¿Qué es una autoridad de protección de datos?
Privacidad, seguridad e identidad
Una autoridad de protección de datos (APD) es un organismo público independiente que supervisa y hace cumplir la legislación de protección de datos de un país. Investiga reclamaciones, audita organizaciones, emite orientaciones e impone medidas correctoras y multas. Las APD se mantienen deliberadamente al margen de las instrucciones gubernamentales para poder exigir responsabilidades tanto al Estado como a las empresas privadas. Dado que la mayor parte de la inteligencia artificial se basa en datos personales, las APD suelen ser los primeros reguladores en aplicar en la práctica las normas relevantes para la IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Una autoridad de protección de datos es el árbitro de las normas sobre cómo pueden recopilarse y utilizarse los datos personales. La legislación de protección de datos establece las reglas; la APD es la institución que supervisa su cumplimiento, gestiona las reclamaciones del público y actúa cuando se incumplen. En la Unión Europea y en el Espacio Económico Europeo, estos organismos se denominan autoridades de control en virtud del Reglamento General de Protección de Datos, y se conocen comúnmente como APD. El Reino Unido cuenta con la Information Commissioner's Office, Francia con la CNIL, y casi todos los países con legislación de protección de datos tienen un organismo equivalente.
La característica definitoria de una APD es su independencia. La ley exige que actúe libre de influencias externas y que no solicite ni acepte instrucciones del gobierno ni de la industria. Esto es fundamental porque una APD debe poder investigar a organismos públicos y a empresas poderosas sin interferencias políticas. Por lo general, una APD se financia con cargo a un presupuesto público o mediante tasas, está dirigida por un comisionado o un consejo nombrado por un mandato fijo, y está obligada a rendir cuentas públicamente sobre su actividad.
Una APD no es lo mismo que el departamento gubernamental que redacta la legislación sobre datos, ni es, en la mayoría de los países, un regulador específico de IA. Es una institución permanente con poderes legales, que actúa como intermediaria entre las personas cuyos datos se tratan y las organizaciones que los tratan.
Por qué es importante
Las APD son relevantes para la IA porque la mayoría de los sistemas de IA se construyen y funcionan sobre datos personales, de modo que las normas que una APD ya aplica se extienden a la IA por defecto. Una APD no necesita una ley específica de IA para actuar: si un sistema de IA recopila, entrena o genera datos personales, la APD puede investigarlo al amparo de la legislación de protección de datos vigente. Esto convierte a las APD en los primeros ejecutores de las normas relevantes para la IA en muchos países.
El patrón ya es visible. Cuando las herramientas de IA generativa llegaron al mercado masivo, fueron las APD, y no los reguladores específicos de IA, quienes actuaron primero. En la UE, las autoridades de protección de datos coordinaron su trabajo y emitieron orientaciones vinculantes sobre cómo los modelos de IA se relacionan con el GDPR. En el marco del AI Act de la UE, el Comité Europeo de Protección de Datos ha argumentado que las APD deben asumir un papel protagonista en la aplicación de las normas sobre IA de alto riesgo, dada su independencia y su experiencia en materia de derechos fundamentales.
Para las organizaciones que desarrollan o adquieren IA, el mensaje práctico es que el regulador de datos es el regulador con el que más probablemente se encontrarán primero. Para las personas, la APD es el organismo ante el que pueden reclamar cuando un sistema automatizado utiliza sus datos de forma injusta. Entender qué puede y qué no puede hacer una APD es, por tanto, fundamental para comprender cómo se gobierna realmente la IA hoy en día.
Cómo funciona
Qué es una APD y qué no es
Una APD es una autoridad pública independiente creada por ley para supervisar y hacer cumplir las normas de protección de datos. Se distingue de dos cosas con las que a menudo se confunde. En primer lugar, no es un ministerio del gobierno. Un ministerio o departamento establece políticas y redacta legislación; la APD aplica y hace cumplir esa legislación con independencia del ministro. En segundo lugar, en la mayoría de las jurisdicciones, no es un regulador específico de IA. El mandato de una APD es la protección de datos personales, independientemente de la tecnología implicada. Cuando actúa sobre la IA, lo hace porque la IA trata datos personales, no porque tenga un mandato autónomo sobre toda la IA.
