IA i protecció de dades a Espanya: mites, sancions i realitats legals
- L'AEPD no desglosa els expedients per tecnologia, desmentint la xifra viral de 147 sancions específiques d'IA.
- Les resolucions reals contra sistemes d'IA són poques però concretes, com els casos d'Aena, BBVA i la Universitat Europea de València.
- L'AI Act ja està en vigor des de 2024 i preveu multes de fins a 35 milions d'euros per pràctiques prohibides.
- A partir de setembre de 2026, el Reglament CRA obligarà a notificar vulnerabilitats i incidents greus de ciberseguretat.
L'auge de la intel·ligència artificial ha generat un clima d'incertesa jurídica que sovint es tradueix en dades imprecises. En els últims mesos, s'ha difusat per la premsa i a través de diversos despatis legals la xifra de 147 expedients sancionadors obert per l'Agència Espanyola de Protecció de Dades (AEPD) específicament contra empreses que utilitzen IA. No obstant això, una anàlisi rigorosa dels dades oficials revela que aquesta classificació no existeix. L'AEPD no desglossa els seus procediments segons la tecnologia empleada, cosa que fa impossible validar un rec compte tan específic.
La realitat dels procediments de l'AEPD
Si bé la xifra dels 147 expedients és un mite, la pressió reguladora és molt real. La Memòria de 2025 de l'Agència registra un augment significatiu de l'activitat: s'han presentat 30.931 reclamacions, un increment del 64% respecte a les 18.855 de 2024. Aquest és el volum més alt de tota la sèrie històrica publicada per l'organisme, cosa que indica un escrutini molt més sever sobre el tractament de dades en general.
Quan es tracta de resolucions concretes sobre sistemes d'IA, el nombre és reduït i es pot comptar amb els dits d'una mà. Hi ha tres casos amb números de procediment verificables que serveixen de precedent per a qualsevol emprenedor o gestor tecnològic: el cas d'Aena, el de BBVA i la sanció a la Universitat Europea de València (expedient EXP202405320) per la implementació d'un sistema d'exàmens amb IA i reconeixement facial. Moltes de les llistes que circulen sobre multes a asseguradores per discriminació algorítmica o a bancs per credit scoring no apareixen en el buscador oficial de resolucions de l'Agència.
L'AI Act i el calendari de les sancions
Un dels errors més comunes entre els empresaris espanyols és creure que l'AI Act començarà a aplicar-se en agost de 2026. La realitat és que el reglament està en vigor des de 2024 i la seva aplicació es realitza per tramos, segons l'article 113. El risc financer és extremadament elevat per a aquells que ignoren les prohibicions explosives.
El tràmit amb la sanció més severa correspon a les pràctiques prohibides detallades a l'article 5. En aquest cas, les multes poden arribar fins als 35 milions d'euros o al 7% del volum de negocis mundial anual, aplicant-se la xifra que sigui més alta segons l'article 99.3. Aquesta estructura sancionadora busca dissuadir l'ús de sistemes d'IA que vulnerin els drets fonamentals, independentment de la mida de l'empresa que els implementi.
El repte de la IA agèntica i l'autonomia
L'evolució tecnològica ha portat l'AEPD a publicar orientacions específiques sobre la anomenada IA agèntica. A diferència dels models generatius tradicionals que es limiten a respondre preguntes, els sistemes agèntics són capaços d'interactuar de forma autònoma per assolir objectius complexos, enriquint-se amb informació de l'entorn digital.
Aquesta autonomia introdueix riscos nous en la protecció de dades personals. L'Agència subratlla que el coneixement profund de la tecnologia és l'única via per adoptar decisions informades. L'objectiu és que els responsables del tractament aprofitin aquestes eines per implementar una protecció de dades des del disseny, evitant que l'autonomia de l'agent derivi en tractaments no autoritzats o fugues d'informació.
