NIS2 · RGPD · Reglamento de IA
Un mismo proyecto digital puede quedar afectado por varias normas, pero eso no significa que existan automáticamente tres sanciones por los mismos hechos. La empresa debe identificar ámbitos, roles, obligaciones y autoridades sin duplicar controles.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
Por qué pueden coincidir tres marcos regulatorios
Una empresa puede utilizar un sistema de IA que trate datos personales y dependa de servicios tecnológicos críticos. El RGPD se ocupa del tratamiento de datos personales; NIS2 establece medidas y obligaciones de gestión de riesgos y notificación para las entidades incluidas en su ámbito; y el AI Act regula sistemas de inteligencia artificial según su rol y nivel de riesgo.
La coincidencia no se resuelve sumando listas de requisitos. Primero hay que determinar si la organización está dentro del ámbito subjetivo de cada norma, qué actividad concreta se analiza y si actúa como responsable, encargado, proveedor, desplegador u otro tipo de operador. Nuestro servicio de abogados de inteligencia artificial y negocios digitales construye ese mapa para proyectos y proveedores tecnológicos.
Qué pregunta responde cada norma
| Marco | Pregunta principal | Evidencias habituales |
|---|---|---|
| RGPD | ¿Cómo y por qué se tratan datos personales? | Registro de actividades, bases jurídicas, información, contratos, EIPD y medidas |
| NIS2 | ¿Cómo gestiona la entidad sus riesgos de ciberseguridad y sus incidentes? | Gobierno, riesgos, continuidad, cadena de suministro, respuesta y notificaciones |
| AI Act | ¿Qué sistema de IA existe, qué rol tiene la empresa y qué nivel de riesgo aplica? | Inventario, clasificación, documentación, supervisión humana, registros y control |
Un incidente no implica automáticamente tres sanciones
Una brecha o fallo de un sistema puede ser relevante para varias normas. Por ejemplo, un ataque que interrumpa un servicio esencial, exponga datos personales y afecte a un sistema de IA puede exigir análisis bajo los tres marcos. Sin embargo, cada eventual responsabilidad necesita su propia base jurídica, hechos acreditados y procedimiento.
No es correcto afirmar que la empresa será multada tres veces por el mero hecho de que existan tres normas. Deben valorarse los principios sancionadores aplicables, la identidad de hechos y fundamento, las competencias de cada autoridad y las obligaciones realmente infringidas. Tampoco debe sumarse sin más el máximo teórico de varios regímenes como si fuera el resultado probable.
Cómo coordinar el gobierno interno
Un inventario común con capas jurídicas
El punto de partida puede ser un inventario único de servicios, sistemas de IA, tratamientos y proveedores. Sobre cada elemento se añaden capas: datos personales, criticidad, función de IA, dependencia tecnológica, personas afectadas, contratos y responsables internos.
Responsables claros
Privacidad, seguridad, tecnología, compras, recursos humanos y negocio deben saber quién decide y quién conserva la evidencia. El DPO o DPD asesora y supervisa en su ámbito, pero no sustituye a la dirección ni asume la responsabilidad operativa del tratamiento.
Evaluaciones coordinadas
Una EIPD del RGPD, una evaluación de riesgos de ciberseguridad y un análisis del sistema de IA no son documentos intercambiables. Pueden compartir información sobre activos, amenazas, proveedores y medidas, pero cada uno debe responder a sus requisitos y criterios.
Contratos y cadena de suministro
Un mismo proveedor puede ser encargado del tratamiento, proveedor de un sistema de IA y prestador TIC relevante. El contrato debe reflejar las obligaciones que correspondan: instrucciones, subcontratación, seguridad, incidentes, auditoría, documentación, cambios del servicio y salida ordenada.
Notificaciones: evitar tanto el silencio como el duplicado
Los plazos, destinatarios y umbrales no son idénticos. El equipo de respuesta debe clasificar el incidente y activar una matriz de decisiones: si hay datos personales, si se afecta a servicios o redes sujetos a NIS2, si el sistema de IA genera riesgos o incidentes que deban comunicarse y qué información está confirmada.
Coordinar no significa enviar el mismo texto a todas las autoridades. Cada comunicación debe responder al marco aplicable y distinguir hechos, impacto, medidas y evolución. La empresa debe mantener una cronología común para evitar contradicciones y actualizar las notificaciones cuando proceda.
Checklist de trabajo
- Confirmar el ámbito de RGPD, NIS2 y AI Act para la entidad y el proyecto.
- Asignar roles jurídicos y responsables internos.
- Vincular sistemas, tratamientos, proveedores y funciones críticas.
- Separar obligaciones comunes de las específicas de cada norma.
- Revisar contratos y subcontratación tecnológica.
- Coordinar EIPD, riesgos de ciberseguridad y clasificación de IA.
- Preparar una matriz de incidentes, plazos y autoridades.
- Ensayar decisiones con escenarios reales y conservar evidencias.
- Informar a dirección y documentar la supervisión.
- Revisar cambios normativos y del sistema de forma periódica.
Preguntas frecuentes
¿Una empresa sujeta a NIS2 también está siempre sujeta al AI Act?
No por esa sola razón. NIS2 depende del tipo de entidad y actividad; el AI Act depende de la existencia de sistemas de IA, su función, riesgo y el rol de la organización.
¿Una brecha debe notificarse a varias autoridades?
Puede ocurrir si el incidente cumple los umbrales de distintos marcos. Debe analizarse cada obligación, plazo y destinatario, coordinando la información sin asumir que todas las notificaciones son idénticas.
¿Se pueden reutilizar los mismos controles?
Sí, cuando responden a riesgos comunes, pero deben mapearse a cada obligación. Un inventario o registro puede alimentar varias evaluaciones sin sustituir la documentación específica exigida.
Fuentes oficiales
- Reglamento (UE) 2016/679.
- Directiva (UE) 2022/2555, NIS2.
- Reglamento (UE) 2024/1689 de inteligencia artificial.
Fuentes consultadas el 25 de septiembre de 2026. Debe comprobarse además la normativa nacional aplicable y el calendario concreto de cada obligación. Este contenido no sustituye el análisis del caso.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.