El AI Act no crea ninguna figura equivalente al delegado de protección de datos (DPO). No hay un artículo que diga «nombre usted un responsable de IA». El Reglamento (UE) 2024/1689 exige tres cosas distintas, con alcances distintos: que proveedores e implementadores adopten medidas de alfabetización de su personal (art. 4, una obligación de medios que no exige designar ni documentar a nadie en concreto); que los proveedores de sistemas de IA de alto riesgo definan por escrito, dentro de su sistema de gestión de calidad, quién responde de cada aspecto (art. 17, solo para esos proveedores); y que los responsables del despliegue de un sistema de alto riesgo asignen su supervisión humana a personas físicas concretas, con competencia, formación y autoridad suficientes (art. 26.2). Solo el artículo 26.2 del AI Act obliga, en la práctica, a designar a una persona física concreta; el artículo 17 del AI Act documenta responsabilidades dentro del sistema de gestión de calidad del proveedor, sin crear un cargo con ese nombre.
Por qué esta pregunta ya no es teórica
El 2 de agosto de 2026 es la fecha general de aplicación del grueso del Reglamento (UE) 2024/1689. Las obligaciones de proveedores e implementadores de los sistemas de alto riesgo del anexo III quedan aplazadas al 2 de diciembre de 2027 por el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), en vigor desde el 27 de julio de 2026, y las del anexo I al 2 de agosto de 2028. Pero eso no despeja la pregunta: la alfabetización del artículo 4 del AI Act ya es exigible desde el 2 de febrero de 2025 para toda empresa que use sistemas de IA, aunque el propio artículo no exija designar a nadie en concreto para asumirla; decidir quién se ocupa de ella es, de momento, buena práctica y no una obligación legal. Muchas pymes han resuelto el AI Act delegándolo de facto en su delegado de protección de datos, por ser la persona que ya «lleva lo de la IA y los datos». Es una solución razonable en algunos casos y un error en otros, y el Reglamento no lo aclara con un cargo obligatorio: hay que decidirlo caso por caso.
Lo primero: el AI Act no menciona ningún «responsable de IA»
El artículo 3 del Reglamento define con precisión quién es proveedor, implementador, importador, distribuidor o representante autorizado de un sistema de IA, pero ninguna de esas figuras es un cargo interno de gobernanza: son roles frente al sistema, no personas designadas con una función de cumplimiento. Esto contrasta con el RGPD, cuyo artículo 37 obliga a designar un DPO cuando el responsable o encargado es una autoridad pública, cuando su actividad principal exige una observación habitual y sistemática de personas a gran escala, o cuando trata a gran escala categorías especiales de datos o de condenas penales. El AI Act no tiene un artículo equivalente. No exige nombrar a nadie con ese título.
Lo que el AI Act sí exige, aunque no le ponga nombre al cargo
La ausencia de una figura obligatoria no significa ausencia de obligación, aunque solo una de ellas exige asignarla por ley a una persona física concreta. Estos son los tres artículos que hay que tener en cuenta:
- Artículo 4 — alfabetización en IA: vigente desde el 2 de febrero de 2025, y con redacción nueva desde el 27 de julio de 2026. Proveedores e implementadores deben adoptar medidas «para apoyar la promoción» de la alfabetización en materia de IA de su personal y de cualquier persona que opere los sistemas en su nombre, atendiendo a su conocimiento técnico, experiencia, formación y contexto de uso. El propio artículo aclara que «esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular»: es una obligación de medios, no de resultado. Sigue siendo exigible, pero el propio artículo no exige designar un cargo concreto para ella ni documentarla formalmente.
- Artículo 26, apartado 2, del AI Act — obligaciones del responsable del despliegue de un sistema de alto riesgo: «Los responsables del despliegue encomendarán la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias». Esta obligación solo alcanza a quien despliega un sistema de alto riesgo, no a cualquier uso de IA. No basta con que alguien mire una pantalla: la persona designada necesita competencia, formación y autoridad reales para actuar, tal y como exige el propio artículo 26.2.
- Artículo 17 del AI Act — sistema de gestión de calidad, solo para los proveedores de sistemas de IA de alto riesgo (no para los implementadores ni para el resto de empresas): exige, entre otros elementos, «un marco de rendición de cuentas que defina las responsabilidades del personal directivo y de otra índole» respecto a todos los aspectos de ese sistema, aplicable de forma proporcional al tamaño de la organización desde el 2 de diciembre de 2027 para los sistemas del anexo III (fecha aplazada por el Reglamento (UE) 2026/1744; el artículo 113 del AI Act fijaba originalmente el 2 de agosto de 2026) y desde el 2 de agosto de 2028 para los del anexo I.
