Conformidad de los asesores fiscales y contables: RGPD y AI Act.

Por qué el sector «Contables y auditores» está concernido.

El despacho desempeña simultáneamente dos roles en el sentido del RGPD, lo que constituye la principal fuente de confusión y errores. Es responsable del tratamiento en lo que respecta a sus propios datos: gestión de su personal, prospección comercial y facturación. Es encargado del tratamiento en la práctica totalidad de los tratamientos realizados por cuenta de sus clientes: elaboración de nóminas, llevanza de la contabilidad, declaraciones sociales y fiscales. Cada rol conlleva obligaciones distintas, y un mismo expediente puede estar sujeto a ambos.

La sensibilidad de los datos agrava el riesgo. Los datos de nómina revelan información sobre la remuneración, en ocasiones sobre la salud (bajas laborales) o la situación familiar. Una filtración no solo expone al despacho a una sanción: ataca el fundamento mismo de la relación, la confianza. El sector contable es además un objetivo privilegiado del ransomware y del fraude del CEO, debido a su acceso a los flujos financieros de cientos de empresas.

Por último, la rápida adopción de herramientas de IA añade una capa regulatoria aún ampliamente ignorada. En cuanto un software de introducción de datos o de previsión incorpora IA, el despacho se convierte en «desplegador» en el sentido del AI Act y asume obligaciones de transparencia y supervisión.

El RGPD aplicado al despacho contable

En su condición de responsable y encargado del tratamiento, el despacho debe llevar un registro de las actividades de tratamiento (artículo 30 del RGPD), proteger el acceso a los expedientes, regular cada uno de sus proveedores mediante un contrato de encargo de tratamiento conforme (artículo 28) y estar en condiciones de responder a los derechos de los interesados (acceso, rectificación, supresión, oposición).

La designación de un delegado de protección de datos (DPO) no es jurídicamente automática, pero el seguimiento regular y a gran escala de datos de empleados —actividad principal de un despacho— la hace muy recomendable e incluso esperada por los clientes. En la práctica, un DPO externalizado suele ser la solución más racional.

Obligaciones clave

• Registro de tratamientos mantenido para los roles de responsable y encargado del tratamiento.
• Contratos de encargo del tratamiento (DPA) firmados con cada software y proveedor de alojamiento.
• Medidas de seguridad proporcionadas (cifrado, gestión de accesos, registro de auditoría).
• Plazos de conservación definidos y eliminación de los datos vencidos.

El AI Act aplicado al despacho contable

El AI Act clasifica los sistemas de IA por nivel de riesgo. La gran mayoría de las herramientas de un despacho —OCR, conciliación bancaria, asistencia a la redacción— se encuadran en el riesgo limitado, cuya obligación principal es la transparencia: informar a las personas cuando interviene la IA. El despacho actúa como desplegador (usuario), y no como proveedor, lo que reduce considerablemente sus obligaciones en comparación con el editor del software.

Sin embargo, ciertos usos pueden pasar a considerarse de alto riesgo, en particular la evaluación o la clasificación automatizada de personas (por ejemplo, una puntuación de solvencia generada para un cliente). En tal caso, se aplican obligaciones reforzadas: supervisión humana documentada, mantenimiento de registros e información a los interesados.

Obligaciones clave

• Inventario (registro) de los sistemas de IA utilizados y de su nivel de riesgo.
• Información a los clientes y a las personas cuando una IA interviene en una decisión.
• Supervisión humana efectiva de los resultados de la IA.
• Conservación de la documentación de conformidad proporcionada por el editor.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

El verdadero punto ciego se sitúa en la intersección de ambos textos. En cuanto una herramienta de IA es entrenada, configurada o simplemente alimentada con los datos de los clientes del despacho, las dos regulaciones se superponen: se requiere a la vez una base legal RGPD para ese uso de los datos y la conformidad con el AI Act de la herramienta (transparencia, supervisión humana, documentación).

En la práctica, un despacho que despliega un motor de previsión de tesorería «de aprendizaje» sobre el historial de sus clientes debe verificar tres aspectos: que el contrato de subcontratación autoriza ese uso secundario de los datos; que los clientes estén informados de ello; y que el editor proporciona la documentación exigida por el AI Act. Este triple control es el que la mayoría de los despachos omite hoy en día.

Calendario de aplicación

• 1RGPD. En vigor desde el 25 de mayo de 2018; plenamente aplicable, controles de la AEPD regulares.
• 2AI Act. prohibiciones: Prácticas de IA prohibidas aplicables desde el 2 de febrero de 2025.
• 3AI Act. modelos de uso general: Obligaciones aplicables desde el 2 de agosto de 2025.
• 4AI Act. sistemas de alto riesgo: Obligaciones principales aplicables a partir del 2 de agosto de 2026 (y 2027 para determinados sistemas integrados en productos).

Sanciones aplicables

El RGPD establece dos niveles de multas administrativas: hasta 10 M€ o el 2 % del volumen de negocio mundial para las infracciones «organizativas» (registro, seguridad, subcontratación), y hasta 20 M€ o el 4 % para las infracciones de los principios y los derechos de las personas. Se aplicará el importe más elevado. La CNIL también puede dictar requerimientos, órdenes con multas coercitivas y sanciones no pecuniarias (apercibimiento, limitación del tratamiento).

En cuanto al AI Act, los umbrales son superiores: hasta 35 M€ o el 7 % de la facturación para las prácticas prohibidas, 15 M€ o el 3 % para los incumplimientos de las obligaciones de los sistemas de alto riesgo, y 7,5 M€ o el 1 % por suministrar información inexacta a las autoridades.

Hoja de ruta de puesta en conformidad

• 1Cartografiar. Inventariar todos los tratamientos y todas las herramientas, distinguiendo los roles de responsable y encargado del tratamiento, e identificando los componentes de IA integrados.
• 2Documentar. Constituir el registro RGPD y el registro de sistemas de IA, con el nivel de riesgo de cada herramienta.
• 3Contractualizar. Auditar y regularizar los contratos de subcontratación (DPA) con los proveedores y los alojadores; verificar las cláusulas relativas al uso de los datos por parte de la IA.
• 4Securizar. Formalizar la política de seguridad, los plazos de conservación y el procedimiento de notificación de brechas en menos de 72 horas.
• 5Pilotar. Designar un DPO (interno o externalizado), formar a los colaboradores e instaurar una revisión periódica de cumplimiento.

Cómo Data Comply One acompaña al sector

Data Comply One combina una plataforma de gestión de la conformidad (registro RGPD, cartografía de herramientas de IA, seguimiento de DPA, gestión de solicitudes de derechos) y un DPO externalizado dedicado al despacho. El modelo «plataforma + experto» cubre tanto el RGPD como el AI Act sin necesidad de movilizar recursos internos a tiempo completo.

Más de 1.000 clientes utilizan DCO, entre ellos numerosos despachos de asesoría contable, lo que ha permitido estandarizar modelos adaptados al sector (DPA tipo para editores de nóminas, política de uso de la IA, registro de sistemas de IA).

Preguntas frecuentes