)
Última actualización: 16 de octubre, 2026
¿Cómo encajan GDPR e IA en el Reino Unido tras la Data (Use and Access) Act?
El UK GDPR sigue aplicándose a cada prompt, conjunto de entrenamiento y salida que contenga datos personales, y la ley cambió cuatro cosas que los CISOs deben planificar ya: las decisiones automatizadas, las bases jurídicas, la gestión de reclamaciones y las transferencias internacionales. La mayoría de esos cambios se aplican desde el 5 de febrero de 2026. Esta guía asigna cada norma a los controles técnicos que gestiona un equipo de seguridad y a las pruebas que pediría una investigación de la ICO.
TL;DR: puntos clave
- La mayoría de las reformas de la Data (Use and Access) Act entraron en vigor el 5 de febrero de 2026, incluidas las nuevas reglas de decisiones automatizadas de los artículos 22A a 22D (Bratby Law).
- La gestión obligatoria de reclamaciones empezó el 19 de junio de 2026: las organizaciones deben acusar recibo en 30 días y responder sin demora indebida (Farrer).
- La Comisión Europea renovó las decisiones de adecuación del Reino Unido el 19 de diciembre de 2025, y ahora rigen hasta el 27 de diciembre de 2031 (RPC).
- Se espera que un código de prácticas estatutario de la ICO sobre IA y toma de decisiones automatizada entre en vigor en 2027, y cubrirá también las herramientas compradas a terceros (Arnold & Porter).
- Las multas máximas del UK GDPR siguen siendo la cifra mayor entre 17,5 millones de libras o el 4 % del volumen de negocio anual global (Arnold & Porter).
De un vistazo: obligaciones del UK GDPR y qué significan para la IA
Respuesta rápida
¿Se aplica el UK GDPR a la IA?
Sí, siempre que un sistema de IA trate datos personales, ya sea en el entrenamiento, en los prompts, en el contexto recuperado o en las salidas. Necesitas una base jurídica, transparencia, minimización de datos, seguridad y una forma de atender los derechos de las personas. La Data (Use and Access) Act relajó algunas reglas de decisiones automatizadas, pero mantuvo las salvaguardas para decisiones significativas y condiciones más estrictas para datos de categorías especiales.
| Área del UK GDPR | La pregunta sobre IA | Qué cambió o se aplica en 2026 |
|---|---|---|
| Base jurídica | ¿Qué base cubre el entrenamiento y el uso? | Se añaden los intereses legítimos reconocidos, pero son acotados |
| Decisiones automatizadas | ¿Toma la IA por sí sola una decisión significativa? | Artículos 22A a 22D en vigor desde el 5 de febrero de 2026 |
| Derechos de las personas | ¿Puedes localizar y corregir los datos de una persona? | La ICO espera identificabilidad en los datos de entrenamiento y en los modelos |
| Transferencias | ¿Trata el proveedor datos en el extranjero? | Nueva prueba de protección de datos, adecuación renovada hasta 2031 |
| Responsabilidad proactiva | ¿Puedes evidenciar tus decisiones? | DPIAs, gestión de reclamaciones y un código estatutario de IA en camino |
)
GDPR e IA: qué cambió con la Data (Use and Access) Act
La Data (Use and Access) Act modificó el UK GDPR y la Data Protection Act 2018 en lugar de sustituirlos. Bratby Law (2026) recoge que sus principales disposiciones de protección de datos entraron en vigor el 5 de febrero de 2026 mediante la SI 2026/82, y que el procedimiento de reclamaciones llegó el 19 de junio de 2026.
Para los equipos de IA el efecto práctico es desigual. Algunas reglas se aflojaron, como el uso de bases jurídicas distintas del consentimiento para muchas decisiones automatizadas. Otras se endurecen en la práctica, porque la ICO está redactando un código estatutario y actualizando su guía. Arnold & Porter (2026) informa de que el reglamento que crea la obligación de elaborar el código entró en vigor el 12 de mayo de 2026, pero de que el código en sí no se espera hasta 2027.
Trata 2026 como un año de transición. La ley está lo bastante definida como para actuar, y las expectativas detalladas aún se están escribiendo. Documenta tu razonamiento ahora para poder demostrar después que aplicaste las reglas tal como estaban.
Base jurídica para la IA: intereses legítimos y sus límites
Gran parte del tratamiento comercial con IA se apoya en los intereses legítimos, porque el consentimiento es difícil de obtener a escala. La ley añadió una séptima base, los intereses legítimos reconocidos, pero Farrer (2026) explica que cubre categorías acotadas como la seguridad nacional, la prevención del delito y la protección de personas vulnerables. La mayor parte del tratamiento comercial sigue necesitando una evaluación completa de intereses legítimos.