Poderes: investigación, corrección y multas
En virtud del GDPR, los poderes de una autoridad de control se dividen en tres grupos. Los poderes de investigación le permiten ordenar a las organizaciones que faciliten información, realizar auditorías y revisiones de protección de datos, y obtener acceso a instalaciones y equipos. Los poderes correctores le permiten emitir advertencias y apercibimientos, ordenar a una organización que cumpla la ley, ordenar la rectificación o supresión de datos, imponer prohibiciones temporales o permanentes del tratamiento, e imponer multas administrativas. Los poderes consultivos y de autorización le permiten emitir dictámenes, aprobar normas corporativas vinculantes y autorizar determinados mecanismos de transferencia de datos.
Las multas son el poder más visible. El GDPR establece dos niveles. Las infracciones menos graves, principalmente de carácter procedimental, conllevan un máximo de 10 millones de euros o el 2 por ciento del volumen de negocio anual total a nivel mundial, la cifra que sea mayor. Las infracciones más graves, incluidas las vulneraciones de los principios básicos del tratamiento y de los derechos de los interesados, conllevan un máximo de 20 millones de euros o el 4 por ciento del volumen de negocio anual total a nivel mundial, la cifra que sea mayor. La base del volumen de negocio es lo que da escala a las multas más elevadas, ya que se calcula sobre el conjunto del grupo empresarial.
Independencia: el requisito definitorio
La independencia no es un eslogan; es un requisito legal estricto con un significado preciso. El GDPR exige que cada autoridad de control actúe con plena independencia, libre de influencias externas, sin solicitar ni aceptar instrucciones de nadie. Los Estados miembros deben dotar a cada autoridad de su propio personal, instalaciones y presupuesto, sujeto a un control financiero que no comprometa su independencia. El Convenio 108+ modernizado del Council of Europe contiene un requisito paralelo de que las autoridades de control actúen con plena independencia e imparcialidad.
El Tribunal de Justicia de la Unión Europea ha dado fuerza a este principio. En el asunto Comisión contra Alemania (Asunto C-518/07), declaró que incluso el riesgo de que un gobierno pudiera ejercer influencia política sobre una APD es suficiente para socavar la independencia requerida. En el asunto Comisión contra Austria (Asunto C-614/10), la Gran Sala declaró el 16 de octubre de 2012 que la Datenschutzkommission austriaca no cumplía el requisito de independencia plena porque su oficina estaba integrada en la Cancillería Federal y su miembro director era un funcionario federal. La independencia se equilibra con la rendición de cuentas: una APD debe publicar informes anuales de actividad, dichos informes se remiten al parlamento nacional y al gobierno, y sus decisiones pueden recurrirse ante los tribunales.
Cooperación transfronteriza
Los datos fluyen a través de las fronteras, por lo que las APD cooperan entre sí. En la UE y el EEE, el GDPR establece un mecanismo de ventanilla única: para el tratamiento transfronterizo, la autoridad de control principal del país en el que la organización tiene su establecimiento principal dirige el caso, en colaboración con las demás autoridades afectadas. Un mecanismo de coherencia mantiene alineadas las interpretaciones y, cuando las autoridades no llegan a un acuerdo, el Comité Europeo de Protección de Datos puede emitir una decisión vinculante. A nivel mundial, la Recomendación de la OECD de 2007 sobre cooperación transfronteriza en la aplicación de las leyes de protección de la privacidad estableció un marco de cooperación entre las autoridades de control de la privacidad, y la Global Privacy Assembly conecta a las autoridades de todo el mundo.
