tercero (un banco, por ejemplo) se basa en ella para dar o negar un contrato. No aplica · RGPD art. 22.1 (interpretación) · fuente oficial
• Dun & Bradstreet Austria GmbH (27-02-2025): A quien le niegan un contrato por un perfil automático de solvencia hay que explicarle de forma comprensible cómo se llegó al resultado, y el secreto comercial no permite negarse sin más. No aplica · RGPD arts. 15.1.h y 22.1 (interpretación) · fuente oficial
• Uber B.V. (04-04-2023): Desactivó a conductores sin intervención humana real, y el tribunal le obliga a explicarles la lógica de la decisión. 4.000 €/día de multa coercitiva · RGPD arts. 15.1.h y 22 · fuente oficial
• (Comisión Europea; afecta a toda empresa que envía datos a EE. UU.) (03-09-2025; recurso del 31-10-2025): El Tribunal General confirmó el marco de transferencias de datos UE-EE. UU. (Data Privacy Framework), y la sentencia está recurrida ante el Tribunal de Justicia. No aplica · Decisión de adecuación (UE) 2023/1795; RGPD art. 45 · fuente oficial