El resultado de la consulta de la ICO sobre IA generativa es más estricto con los datos de entrenamiento. Según Osborne Clarke (2025), la ICO concluyó que los intereses legítimos son probablemente la única base jurídica para recopilar datos con los que entrenar modelos generativos, y que superar sus pruebas es difícil. Los desarrolladores necesitan finalidades claras y concretas, y objetivos amplios como la innovación no bastan por sí solos. La ICO también consideró el web scraping de alto riesgo y advirtió de que los fallos de transparencia pueden infringir el artículo 14.
Si compras un servicio de IA, estás menos expuesto a la cuestión del entrenamiento, pero sigues siendo responsable del caso de uso. Registra la finalidad, la base jurídica, la prueba de ponderación y las categorías de datos de cada despliegue, y comprueba que las condiciones del proveedor no reutilicen tus datos para sus propios fines sin tu acuerdo.
Decisiones automatizadas bajo los artículos 22A a 22D
El artículo 22 ha sido sustituido por los artículos 22A a 22D. La guía en borrador de la ICO define una decisión significativa como la basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que tiene un efecto jurídico o similarmente significativo, y trata una decisión sin intervención humana significativa como únicamente automatizada (ICO, 2026).
Farrer (2026) señala el cambio principal: bases jurídicas como los intereses legítimos ahora pueden respaldar decisiones automatizadas que no impliquen datos de categorías especiales, donde antes solo valían condiciones acotadas. Las salvaguardas se mantienen. Debes dar información significativa sobre la decisión, permitir alegaciones, ofrecer intervención humana y dejar que la persona impugne el resultado.
| Tipo de decisión | Ejemplo típico | Control práctico |
|---|---|---|
| No significativa | Resumen o redacción interna | Controles estándar de protección de datos |
| Significativa, sin datos de categorías especiales | Precribado de crédito, cribado de candidatos | Salvaguardas, vía de intervención humana, registros |
| Significativa, con datos de categorías especiales | Decisiones basadas en salud o biometría | Consentimiento explícito, contrato u obligación legal, más salvaguardas |
En los agentes, la "intervención humana significativa" es lo difícil. Es poco probable que cumpla quien pulsa aprobar en cada recomendación sin contexto. Diseña pasos de revisión que muestren la evidencia, permitan discrepar y queden registrados.
IA generativa y derechos de las personas
Los derechos de las personas son donde más fallan los sistemas de IA en la práctica. El resultado de la consulta de la ICO, resumido por Osborne Clarke (2025), dice que los sistemas deben diseñarse de modo que los datos personales de individuos concretos puedan identificarse en todas las fases, incluidos los datos de entrenamiento y el propio modelo. La ICO también dijo que los desarrolladores no pueden eludir sus obligaciones llamando anónimo a un modelo salvo que puedan demostrar que no se puede identificar a las personas.
Sobre los roles, la ICO discrepó de algunas posiciones de la industria. Considera poco probable que los desarrolladores actúen como encargados del tratamiento en el despliegue posterior, porque sus decisiones de entrenamiento determinan cómo se tratan los datos personales en el uso. Comprueba cómo describe su papel tu proveedor y no des por hecho que la respuesta es "encargado".
Las solicitudes también tienen mecánicas nuevas. Bajo el artículo 12A, en vigor desde el 5 de febrero de 2026, una organización puede pausar el plazo de respuesta cuando razonablemente necesita más información para identificar el alcance de una solicitud. Se aplica solo a las solicitudes recibidas desde esa fecha (Bratby Law, 2026). Desde el 19 de junio de 2026 necesitas además un proceso de reclamaciones que acuse recibo en 30 días.
DPIAs, proveedores y transferencias internacionales
El UK GDPR exige una evaluación de impacto de protección de datos antes de un tratamiento que probablemente entrañe un alto riesgo, y los despliegues de IA suelen cumplir ese criterio. Arnold & Porter (2026) aconseja revisar o crear DPIAs cuando la IA o la toma de decisiones automatizada pueda crear un alto riesgo, con especial atención a la intervención humana significativa, y auditar las condiciones de proveedores y compras en busca de cláusulas específicas de IA.
La prueba de transferencias ha cambiado. Farrer (2026) informa de una nueva prueba de protección de datos en tres pasos para las transferencias restringidas, basada en un estándar de "no materialmente inferior", y de una guía actualizada de la ICO sobre transferencias el 15 de enero de 2026. Para los datos que llegan desde la UE al Reino Unido, RPC (2026) informa de que la Comisión renovó las decisiones de adecuación el 19 de diciembre de 2025 hasta el 27 de diciembre de 2031, mientras sigue vigilando la evolución del Reino Unido.