Modelos institucionales: único, sectorial y federado
No existe un modelo global único. Existen tres grandes modelos. El modelo de regulador nacional único otorga a una sola autoridad la responsabilidad sobre toda la economía, como ocurre con la ICO del Reino Unido o la CNIL de Francia. El modelo federado superpone autoridades nacionales bajo un organismo coordinador: en la UE, las APD nacionales forman parte del Comité Europeo de Protección de Datos, un organismo independiente de la UE que garantiza la aplicación coherente del GDPR y puede emitir decisiones vinculantes en disputas transfronterizas. Algunos Estados miembros son a su vez internamente federados, en particular Alemania, que cuenta con una autoridad federal más autoridades separadas para cada uno de sus estados. El modelo sectorial distribuye la responsabilidad entre varios reguladores en lugar de uno solo. Estados Unidos es el ejemplo más destacado: no tiene una APD nacional única, y la supervisión de la privacidad se reparte entre organismos como la Federal Trade Commission y reguladores sectoriales y estatales.
Ejemplos
Los ejemplos que figuran a continuación están actualizados a junio de 2026 y se incluyen para ilustrar cómo actúan las APD en la práctica. Las acciones de aplicación concretas pueden recurrirse y revocarse, por lo que conviene tratar los detalles como una instantánea y no como jurisprudencia consolidada.
Una APD actúa primero ante una herramienta de IA generativa
El 30 de marzo de 2023, la APD italiana, el Garante, impuso una limitación temporal al tratamiento de datos de usuarios italianos por parte de OpenAI, lo que supuso en la práctica la suspensión de ChatGPT en Italia; la limitación se levantó el 28 de abril de 2023 tras que OpenAI cumpliera las medidas establecidas en la orden del Garante del 11 de abril de 2023. Tras una investigación más prolongada, el 20 de diciembre de 2024 el Garante multó a OpenAI con 15 millones de euros por la forma en que ChatGPT gestionó los datos personales, incluida la falta de una base jurídica adecuada para el entrenamiento y una verificación de edad deficiente, y ordenó una campaña de información pública. OpenAI anunció que recurriría la decisión. Este caso muestra a una APD nacional utilizando la legislación de protección de datos vigente para actuar sobre la IA antes de que ningún regulador específico de IA estuviera operativo.
Coordinación federada a través de fronteras
Tras la actuación de Italia, otras autoridades europeas abrieron sus propias investigaciones y, el 13 de abril de 2023, el Comité Europeo de Protección de Datos creó un grupo de trabajo específico sobre ChatGPT, con el objetivo, en sus propias palabras, de fomentar la cooperación y el intercambio de información sobre posibles acciones de aplicación llevadas a cabo por las autoridades de protección de datos; el informe del grupo de trabajo fue adoptado el 23 de mayo de 2024. El Comité adoptó posteriormente el Dictamen 28/2024 el 17 de diciembre de 2024, a petición de la Comisión de Protección de Datos de Irlanda, sobre cómo se aplican los principios de protección de datos a los modelos de IA, incluyendo cuándo un modelo puede considerarse anónimo y cuándo el interés legítimo puede constituir una base jurídica válida. Este es el modelo federado en acción: las autoridades nacionales aplican las normas, mientras que un organismo central vela por la coherencia.
Una APD que define su futuro papel en materia de IA
En la Declaración 3/2024, adoptada el 16 de julio de 2024, el Comité Europeo de Protección de Datos recomendó que las APD nacionales fueran designadas como autoridades de vigilancia del mercado en virtud del EU AI Act para los usos de mayor riesgo. Señaló que, en virtud del artículo 74(8) del AI Act, las APD deben ser designadas como tales para los sistemas de alto riesgo del Anexo III, punto 1 (biométricos) cuando se utilicen con fines de aplicación de la ley, y para los puntos 6, 7 y 8 (aplicación de la ley, migración y control de fronteras, y administración de justicia y procesos democráticos), citando su plena independencia y su experiencia en la evaluación de riesgos para los derechos fundamentales. Los Estados miembros debían nombrar las autoridades de vigilancia del mercado antes del 2 de agosto de 2025. La ICO del Reino Unido, actuando en el marco de la legislación vigente y no de una nueva ley de IA, ha publicado un enfoque estratégico sobre la IA y trata la supervisión de la IA como una cuestión de protección de datos. Ambos casos ilustran cómo las APD se posicionan como reguladores de primera línea en materia de IA.
