Decisiones automatizadas: IA y artículo 22 del RGPD

El artículo 22 no se activa por cualquier recomendación de IA#

El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado —incluida la elaboración de perfiles— que produzca efectos jurídicos o afecte significativamente de modo similar a una persona. Por eso, que un agente redacte un resumen o sugiera una respuesta no significa automáticamente que toda la interacción sea una decisión del artículo 22.

La pregunta práctica es si una persona decide de verdad o si el sistema determina el resultado. Una revisión humana meramente formal, sin información suficiente, tiempo o autoridad para cambiarlo, no es un buen control operativo. Documenta qué información ve la persona revisora, qué criterios puede valorar y cómo puede corregir o detener la decisión.

Excepciones y garantías#

El artículo 22 permite esas decisiones únicamente en supuestos definidos: cuando sean necesarias para celebrar o ejecutar un contrato con la persona; cuando una norma de la Unión o nacional las autorice y establezca salvaguardas adecuadas; o cuando se basen en consentimiento explícito. En los supuestos de contrato o consentimiento, el responsable debe proporcionar salvaguardas que incluyan, como mínimo, intervención humana, la posibilidad de expresar el punto de vista y de impugnar la decisión. También existen restricciones específicas al uso de categorías especiales de datos.

Ejemplo de atención al cliente

Un agente clasifica reclamaciones y propone una respuesta: una persona revisa los hechos y resuelve cada expediente. El flujo puede ser asistencia, pero hay que evaluar el peso real de la recomendación y cumplir el resto del RGPD. Si el agente rechaza automáticamente una reclamación o bloquea un servicio de manera que afecte significativamente a una persona, la empresa debe analizar expresamente el artículo 22 y las condiciones que permitirían ese tratamiento.

Separar tres preguntas#

1. ¿Hay datos personales y cuál es la base jurídica del tratamiento?
2. ¿Existe una decisión basada únicamente en tratamiento automatizado con efectos jurídicos o similares?
3. ¿El sistema es además de alto riesgo bajo el Reglamento de IA?

Son análisis relacionados, pero no equivalentes. El plazo aplazado para obligaciones de alto riesgo del AI Act no suspende el RGPD. Para organizar un análisis conjunto, consulta agentes de IA y protección de datos, EIPD y evaluación de derechos fundamentales y la guía sobre selección de personal con IA.

Fuentes oficiales#

• Reglamento General de Protección de Datos (UE) 2016/679, artículo 22.
• AEPD: decisiones individuales automatizadas y perfilado.
• AEPD: orientaciones de IA agéntica y protección de datos.

Contenido informativo; la aplicación del artículo depende del efecto y del grado real de automatización.