En los contratos con proveedores, haz cinco preguntas:
- ¿Usa el proveedor tus datos para entrenar o mejorar sus modelos?
- ¿Dónde se tratan los datos y por qué subencargados?
- ¿Cuál es el papel que declara el proveedor bajo el UK GDPR?
- ¿Cómo se atienden las solicitudes de derechos de las personas?
- ¿Qué logs y derechos de auditoría obtienes?
Controles técnicos para el cumplimiento de GDPR e IA
Los CISOs son responsables de los controles que hacen verdaderas las respuestas legales. La tabla vincula cada principio con un control y la prueba que produce.
| Principio | Control técnico | Prueba |
|---|---|---|
| Licitud y transparencia | Inventario de sistemas de IA, finalidades y categorías de datos | Registro y avisos de privacidad |
| Minimización de datos | Limitar qué entra en los prompts y a qué pueden acceder las tools | Permisos y límites por agente |
| Exactitud | Pruebas de las salidas cuando las decisiones afectan a personas | Registros de pruebas |
| Limitación del plazo de conservación | Reglas de retención para prompts, logs y almacenes de contexto | Calendario de retención |
| Seguridad | Monitorización en runtime, control de acceso, red teaming | Logs de monitorización y de pruebas |
| Responsabilidad proactiva | DPIAs, registros de decisiones, gestión de reclamaciones | Registros fechados |
Empieza por el inventario. Agent Posture Management (TrustLens) puede mostrar qué agentes y conexiones existen, que es la condición previa de todos los demás controles.
Cómo lo comparamos
Usamos la propia guía en borrador de la ICO para las decisiones automatizadas, resúmenes de despachos de abogados para la entrada en vigor de la Data (Use and Access) Act y para el informe de resultados de la ICO sobre IA generativa, y el resumen de RPC para la adecuación. Los resúmenes secundarios pueden simplificar, así que comprueba la ley y la guía de la ICO antes de apoyarte en una fecha en un documento legal. Esta guía no es asesoramiento jurídico.
Una lista de comprobación de GDPR e IA para CISOs del Reino Unido
Úsala para informar a tu delegado de protección de datos.
- Mantén un inventario de sistemas de IA, incluidas las funciones integradas por proveedores.
- Registra la finalidad, la base jurídica y las categorías de datos de cada sistema.
- Haz una DPIA para el tratamiento de alto riesgo y revísala cuando cambie el modelo o el proveedor.
- Identifica las decisiones que puedan ser significativas y únicamente automatizadas, y diseña la revisión humana.
- Confirma en los contratos los roles del proveedor, los subencargados, la retención y el uso para entrenamiento.
- Prueba que puedes localizar, corregir y borrar los datos de una persona en los prompts, logs y almacenes que controlas.
- Monta un proceso de reclamaciones que cumpla el requisito del 19 de junio de 2026.
- Vigila la guía final de la ICO sobre decisiones automatizadas y el código de 2027.
Seguridad y gobernanza: riesgos empresariales del tratamiento de datos personales con IA
El UK GDPR exige una seguridad adecuada para los datos personales, y los agentes de IA amplían la superficie de ataque. La prompt injection puede hacer que un agente revele o envíe datos personales que no debería, los datos pueden filtrarse por los prompts, los logs y las salidas de las tools, y un agente con acceso amplio a herramientas puede hacer un mal uso de él. Una fuga causada así es una brecha de datos personales, con la exposición a notificación y sanciones que conlleva.
NeuralTrust aborda esto mediante la Runtime Security Mesh. TrustGate define permisos y límites por agente, incluye más de 200 servidores MCP preconfigurados y actúa como punto de política y logging entre agentes y tools. TrustLens inventaría agentes y conexiones. TrustGuard monitoriza el comportamiento de los agentes en runtime. TrustTest hace red teaming de los agentes antes de producción. NeuralTrust se despliega en tu propia infraestructura o on-premises, con un servicio gestionado alojado en la UE o en EE. UU. La plataforma suma cuatro reconocimientos en los Gartner Hype Cycle 2026, incluido AI Runtime Defense. Para más contexto del Reino Unido, consulta nuestras entradas sobre las directrices de IA del NCSC y la gobernanza del AI gateway.