Malentendidos frecuentes
"Una APD forma parte del gobierno"
Es un organismo público, pero deliberadamente independiente del gobierno. La ley exige que actúe sin instrucciones de los ministros, precisamente para poder investigar a organismos públicos y a aliados del partido en el poder. Los tribunales han anulado disposiciones que otorgaban a los gobiernos demasiada influencia sobre una APD.
"Todos los países tienen una sola APD"
No es así. Algunos países cuentan con un regulador único para toda la economía; otros, como Alemania, tienen un sistema internamente federado con autoridades federales y estatales; y otros, como Estados Unidos, no tienen ninguna APD nacional única y distribuyen la supervisión entre reguladores sectoriales y estatales.
"Las APD solo se ocupan de brechas de datos y spam"
Las notificaciones de brechas y las reclamaciones por marketing forman parte de su actividad, pero el mandato de una APD abarca todo el tratamiento de datos personales, incluida la elaboración de perfiles, las decisiones automatizadas y, cada vez más, los sistemas de IA.
"No hay regulador de IA, así que la IA no está regulada"
En la mayoría de los países, el regulador de datos ya tiene competencia sobre la IA que utiliza datos personales. Una APD puede investigar, ordenar cambios o incluso prohibir un sistema de IA en virtud de la legislación de protección de datos, sin necesidad de ninguna norma específica sobre IA.
"Una APD puede hacer lo que quiera"
Sus poderes están definidos por ley, sus multas tienen un límite máximo y deben ser proporcionales, y sus decisiones pueden recurrirse ante los tribunales. La independencia va acompañada de rendición de cuentas ante el parlamento y la ciudadanía.
Riesgos y límites
El alcance de una APD tiene límites. Su jurisdicción se circunscribe a los datos personales, por lo que el tratamiento que genuinamente no implique datos personales queda fuera de su mandato principal, aunque pueda suscitar otras preocupaciones. Cuando se puede demostrar que un modelo de IA es verdaderamente anónimo, la legislación de protección de datos puede no aplicarse a su funcionamiento, razón por la cual las alegaciones de anonimato se examinan con detenimiento.
Los recursos son una limitación real. Las autoridades varían enormemente en presupuesto y plantilla, y las investigaciones sobre grandes empresas con muchos recursos pueden prolongarse durante años. Los casos transfronterizos añaden complejidad: la ventanilla única concentra la responsabilidad principal en una sola autoridad, lo que puede generar cuellos de botella y desacuerdos entre autoridades, que en ocasiones solo se resuelven mediante una decisión vinculante del comité central.
La independencia es un estándar que debe mantenerse, no darse por supuesto. Las reducciones de financiación, las presiones políticas o los intentos de orientar las prioridades de una APD pueden erosionarla, y la solidez de la independencia varía entre jurisdicciones. Por último, una APD es uno más entre varios reguladores. La IA, la competencia, la protección de los consumidores, la seguridad en línea y la conducta financiera pueden implicar a otras autoridades, y las APD deben coordinarse con ellas para evitar lagunas y decisiones contradictorias.
Qué hacer a continuación
En primer lugar, identifique su APD principal. Determine qué autoridad le supervisa, en función del lugar donde está establecida su organización y de dónde se encuentran sus usuarios. Para operaciones transfronterizas en la UE y el EEE, establezca qué autoridad es su autoridad principal en virtud de la ventanilla única. El criterio de actuación: si trata datos personales en más de un país, es necesario tenerlo mapeado antes de cualquier incidente, no durante uno.
En segundo lugar, trate la IA como una cuestión de protección de datos. Parta de la base de que cualquier sistema de IA que maneje datos personales está dentro del alcance de su APD. Documente su base jurídica, realice evaluaciones de impacto sobre la protección de datos para los usos de mayor riesgo y mantenga registros de cómo se obtuvieron los datos de entrenamiento. Si no puede acreditar una base jurídica para los datos de entrenamiento de IA, trátelo como una laguna prioritaria.
En tercer lugar, consulte las orientaciones publicadas por su APD y siga sus prioridades. Las APD señalan con antelación la dirección de su actividad de aplicación a través de informes anuales, estrategias y dictámenes. Cuando su regulador identifica un área de atención, como los modelos de IA o el web scraping, trátelo como un indicador anticipado de actuaciones de aplicación en el próximo año o dos.
