La AEPD ya avisa a las empresas por su IA: que es una advertencia y que tienes que hacer

Si has leido noticias sobre inteligencia artificial y empresas este mes, te has encontrado con una palabra que aparece por todas partes: advertencia. No es multa. Pero conviene entender bien que significa, porque la diferencia entre una carta de la AEPD y un expediente es la diferencia entre un aviso y una multa.

Que ha hecho la AEPD en los ultimos meses

• ✓23 de septiembre de 2026: advertencia a una empresa que iba a usar IA para analizar curriculos y puntuar candidaturas (AI-00009-2026).
• ✓6 de octubre de 2026: advertencias a dos ayuntamientos por usar IA en videovigilancia.
• ✓7 de octubre de 2026: nota sobre transparencia y garantias en sistemas algoritmicos del ambito laboral.

Fijate en el detalle: la primera advertencia es a una empresa que aun no habia implantado nada. La AEPD actuo antes de la infraccion.

Advertencia no es multa, pero tiene un coste

La advertencia es la facultad preventiva del articulo 58.2.a del RGPD. En la practica significa que la Agencia te dice: esto que vas a hacer no lo vas a poder hacer asi, y tienes esto que cumplir antes de hacerlo.

No hay multa. Pero una advertencia obliga a documentar. Y en la practica, casi ninguna empresa tiene esa documentacion hecha. Por eso la advertencia es un aviso previo a un expediente, y por eso es la mejor noticia que puedes tener si llevas meses sin hacer nada: todavia estas a tiempo.

La referencia del caso

En agosto se confirmo una sancion de 500.000 euros a Curenergia, empresa del Grupo Iberdrola, por un incumplimiento del articulo 25 del RGPD en su canal de atencion al cliente por chat. El fallo: el sistema permitia que un agente atendiera a dos conversaciones a la vez sin cerrarlas, y en una de ellas se copio un dato de un cliente a la conversacion del otro.

El detalle relevante no es el canal, es la combinacion: chat + datos personales + una persona tomando decisiones en tiempo real sin control. Ese es el patron que la AEPD esta mirando.

El Real Decreto 723/2026: la fecha que se te ha pasado

El 5 de octubre de 2026 entro en vigor el Real Decreto 723/2026. Su articulo 3.2.k obliga a informar por escrito a cada persona trabajadora de la existencia de sistemas algoritmicos o automatizados de decision, y, cuando se utilicen para decidir sobre sus condiciones de trabajo, tambien de sus pautas, criterios y reglas de funcionamiento.

Ese detalle es la parte que casi todo el mundo pasa por alto: no basta con decir que usas una herramienta. Hay que explicar cómo decide.

Y la ley de IA que viene

El proyecto de ley espanol de IA alinea las sanciones con el Reglamento europeo: hasta 35 millones de euros o el 7 % de la facturacion global para las infracciones mas graves. Y para los incumplimientos leves de transparencia, las multas empiezan en torno a 6.000 euros.

Ese ultimo dato es el que mas se repite en los articulos de prensa y el que menos se explica: hay un suelo. No es una multa de 35 millones o nada. Existe un escalon intermedio que empieza en unos pocos miles de euros y sube segun el impacto y el tamano de la empresa.

Lo que tienes que hacer, en orden

• ✓Inventariar que sistemas de IA usas y para que. Apuntalos todos, no solo los visibles.
• ✓Si interactuan con el publico sin decir que son IA, avisar. Ese es el Art. 50, exigible desde el 2 de agosto de 2026.
• ✓Si el sistema decide sobre condiciones de trabajo, redactar la informacion escrita que pide el Real Decreto 723/2026.
• ✓Dejar constancia de quien revisa las decisiones del sistema y de cuando lo ha hecho.

Como puedes comprobar la parte rapida

Los dos primeros puntos se comprueban en 60 segundos con el escaner gratuito de este sitio. Mete tu dominio y te dice que sistemas de IA tiene tu web y si avisan de ello. Si algo aparece sin aviso, ya tienes el trabajo localizado.

El tercer punto no lo automatiza ninguna herramienta, porque depende de tu sistema interno y de como decides. Si necesitas ese documento, escribenos y lo hacemos contigo: forma parte de la auditoria.