La reclamación ya está encima de la mesa: el firmante fue descartado en un proceso en el que tu empresa usó un sistema de inteligencia artificial, y exige que le expliques esa decisión con un plazo. Lo difícil no es redactar la contestación. Es tener la información que la sostiene, porque el contenido depende de cómo intervino el sistema en ese expediente concreto y eso o quedó documentado o no existe.

Cuándo nace la obligación de explicar

El reglamento europeo de inteligencia artificial reconoce a la persona afectada el derecho a obtener del responsable del despliegue explicaciones claras y significativas sobre el papel del sistema en el procedimiento de decisión y sobre los elementos principales de la decisión adoptada. El derecho exige tres condiciones acumulativas:

• Que el sistema esté en uno de los ámbitos de alto riesgo del anexo del reglamento, excluidos los de infraestructuras críticas.
• Que la decisión produzca efectos jurídicos sobre la persona o la afecte de forma similarmente significativa.
• Que la persona considere que ese efecto perjudica su salud, su seguridad o sus derechos fundamentales.

Los ámbitos que generan estas reclamaciones en la práctica son cinco:

• Selección, promoción y evaluación de personal.
• Evaluación de solvencia y puntuación crediticia de personas físicas, con una excepción que conviene tener localizada: los sistemas destinados a detectar fraude financiero quedan fuera de la categoría de alto riesgo.
• Evaluación de riesgos y fijación de precios en seguros de vida y salud.
• Acceso a servicios públicos esenciales y a prestaciones.
• Acceso, admisión y evaluación en educación y formación profesional.

Hay una segunda obligación de explicar que no procede del reglamento de IA sino del régimen de protección de datos, y confundirlas sale caro. Sus presupuestos son distintos, porque la vía de protección de datos exige que la decisión se base únicamente en un tratamiento automatizado y se articula a través del derecho de acceso, que comprende la información significativa sobre la lógica aplicada. Cambia también el órgano ante el que se reclama: en protección de datos es siempre la AEPD, mientras que en el reglamento de IA es la autoridad de vigilancia del mercado que corresponda, y en España no hay una sola. Según el ámbito del sistema pueden actuar la AESIA, la propia AEPD, el Banco de España o el Consejo General del Poder Judicial.

El derecho del reglamento de IA es además subsidiario, porque opera solo en la medida en que no esté ya previsto por otra norma de la Unión. Quien reclama dispone por tanto de más de un camino y elegirá el que le funcione. Esta obligación se suma a las obligaciones que ya tienes como responsable del despliegue, no las sustituye.

Qué es una explicación suficiente

Lo exigible tiene dos partes: el papel del sistema en el procedimiento y los elementos principales de la decisión. Sobre el nivel de detalle, el Tribunal de Justicia de la Unión Europea ha fijado criterio en el terreno de la protección de datos y ha descartado los dos extremos. Entregar el algoritmo o la fórmula matemática no cumple, porque no constituye una explicación concisa e inteligible. Describir en detalle todas las etapas del proceso tampoco, por la misma razón. Lo que se exige es describir el procedimiento y los principios efectivamente aplicados de forma que la persona entienda qué datos suyos se usaron y cómo se usaron para llegar a ese resultado.

De ahí que una plantilla no sirva. La respuesta depende de cinco datos que solo existen si se registraron cuando se tomó la decisión:

• Qué datos de esa persona se introdujeron en el sistema.
• Qué resultado produjo y en qué forma: puntuación, clasificación, recomendación.
• Qué peso tuvo ese resultado frente a los demás criterios del procedimiento.
• Quién lo revisó, con qué competencia y con qué margen real para apartarse de él.
• Qué versión del sistema estaba en producción esa fecha.

Sin ese registro, lo único que se puede redactar es una descripción genérica del sistema que no explica ese caso, y la otra parte lo identifica de inmediato. La forma de llegar preparado es construir la documentación que sostiene la respuesta antes de necesitarla.

Hasta dónde protege el secreto empresarial

Alegar que el algoritmo es confidencial no cierra el asunto. El Tribunal de Justicia ha resuelto que, cuando el obligado considera que la información incluye secretos comerciales o datos de terceros, debe comunicar esa información supuestamente protegida a la autoridad de control o al órgano jurisdiccional competente, a quienes corresponde ponderar los derechos en juego y determinar el alcance del acceso. Invocar el secreto desplaza la decisión a un tercero; no la evita.

La invocación además hay que construirla, con tres elementos:

• Qué información concreta es secreta, delimitada y no por bloques.
• Por qué reúne las condiciones para serlo.
• Qué perjuicio competitivo produciría su revelación.