En cuarto lugar, prepárese para la interacción con el regulador. Conozca sus plazos de notificación de brechas, mantenga actualizados sus registros de actividades de tratamiento y esté preparado para responder a solicitudes de información. La presencia o ausencia de esta documentación suele determinar si el contacto con el regulador deriva en una orden de subsanación o en una multa.
En quinto lugar, supervise los cambios estructurales. Si su jurisdicción está reformando su regulador, modificando su financiación o designándolo como autoridad de vigilancia del mercado de IA, reevalúe su exposición. Una APD que adquiere poderes formales en materia de IA es una señal para revisar su gobernanza de la IA, no solo su cumplimiento en materia de datos.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactar con nosotros.
Preguntas frecuentes
¿Cuál es la diferencia entre una autoridad de protección de datos y un delegado de protección de datos?
Una autoridad de protección de datos es el regulador público externo que hace cumplir la ley en múltiples organizaciones. Un delegado de protección de datos es una persona designada dentro de una organización para asesorar sobre el cumplimiento normativo. El delegado trabaja para la organización; la autoridad la supervisa.
¿Es lo mismo una autoridad de protección de datos que una autoridad de control?
En la práctica, sí. El GDPR utiliza el término autoridad de control para los organismos independientes de los países de la UE y el EEE, y autoridad de protección de datos, o APD, es el nombre común para la misma institución. Fuera de la UE, el organismo equivalente puede denominarse comisionado, agencia o comisión.
¿Puede una autoridad de protección de datos prohibir realmente un sistema de IA?
Puede restringir o suspender el tratamiento cuando se incumple la ley. El Garante italiano suspendió temporalmente ChatGPT en 2023 limitando el tratamiento de datos personales por parte de OpenAI, lo que dejó el servicio fuera de línea en Italia hasta que se realizaron los cambios necesarios. Estas medidas deben ser proporcionales y pueden recurrirse.
¿Todos los países tienen una autoridad de protección de datos?
La mayoría sí. Según el rastreador de Legislación Mundial sobre Protección de Datos y Privacidad de la UNCTAD, 137 de 194 países, aproximadamente el 71 por ciento, han adoptado legislación sobre protección de datos y privacidad, con un 9 por ciento adicional que cuenta con proyectos de ley, y en casi todos ellos una comisión o autoridad supervisa la aplicación. Una excepción notable es Estados Unidos, que no tiene una APD nacional única y utiliza en su lugar un mosaico sectorial de reguladores.
¿Cómo se financian las autoridades de protección de datos y afecta eso a su independencia?
La financiación varía. Algunas autoridades se financian con cargo al presupuesto público; otras, en parte, mediante tasas de registro abonadas por las organizaciones. La ley exige que el control financiero no comprometa la independencia, y cada autoridad debe contar con su propio presupuesto. La financiación insuficiente es un riesgo reconocido para la eficacia de la aplicación.
¿Quién controla a una autoridad de protección de datos si es independiente?
La independencia va acompañada de rendición de cuentas. Una APD debe publicar informes anuales que se remiten al parlamento nacional y al gobierno, su dirección suele ser nombrada por un mandato fijo mediante un proceso formal, y sus decisiones pueden recurrirse ante los tribunales.
¿Qué es el mecanismo de ventanilla única?
Es el sistema de la UE y el EEE para los casos transfronterizos. Una organización que opera en varios países trata principalmente con una única autoridad principal en el país de su establecimiento principal, que coordina con las demás autoridades afectadas. Las disputas pueden resolverse mediante una decisión vinculante del Comité Europeo de Protección de Datos.
¿Un regulador específico de IA reemplazará a las autoridades de protección de datos?
Es poco probable que las sustituya. Las nuevas leyes de IA crean organismos de supervisión adicionales, pero dado que la IA tan frecuentemente implica datos personales, las APD conservan un papel central. En la UE, el Comité Europeo de Protección de Datos ha argumentado que las APD deben estar entre los principales responsables de la aplicación de las normas sobre IA de alto riesgo.