Glosario¶
Los términos que aparecen en este portal, explicados sin tecnicismos. Las definiciones son prácticas: sirven para entender y decidir, no sustituyen el texto legal.
AEPD (Agencia Española de Protección de Datos). Autoridad que vigila el cumplimiento del RGPD en España. Puede sancionar cuando un uso de IA trata datos personales sin cumplir la normativa.
AESIA (Agencia Española de Supervisión de la Inteligencia Artificial). Autoridad española designada para supervisar el cumplimiento del Reglamento de IA. El régimen sancionador español está en tramitación (ver Lo que ya es obligatorio).
Alfabetización en IA. Conocimientos que necesita una persona para usar la IA con criterio: qué hace, sus límites y sus riesgos. El Reglamento de IA obliga a las empresas a adoptar medidas para fomentarla entre quienes la usan (art. 4).
Alto riesgo. Categoría del Reglamento de IA para sistemas que pueden afectar seriamente a la salud, la seguridad o los derechos de las personas, como la IA usada en selección de personal o en la concesión de crédito. Sus obligaciones se aplican desde diciembre de 2027 (ver Calendario).
Alucinación. Respuesta de una IA que suena convincente pero es falsa: una cifra, una cita o una norma inventada. No es un fallo ocasional, sino una característica de estas herramientas. Por eso hay que revisar siempre lo que tenga consecuencias.
Anonimización. Eliminar de forma irreversible la posibilidad de identificar a una persona. Si se hace bien, el dato deja de ser personal. Es distinta de la pseudonimización.
Base legal. Justificación que el RGPD exige para tratar datos personales: contrato, obligación legal, consentimiento o interés legítimo, entre otras.
Brecha de seguridad. Situación en la que datos personales se pierden, se exponen o llegan a quien no debían; por ejemplo, al introducir una base de clientes en una herramienta no aprobada. Si hay riesgo para las personas, hay que notificarla a la AEPD en un máximo de 72 horas.
Comité de IA. Órgano que decide sobre la adopción de IA en la empresa: qué se prueba, con qué límites y qué se sigue o se para (ver El comité de IA).
Contrato de encargo del tratamiento. Contrato exigido por el RGPD (art. 28) cuando un proveedor trata datos personales por cuenta de la empresa. En IA, suele incluir la garantía de que el proveedor no usa esos datos para entrenar sus modelos. En inglés, DPA (Data Processing Agreement).
Decisión automatizada. Decisión sobre una persona tomada solo por un sistema, sin intervención humana real, y con efectos importantes para ella. El RGPD (art. 22) la limita y da derecho a pedir la intervención de una persona.
Deepfake (ultrasuplantación). Imagen, audio o vídeo generado o alterado con IA que parece real. El Reglamento de IA obliga a indicar de forma visible que es artificial.
EIPD (Evaluación de Impacto relativa a la Protección de Datos). Análisis previo obligatorio cuando un tratamiento de datos personales puede suponer un alto riesgo para las personas, como perfilar o evaluar con IA. En inglés, DPIA.
Instrucciones ocultas (inyección de instrucciones). Órdenes camufladas en un documento, una web o un correo que la IA procesa y obedece sin que el usuario lo sepa. Es especialmente peligroso cuando la herramienta puede actuar por sí misma. En inglés, prompt injection.
Modelo de IA de uso general. Modelo capaz de hacer muchas tareas distintas, sobre el que se construyen asistentes y otras herramientas comerciales. El Reglamento de IA impone obligaciones específicas a quienes los desarrollan.
Ómnibus Digital sobre IA. Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Modifica el Reglamento de IA: aplaza el alto riesgo, suaviza la obligación de alfabetización y añade nuevas prohibiciones (ver Calendario).
Piloto. Prueba de la IA en un proceso real, con alcance limitado, un responsable, indicadores medidos y supervisión, para decidir si merece la pena ampliarla (ver Cómo elegimos un piloto).
Política de uso de IA. Documento aprobado por la empresa que establece qué usos de la IA están permitidos, cuáles necesitan aprobación y cuáles están prohibidos, y con qué datos (ver La política de uso de IA).
Proveedor / responsable del despliegue. Los dos papeles principales del Reglamento de IA. El proveedor desarrolla o comercializa un sistema de IA; el responsable del despliegue lo usa en su actividad profesional. La mayoría de las empresas son responsables del despliegue.
Pseudonimización. Sustituir los datos que identifican a una persona (nombre, DNI) por un código. Reduce el riesgo, pero el dato sigue siendo personal, porque la identificación se puede recuperar.
Punto de partida. Medición de cómo funciona un proceso antes de aplicar IA: tiempo, errores, volumen. Sin él no se puede demostrar la mejora. También se llama línea base.
Reglamento de IA. Reglamento (UE) 2024/1689, la norma europea que regula la IA según el riesgo que supone. Se aplica por etapas entre 2025 y 2028.
RGPD (Reglamento General de Protección de Datos). Reglamento (UE) 2016/679. Regula el tratamiento de datos personales en la UE y se aplica plenamente a los usos de IA con datos de personas.
Uso por libre. Uso de herramientas de IA que la empresa no conoce ni ha aprobado, normalmente versiones gratuitas o cuentas personales. En inglés, Shadow AI.