Cumplimiento en el sector del automóvil: RGPD, AI Act, NIS2 & Data Act

Por qué el sector «Automoción» está afectado

El vehículo conectado es una plataforma de datos: localización, estilo de conducción, diagnósticos y uso de los servicios a bordo. Gran parte de estos datos son de carácter personal (vinculables al conductor), lo que sitúa el RGPD en primer plano, especialmente en lo relativo a la geolocalización, particularmente sensible.

El Data Act abre el acceso a estos datos generados: el fabricante debe permitir al usuario acceder a ellos y compartirlos con terceros que designe (talleres independientes, aseguradoras), un aspecto clave para el servicio posventa.

La conducción automatizada se basa en sistemas de IA que desempeñan un papel en la seguridad, susceptibles de ser clasificados como de alto riesgo por el AI Act, en articulación con la homologación de tipo de los vehículos. Por último, la fabricación de vehículos está sujeta a NIS2, con una cadena de suministro especialmente extensa y expuesta.

Data Act — los datos del vehículo conectado

El Data Act obliga al fabricante a hacer accesibles al usuario los datos generados por el vehículo y sus servicios asociados, y a permitir su compartición con terceros designados. Es una palanca estructurante para el acceso de los talleres independientes y las aseguradoras a los datos del vehículo.

El diseño debe integrar dicho acceso y los contratos de servicios conectados deben revisarse.

Obligaciones clave

• Acceso del usuario a los datos generados por el vehículo.
• Compartir con terceros designados (reparadores, aseguradoras).
• Concepción «acceso a los datos by design».
• Revisión de los contratos de servicios conectados.

AI Act — la IA de conducción como componente de seguridad

Los sistemas de IA que desempeñan un papel de seguridad en la conducción automatizada pueden clasificarse como de alto riesgo, en articulación con la homologación por tipo. Las obligaciones son exigentes: gestión de riesgos, calidad de los datos, supervisión y documentación. Otros usos (infoentretenimiento, asistentes) se rigen por regímenes más ligeros.

Obligaciones clave

• Calificar la IA de conducción (potencialmente de alto riesgo).
• Gestión de riesgos y calidad de los datos.
• Supervisión humana y documentación técnica.
• Articulación con la recepción por tipo.

NIS2 — la fabricación de vehículos

La fabricación de vehículos y material de transporte figura entre las entidades importantes de NIS2, por encima del umbral de tamaño. Los fabricantes y proveedores de equipos deben desplegar las medidas de gestión de riesgos, asegurar la convergencia IT/OT y, sobre todo, una cadena de suministro automovilística especialmente extensa.

Obligaciones clave

• Medidas de gestión de riesgos (art. 21) IT/OT.
• Seguridad de una cadena de suministro extendida.
• Notificación de incidentes significativos.
• Responsabilidad de la dirección.

RGPD — datos personales del conductor

El vehículo conectado genera datos personales: localización, hábitos de conducción, contactos sincronizados. El fabricante y los proveedores de servicios embarcados son responsables o corresponsables del tratamiento y deben encuadrar dichos tratamientos, prestando especial atención a la geolocalización.

Obligaciones clave

• Base jurídica e información sobre los datos del vehículo.
• Marco reforzado de la geolocalización.
• Distribución de roles: responsable / corresponsable / encargado del tratamiento.
• Seguridad y plazos de conservación.

CRA — componentes con elementos digitales

El Cyber Resilience Act puede afectar a determinados componentes de automoción con elementos digitales, en articulación con la normativa sectorial de homologación de tipo, que ya contempla requisitos de ciberseguridad para los vehículos. El análisis debe realizarse componente por componente.

Obligaciones clave

• Analizar la aplicabilidad del CRA componente por componente.
• Articular con la recepción por tipo (ciberseguridad del vehículo).
• Gestión de vulnerabilidades de los componentes digitales.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

El dato del vehículo está en el centro de dos regímenes: el RGPD (cuando es personal: localización, conducción) y el Data Act (acceso e intercambio de todos los datos generados). Ambos deben tratarse conjuntamente, ya que un mismo dato de localización está sujeto a la vez a la protección del RGPD y al derecho de acceso del Data Act.

La seguridad, por su parte, se articula en tres planos: la homologación por tipo (ciberseguridad del vehículo), NIS2 (seguridad de la fabricación y de la cadena) y, en su caso, el CRA (componentes digitales). Una política de seguridad coherente que cubra producto, fábrica y componentes evita duplicidades y puntos ciegos.

Calendario de aplicación

• 1RGPD. En vigor; vigilancia estricta sobre la geolocalización.
• 2Data Act. Obligaciones mayoritarias desde el 12 de septiembre de 2025.
• 3AI Act. Prohibiciones desde febrero de 2025; alto riesgo según el calendario de productos (2026-2027).
• 4NIS2. Transposición francesa en curso; anticiparse en una cadena extendida.

Sanciones aplicables

Los regímenes se acumulan: AI Act hasta 35 M€ o el 7 %, RGPD hasta 20 M€ o el 4 %, NIS2 hasta 10 M€ o el 2 %, CRA hasta 15 M€ o el 2,5 %. El Data Act remite a las sanciones nacionales.

El riesgo tiene una dimensión de seguridad física: un fallo de ciberseguridad en un vehículo conectado puede afectar a la seguridad de los ocupantes, más allá de la sanción administrativa.

Hoja de ruta de puesta en conformidad

• 1Cartografiar los datos del vehículo. Distinguir entre datos personales (RGPD) y datos generados (Data Act) y habilitar las herramientas para su acceso.
• 2Calificar la IA de conducción. Identificar los sistemas de alto riesgo y producir la documentación, en relación con la recepción por tipo.
• 3Proteger producto, fábrica y cadena. Articular la recepción por tipo, NIS2 y CRA en una política de seguridad común.
• 4Encuadrar los servicios conectados. Revisar contratos e información (geolocalización, terceros).
• 5Pilotar. Implicar a la dirección, designar DPO y CISO, revisión periódica.

Cómo Data Comply One acompaña al sector

Data Comply One cubre RGPD, AI Act, NIS2 y DORA en una plataforma única, con DPO y CISO externalizados, y acompaña a los actores del sector automovilístico en la articulación RGPD / Data Act (datos del vehículo) y seguridad del producto / fábrica.

DCO ofrece plantillas adaptadas (registro, documentación AI Act, cartografía de datos del vehículo conectado) para abordar estos textos de forma coordinada.

Preguntas frecuentes