¿Cuál deberías elegir?
| Tu situación | Primera prioridad | Por qué |
|---|---|---|
| Compras SaaS con IA integrada | Revisión del rol del proveedor, el uso para entrenamiento y los subencargados | Eres responsable del caso de uso aunque el modelo sea del proveedor |
| Construyes sobre una API de LLM | DPIA, minimización de datos en los prompts, reglas de retención | Los datos personales entran en prompts y logs |
| Despliegas agentes con acceso a tools | Permisos por agente, logging y diseño de revisión humana | Los agentes actúan sobre datos y pueden producir decisiones significativas |
| Entrenas o ajustas modelos | Base jurídica, transparencia y preparación para derechos | La ICO es estricta con los datos de entrenamiento y la identificabilidad |
Conclusión
El cumplimiento de GDPR e IA en el Reino Unido se reduce a las pruebas. La Data (Use and Access) Act relajó algunas reglas de decisiones automatizadas y de bases jurídicas, pero mantuvo las salvaguardas que importan, y la ICO está redactando un código estatutario que habrá que seguir. Construye un inventario, registra la base jurídica de cada sistema, diseña una revisión humana real para las decisiones significativas, comprueba los roles y contratos de tus proveedores y asegúrate de poder localizar y corregir los datos de una persona. Si lo haces, la pregunta de un regulador se convierte en un documento que ya tienes.
Protege los datos personales en tus sistemas de IA con NeuralTrust
Fija límites por agente, monitoriza las tool calls y conserva un log que puedas enseñar a tu DPO.
)
Comparativas relacionadas
- AI Governance 2026: Frameworks & Tools
- Directrices del NCSC sobre IA para empresas del Reino Unido 2026
- Guía completa del CISO del Reino Unido sobre seguridad de la IA empresarial (2026)
- Checklist de soberanía del dato para CISOs de empresa (2026)
Preguntas frecuentes sobre GDPR e IA
1. ¿Se aplica el UK GDPR a los sistemas de IA?
Sí, siempre que se traten datos personales en el entrenamiento, los prompts, el contexto recuperado o las salidas. Necesitas una base jurídica, transparencia, minimización, seguridad y una forma de atender los derechos de las personas. La Data (Use and Access) Act modificó las reglas, pero no las eliminó para la IA.
2. ¿Qué cambió en 2026 para las decisiones automatizadas?
El artículo 22 fue sustituido por los artículos 22A a 22D, en vigor desde el 5 de febrero de 2026. Bases jurídicas como los intereses legítimos ya pueden respaldar muchas decisiones automatizadas significativas, pero se mantienen las salvaguardas: información, alegaciones, intervención humana y una vía para impugnar. Los datos de categorías especiales tienen condiciones más estrictas.
3. ¿Necesito una DPIA para la IA?
La necesitas antes de un tratamiento que probablemente entrañe un alto riesgo, y muchos usos de IA cumplen ese criterio, sobre todo las decisiones automatizadas sobre personas o el tratamiento a gran escala. Revisa la DPIA cuando cambien el modelo, el proveedor o la finalidad, y registra cómo diseñaste la intervención humana.
4. ¿Mi proveedor de IA es encargado o responsable del tratamiento?
Depende de quién decida los fines y los medios. La ICO considera poco probable que los desarrolladores de modelos actúen como encargados en el despliegue posterior, porque sus decisiones de entrenamiento determinan el tratamiento en el uso. Revisa el contrato y cómo describe el proveedor su propio papel.
5. ¿Pueden seguir fluyendo datos de la UE a proveedores de IA del Reino Unido?
Sí. La Comisión Europea renovó las decisiones de adecuación del Reino Unido el 19 de diciembre de 2025, y rigen hasta el 27 de diciembre de 2031. La Comisión sigue vigilando la evolución legal del Reino Unido, así que mantén al día tu documentación de transferencias.
6. ¿Cuándo se aplicará el código de prácticas de IA de la ICO?
No se espera que el código estatutario sobre IA y toma de decisiones automatizada entre en vigor hasta 2027. La ICO consultó un borrador de guía sobre decisiones automatizadas entre el 31 de marzo y el 29 de mayo de 2026, y se espera la guía final antes que el código.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- Bratby Law, Data Use and Access Act 2025 Commencement Changes, consultado el 16 de octubre de 2026.
- Farrer, Data (Use and Access) Act 2025: five key changes for businesses, consultado el 16 de octubre de 2026.
- RPC, EU Commission renews adequacy decision for the UK's data protection regime, 30 de marzo de 2026.
- Arnold & Porter, The ICO's New Statutory Duty to Produce an AI Code of Practice, 17 de agosto de 2026.
- ICO, Automated decision-making, including profiling (draft guidance), 31 de marzo de 2026.
- ICO, Consultation on the draft guidance about automated decision-making, including profiling, cerrada el 29 de mayo de 2026.
- Osborne Clarke, ICO updates its views on using personal data in generative AI, 31 de enero de 2025.