Ninguno de los tres artículos dice «contrate a un responsable de IA», y no exigen lo mismo. El artículo 4 del AI Act pide medidas de alfabetización sin exigir un nombre ni un documento. El artículo 17 del AI Act solo obliga —y solo a los proveedores de sistemas de alto riesgo— a dejar por escrito quién responde de cada aspecto de su sistema de gestión de calidad. El artículo 26.2 del AI Act es el único que exige, de forma expresa y para cualquier empresa que despliegue un sistema de alto riesgo, asignar la supervisión humana a una persona física concreta. Cuando tu empresa despliega sistemas de alto riesgo, esa persona es, en la práctica, tu responsable de IA para ese sistema, se llame así o no. Fuera de los sistemas de alto riesgo, el Reglamento no obliga a designar a nadie con ese nombre, aunque sigue siendo buena práctica decidir quién se ocupa de la alfabetización del artículo 4 del AI Act.
DPO y responsable de IA: qué comparten y en qué se separan
| DPO (RGPD) | Responsable de IA (AI Act) | |
|---|---|---|
| Norma que lo exige | Art. 37 RGPD, en los supuestos que marca | Ninguna designación nominal general; el art. 26.2 del AI Act sí exige encomendar la supervisión humana a personas físicas concretas en sistemas de alto riesgo |
| Objeto de vigilancia | Tratamiento de datos personales | Sistemas de IA: clasificación, riesgo, supervisión, documentación |
| Independencia exigida | Sí, funcional, frente al propio responsable | No regulada; puede depender de dirección o de calidad |
| Puede ser interno o externo | Sí | Sí, sin restricción del Reglamento |
| Ejemplo de tarea propia | Evaluar una EIPD de un fichero de clientes | Clasificar si un sistema de selección de personal es de alto riesgo |
Cuando un sistema de IA trata datos personales —selección de personal, scoring de clientes, videovigilancia con analítica— ambas figuras trabajan sobre el mismo sistema desde ángulos distintos: el DPO evalúa el tratamiento de datos y, si procede, su EIPD; el responsable de IA clasifica el sistema, revisa al proveedor y organiza la supervisión humana. Uno no sustituye al otro, aunque en una pyme pequeña puedan recaer en la misma persona.
Cuándo basta con ampliar el rol de tu DPO
Ampliar el encargo del DPO existente suele ser razonable cuando la empresa tiene pocos sistemas de IA, ninguno de ellos claramente de alto riesgo, y el DPO ya tiene visión transversal de los tratamientos de datos que esos sistemas usan. En ese escenario, formar al DPO en el Reglamento —empezando por la propia alfabetización del artículo 4 de su plantilla, que es buena práctica documentar aunque el artículo no lo exija con ese detalle— resuelve la mayoría de los supuestos sin crear un cargo nuevo. Es la solución más habitual entre las pymes que ya trabajan con un DPO externo y que integran IA de forma puntual, no como línea de negocio. Si todavía no tienes claro si tu empresa está obligada a designar DPO, puedes comprobarlo con el test de obligatoriedad del DPO.
Cuándo hace falta un responsable de IA distinto
La ampliación deja de bastar cuando aparecen sistemas del anexo III (selección de personal, scoring crediticio, sistemas educativos, uso en procesos de empleo), cuando el DPO ya está saturado con sus propias obligaciones en materia de RGPD, o cuando la clasificación de riesgo y la revisión técnica del proveedor exigen un perfil que el DPO no tiene por formación. En esos casos conviene primero comprobar si el sistema es realmente de alto riesgo y qué rol ocupa la empresa frente a él, y después decidir quién asume la supervisión que exige el artículo 26 del Reglamento de IA.
El reparto real en tres patas
Para una pyme que no quiere abrir un departamento nuevo, el Reglamento y los estándares que lo rodean se resuelven razonablemente con tres responsabilidades, que pueden recaer en una sola persona en una empresa pequeña o repartirse en tres en una organización mayor:
- Gobernanza y cumplimiento legal: quién clasifica los sistemas, gestiona los plazos del artículo 113 del AI Act y coordina con el DPO cuando hay datos personales de por medio.
- Adecuación técnica: quién revisa que los controles de los artículos 8 a 15 —gestión de riesgos, registros, robustez— están realmente implementados, no solo documentados. Es el terreno de la adecuación técnica al AI Act de Summum IA.
- Sistema de gestión: quién mantiene el marco documental y de auditoría interna, típicamente integrado en un sistema de gestión de IA certificable bajo ISO 42001 con Summum Calidad.
Lo que no funciona es dejarlo repartido de forma tácita entre «el de informática», «el DPO cuando tenga un rato» y «dirección si pasa algo». Cuando hay un sistema de alto riesgo desplegado, el artículo 26.2 del AI Act exige expresamente que la supervisión humana quede asignada a una persona concreta, no sobreentendida; para el resto de responsabilidades de gobernanza, aunque el Reglamento no lo imponga con ese detalle, dejarlas por escrito es la única forma de que una inspección pueda comprobar quién responde de qué.
