- A partir del 2 de agosto de 2025 entran en vigor una serie de apartados entre los que se encuentra el régimen supervisor y sancionador aplicable al artículo 5, relativo a los sistemas de inteligencia artificial prohibidos
- España aún no ha aprobado la ley nacional, por lo que la Agencia no es todavía autoridad de vigilancia del mercado a efectos del RIA
- En todo caso, la Agencia, como autoridad competente en materia de protección de datos, ya puede supervisar y actuar frente a tratamientos de datos personales realizados mediante IA, incluyendo sistemas prohibidos, en la medida que afecten al derecho a la protección de datos
- La Agencia ya está valorando las necesidades de refuerzo de sus capacidades técnicas, humanas y presupuestarias para la asunción de estas funciones
La Agencia Española de Protección de Datos (AEPD) ha realizado un análisis sobre el alcance y las competencias de esta autoridad en aplicación del artículo 5 del Reglamento 2024/1689 de Inteligencia Artificial (RIA). Tal y como prevé esta normativa en su artículo 113, a partir del 2 de agosto de 2025 entran en vigor una serie de apartados, entre los que se encuentra el régimen supervisor y sancionador aplicable al artículo 5, relativo a los sistemas de inteligencia artificial prohibidos. Entre estos sistemas, se encuentran los de identificación biométrica remota en tiempo real en espacios públicos.
En este sentido, cabe recordar que todavía no se ha aprobado el anteproyecto de ley de IA española, cuya versión actual prevé que la AEPD asuma funciones como autoridad de vigilancia del mercado en aquellos ámbitos donde el Reglamento exige independencia funcional, como ocurre con ciertas categorías de sistemas prohibidos. En ausencia de base legal nacional, la AEPD no tiene aún atribuida formalmente la condición de autoridad de vigilancia del mercado a efectos del RIA.
No obstante, es importante destacar que la AEPD no ve alterada su condición de autoridad competente en materia de protección de datos personales, lo que incluye, bajo sus labores de supervisión y control, a aquellos tratamientos realizados mediante inteligencia artificial. Por tanto, aunque no se trate de una aplicación directa del Reglamento de IA, la AEPD puede supervisar y actuar frente a tratamientos de datos personales realizados mediante sistemas prohibidos, en la medida que afecten al derecho a la protección de datos.
La Agencia recomienda a las entidades que implementen o proporcionen aplicaciones y servicios basados en sistemas de IA, en cuanto sean sujetos obligados por la futura plena aplicación del RIA, estar preparados para cumplir con sus obligaciones tomando las medidas adecuadas que garanticen su pleno cumplimento.
En el plano interno, en previsión de las futuras funciones atribuidas por el RIA, la AEPD también destaca las necesidades de refuerzo de sus capacidades técnicas, humanas y presupuestarias que la asunción de estas nuevas funciones supone, de forma que pueda asumir progresivamente las nuevas competencias que se deriven de este desarrollo normativo.