Una alegación genérica de confidencialidad, sin ese trabajo detrás, se pondera en contra de quien la formula. Conviene además revisar cuánto de lo que hay que contestar es realmente secreto ajeno, porque los datos que se introdujeron, el resultado que produjo el sistema, el peso que se le dio y quién lo revisó son hechos de tu propio procedimiento. Lo que suele estar protegido es la ponderación interna del modelo, y no es lo que responde a la pregunta que se está formulando.

La contradicción del calendario, y el argumento en contra

El derecho a la explicación quedó fuera del aplazamiento. El Ómnibus digital desplazó la fecha de aplicación del capítulo de alto riesgo, secciones 1, 2 y 3, al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los integrados en productos regulados. El derecho de la persona afectada no está en ese capítulo, y la fecha general de aplicación del reglamento, el 2 de agosto de 2026, no se movió un día.

La documentación técnica del proveedor, que es la que permitiría responder con precisión sobre el funcionamiento del sistema, sí está dentro del bloque aplazado, con fecha de diciembre de 2027. El derecho llega antes que la maquinaria que lo haría cómodo de cumplir, y esa asimetría la soporta el responsable del despliegue.

Frente a esto hay un argumento en contra que conviene exponer sin rebajarlo. El derecho se define por referencia a un sistema de alto riesgo enumerado en el anexo III, y la norma que atribuye a un sistema esa condición está dentro del bloque aplazado. Si hasta diciembre de 2027 ningún sistema queda jurídicamente clasificado por esa vía, el presupuesto del derecho no se cumple y el derecho no sería exigible todavía.

Es el más débil de los dos, por dos razones que están en el propio texto de la reforma:

• El considerando que justifica el aplazamiento lo funda en el retraso de las normas armonizadas, las especificaciones comunes, las orientaciones alternativas y la constitución de las autoridades nacionales competentes. Es una razón de capacidad de aplicación, no una duda sobre qué sistemas son de alto riesgo.
• Ese mismo considerando usa la clasificación del anexo III como criterio para decidir cuál de las dos fechas de aplazamiento corresponde a cada sistema. Un criterio que la reforma emplea para repartir plazos difícilmente está suspendido mientras esos plazos corren.

Y aun aceptándolo, el argumento no permite ignorar la reclamación. El reglamento de IA declara expresamente que no afecta al régimen de protección de datos, de modo que esa vía corre íntegra y con sus propios plazos: un mes para atender la solicitud de acceso, prorrogable cuando la complejidad lo justifique. Sostener una tesis sobre la exigibilidad de un derecho es algo que hay que ganar ante una autoridad o un tribunal, y mientras tanto el expediente se juzga por lo que consta en él. Si te interesa el reparto completo de fechas, ahí está qué aplazó realmente el Ómnibus y qué no.

Uso una herramienta de un tercero, ¿la obligación es mía o del proveedor?

Tuya. La obligación recae sobre quien utiliza el sistema bajo su propia autoridad y adopta la decisión. El proveedor tiene obligaciones propias de documentación y de cooperación, y puede ser la única fuente de parte de la información que necesitas, pero la persona afectada te reclama a ti. Por eso el contrato con el proveedor es el sitio donde debe estar resuelto qué información te entrega, en qué plazo y en qué formato, y es la cláusula que falta en la mayoría de los contratos de SaaS firmados antes de 2025.

¿Puedo negarme alegando que el algoritmo es confidencial?

No como negativa sin más. El secreto se pondera frente al derecho de la persona, y esa ponderación no la cierras tú: si sostienes que la información está protegida, corresponde a la autoridad de control o al tribunal decidir qué debe comunicarse. Buena parte de lo que hay que contestar, además, no es secreto del proveedor.

¿Y si el sistema solo apoyaba la decisión y decidió una persona?

Cambia el análisis, y no siempre a tu favor. En la vía de protección de datos la intervención humana puede dejar la decisión fuera del régimen de decisiones automatizadas, pero tiene que ser intervención real: alguien con competencia y con margen efectivo para apartarse del resultado, no una validación formal de lo que la herramienta ya había resuelto. En la vía del reglamento de IA la obligación se refiere al papel que el sistema tuvo en el procedimiento, así que un sistema que solo apoyaba también genera algo que explicar.

¿Qué pasa si no contesto?

La reclamación no se extingue, se traslada. Quien no obtiene respuesta acude a la autoridad competente, y el asunto pasa a discutirse con un tercero que tiene potestad de requerimiento y de sanción. Por la vía de protección de datos, además, la falta de respuesta en plazo es por sí misma un incumplimiento, al margen de lo que hubieras contestado. Y sin documentación sobre cómo intervino el sistema, el expediente llega a la autoridad sin nada que oponer al relato de la otra parte.

Si has recibido una reclamación de este tipo, o si usas un sistema que puede generarlas y prefieres tener la documentación resuelta antes, puedes reservar una videoconsulta de 60 minutos por 90€ (IVA incluido), cuyo importe se descuenta de la primera factura si finalmente aceptamos tu encargo.