Checklist para decidir en tu empresa
- Inventario de los sistemas de IA en uso, con su clasificación de riesgo.
- Persona designada para la supervisión humana de cada sistema de alto riesgo (art. 26.2 del AI Act); dejarlo por escrito es buena práctica.
- Plan de alfabetización acreditable del personal que opera esos sistemas (art. 4 del AI Act).
- Decisión documentada: ¿amplía el DPO su encargo o se nombra un responsable de IA distinto?
- Canal de coordinación entre esa persona, el responsable técnico y el responsable del sistema de gestión.
- Revisión periódica cuando cambien los sistemas o su clasificación.
Errores frecuentes
- Asumir que, como el AI Act no nombra un cargo obligatorio, nadie tiene que responder.
- Delegar todo en el DPO sin formarlo específicamente en el Reglamento.
- Confundir el «responsable del despliegue» (rol legal del art. 3) con un responsable interno de gobernanza: son cosas distintas.
- No dejar por escrito y accesible para una inspección la designación de supervisión humana de un sistema de alto riesgo: el art. 26.2 del AI Act exige encomendarla a una persona física con la competencia, la formación y la autoridad necesarias, pero no exige documentarlo por escrito; hacerlo igualmente es la única forma práctica de acreditarlo ante una inspección.
- No revisar el reparto cuando se incorpora un sistema nuevo o cambia su uso.
Preguntas frecuentes
¿Es obligatorio nombrar un «responsable de IA» con ese título?
No existe esa obligación nominal en el Reglamento (UE) 2024/1689. El artículo 4 exige medidas de alfabetización sin imponer que se asignen a una persona concreta ni que se documenten. El artículo 17 solo obliga, y solo a los proveedores de sistemas de IA de alto riesgo, a definir por escrito quién responde de cada aspecto de su sistema de gestión de calidad. El artículo 26, apartado 2, sí exige que los responsables del despliegue de un sistema de alto riesgo asignen su supervisión humana a una persona física concreta, con competencia, formación y autoridad suficientes.
¿Puede mi DPO asumir también el AI Act?
En muchos casos sí, sobre todo si los sistemas de IA de la empresa son pocos y de riesgo bajo o limitado. Cuando aparecen sistemas de alto riesgo del anexo III o el volumen desborda su encargo original, conviene separar la función.
¿Qué pasa si no asigno a nadie?
El régimen sancionador del artículo 99 del AI Act permite sanciones que llegan hasta un porcentaje relevante de la facturación mundial según el tipo de incumplimiento: el de las obligaciones de los responsables del despliegue del artículo 26 del AI Act está expresamente en la lista del artículo 99, apartado 4, del AI Act, con multas de hasta 15.000.000 EUR o el 3 % del volumen de negocios mundial total, si esta cuantía fuese superior. No asignar supervisión humana efectiva a un sistema de alto riesgo es, en sí mismo, un incumplimiento del artículo 26.
Sobre quién lo vigila en España conviene ser exacto: a 11 de septiembre de 2026 no existe todavía ninguna ley ni real decreto español en vigor que designe a la autoridad de vigilancia del mercado del artículo 70 del AI Act ni que concrete el procedimiento sancionador nacional. Está en tramitación el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096, XV Legislatura), en fase de enmiendas con el plazo ampliado por tercera vez hasta el 16 de septiembre de 2026, que prevé repartir la vigilancia entre la AESIA y otros supervisores según el tipo de sistema. No está publicado en el BOE y su texto puede cambiar.
¿Necesito contratar a alguien nuevo para esto?
No necesariamente. En una pyme con pocos sistemas de IA, ampliar y formar el rol de una persona ya existente —DPO, responsable de calidad o responsable de sistemas— suele bastar. Si tu empresa despliega un sistema de alto riesgo, el artículo 26.2 exige encomendar la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias; fuera de ese caso, dejarlo por escrito es buena práctica, no una obligación legal.
Fuentes oficiales consultadas
- Reglamento (UE) 2024/1689 (AI Act), texto consolidado — EUR-Lex.
- Reglamento (UE) 2026/1744 — Ómnibus digital sobre IA: su artículo 1, punto 5, sustituye el artículo 4 del AI Act (EUR-Lex).
- Artículo 17 del AI Act — Sistema de gestión de calidad.
- Artículo 26 del AI Act — Obligaciones de los implementadores.
- Reglamento (UE) 2016/679 (RGPD), artículo 37 — Designación del delegado de protección de datos.
Este contenido es orientativo y no sustituye el análisis individual de cada sistema de IA por un profesional. Summum Consultoría puede ayudarte a decidir el reparto de responsabilidades y coordinarlo con la parte técnica y el sistema de gestión.