El artículo 22 del RGPD reconoce el derecho del interesado a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar. Para sistemas de IA, esto fija un marco preciso de salvaguardas que la AEPD aplica con rigor.
Aplica cuando concurren tres condiciones. La decisión está basada únicamente en tratamiento automatizado (sin intervención humana significativa). Produce efectos jurídicos sobre la persona o le afecta de modo similar. Los datos tratados son personales. Si falta cualquiera de las tres, el artículo 22 no aplica, aunque puedan aplicar otras disposiciones del RGPD.
El artículo 22.2 lista tres excepciones que permiten la decisión automatizada. Necesidad para celebrar o ejecutar un contrato. Autorización legal con salvaguardas. Consentimiento explícito. En las tres se aplican salvaguardas mínimas; en las dos primeras, el responsable debe documentar la base.
El artículo 22.3 fija tres salvaguardas mínimas. Derecho a obtener intervención humana por parte del responsable. Derecho a expresar el punto de vista del interesado. Derecho a impugnar la decisión. Las directrices del antiguo WP29 (WP251) y la jurisprudencia europea precisan que la intervención humana debe ser significativa, no formal: una persona con autoridad y capacidad real para revisar y revertir.
Para sistemas de IA esto se traduce en cuatro elementos de diseño. Un canal explícito y accesible para solicitar revisión humana. Un revisor con tiempo, formación y autoridad para revertir la decisión. Un registro por caso que documente quién revisó y qué decidió. Un procedimiento de impugnación con tiempos comprometidos.
Los artículos 13.2.f, 14.2.g y 15.1.h obligan a informar sobre la existencia de decisiones automatizadas, la lógica aplicada y la importancia y consecuencias previstas. La AEPD interpreta esto como derecho a una explicación significativa que el interesado pueda entender y usar para impugnar. La práctica que sobrevive al examen.
Tres niveles de explicabilidad. Sistémico: cómo funciona el sistema en general (lógica, factores, datos). Específico: por qué este caso fue decidido así (factores principales, ponderación). Contrafactual: qué cambiaría la decisión. La obligación legal cubre los dos primeros; el contrafactual es buena práctica que reduce litigios.
La Ley de IA y el artículo 22 del RGPD son complementarios. La Ley fija obligaciones técnicas sobre el sistema (gestión de riesgos, documentación, supervisión humana). El RGPD fija derechos de la persona afectada. Una empresa que cumple la Ley de IA en alto riesgo cumple gran parte del artículo 22, pero no todo: el derecho a impugnar y a expresar punto de vista son específicos del RGPD.
La estrategia operativa: un único procedimiento de revisión humana que cubra ambas normas, con tres salidas (mantener decisión, modificar decisión, escalar a comité). El registro alimenta tanto la documentación técnica de la Ley como las solicitudes de derechos del RGPD.
Ready to scope your project? Submit a short brief and we reply within one business day.
Cuéntanos qué quieres construir. Respondemos en un día hábil.