La IA agèntica no és només una eina de productivitat, sinó un nou paradigma de responsabilitat jurídica on l'autonomia del sistema no eximeix el responsable del tractament de les seves obligacions legals.
Resiliència cibernètica i el Reglament CRA
A banda de la protecció de dades, el marc normatiu es torna més exigent amb el Reglament (UE) 2024/2847, conegut com la Llei de Resiliència Cibernètica (CRA). Aquesta normativa estableix requisits horitzontals de ciberseguretat per a tots els productes amb elements digitals que es posin al mercat interior de la Unió Europea.
Tot i que l'aplicació plena del reglament s'estendrà fins al desembre de 2027, hi ha una data clau per a les empreses: l'11 de setembre de 2026. A partir d'aquest dia, les obligacions de notificació de l'article 14 seran exigibles, independentment de quan s'hagi posat el producte al mercat. Els fabricants hauran de notificar simultàniament qualsevol vulnerabilitat explotada activament i qualsevol incident greu al CSIRT designat i a l'ENISA a través de la Plataforma Única de Notificació (SRP).
El procés de notificació és estrictment temporal:
- Alerta primerenca: en un termini de 24 hores.
- Notificació detallada: en un termini de 72 hores.
- Informe final: 14 dies per a vulnerabilitats explotades o un mes per a incidents greus.
Aquest marc afecta no només als fabricants, sinó també als importadors i distribuïdors que comercialitzen productes sota la seva marca o els modifiquen substancialment. Els responsables de programari de codi obert tenen un règim específic, limitat a la notificació de vulnerabilitats explotades activament.
Impacte per a l'ecosistema empresarial de Catalunya i Espanya
Per a les empreses catalanes, especialment en el hub tecnològic de Barcelona, aquest escenari exigeix un canvi de mentalitat. La tendència a confiar en la guia de l'AEPD sobre IA agèntica i el compliment rigorós de l'AI Act no són simples tràmits administratius, sinó elements de competitivitat. Una startup de Barcelona que desenvolupi solucions d'IA per al mercat global ha de saber que el compliment normatiu europeu és el seu passaport per a l'escalabilitat.
El mercat espanyol es troba en un moment de transició. La disparitat entre els mites (com els 147 expedients) i la realitat (pocs casos però molt severes) pot portar a un sentiment de falsa seguretat. No obstant això, l'augment del 64% en les reclamacions a l'AEPD indica que els ciutadans són cada vegada més conscients dels seus drets digitals. Les empreses que no integrin la resiliència cibernètica i la transparència algorítmica s'exposen a sancions que poden comprometre la seva viabilitat financera.
En conclusió, l'estratègia per a l'empresari local ha de ser proactiva. No es tracta d'esperar a la sanció, sinó d'auditar els sistemes d'IA actuals, revisar els contractes amb proveïdors de tecnologia i preparar els protocols de notificació per a setembre de 2026. La seguretat jurídica és, avui dia, una part integral de la innovació tecnològica.
Preguntes freqüents
És cert que l'AEPD ha obert 147 expedients contra la IA?
No, aquesta xifra no és oficial. L'AEPD no desglosa els seus procediments per tecnologia, per la qual cosa no pot publicar un rec compte específic de sancions a la IA.
Quan comença a aplicar-se l'AI Act?
L'AI Act està en vigor des de 2024 i s'aplica per tramos. Les sancions més altes per pràctiques prohibides ja són aplicables.
Què és la IA agèntica segons l'AEPD?
Són sistemes d'IA capaços d'interactuar de forma autònoma per assolir objectius, i no només de respondre a preguntes, cosa que genera nous reptes en la protecció de dades.
Quines són les obligacions del Reglament CRA a partir de setembre de 2026?
Els fabricants hauran de notificar vulnerabilitats explotades i incidents greus al CSIRT i a l'ENISA en terminis de 24 hores per a l'alerta i 72 hores per a la notificació detallada.
Fonts: Digitalperito (2), Aepd ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
