IA en Reino Unido: UK GDPR, la ICO y el AI Act europeo en la práctica

Desde el Brexit, las empresas británicas conviven con dos mapas regulatorios. En casa, un régimen de protección de datos heredado del RGPD pero ya modificado, y un enfoque de la IA sin una gran ley específica. Con sus clientes europeos, el RGPD original y el Reglamento europeo de IA, el AI Act.

Para un banco de la City, una aseguradora de Mánchester o una empresa de software de Edimburgo que vende en el continente, la pregunta es concreta: ¿qué normas se aplican cuando un empleado pega datos de clientes en un asistente de IA?

La base: UK GDPR y Data Protection Act 2018

Reino Unido mantuvo el RGPD en su derecho interno con el nombre de UK GDPR, junto con la Data Protection Act 2018. Los principios son conocidos: base jurídica, minimización, seguridad proporcional al riesgo y evaluación de impacto para los tratamientos de alto riesgo. Un prompt que contiene el nombre, la dirección o el expediente de un cliente es un tratamiento de datos personales, con las mismas obligaciones que un archivo enviado por correo.

Durante años, la autoridad de control fue la Information Commissioner's Office (ICO). Desde el 30 de septiembre de 2026, sus funciones han pasado a una nueva Information Commission, creada por la reforma de 2025.

Qué cambia la Data (Use and Access) Act 2025

La Data (Use and Access) Act 2025 recibió la sanción real el 19 de junio de 2025. Entra en vigor por fases, y la mayoría de sus cambios en materia de protección de datos se aplican desde el 5 de febrero de 2026. Para los proyectos de IA importan tres puntos:

• una lista de intereses legítimos reconocidos, para los que la organización ya no tiene que hacer la habitual prueba de ponderación;

• reglas más flexibles para las decisiones totalmente automatizadas, salvo cuando se basan en datos sensibles, con garantías como impugnar la decisión y pedir intervención humana;

• la sustitución de la ICO por la Information Commission.

No es una desregulación. Las obligaciones de seguridad, minimización y transparencia siguen intactas. Una fuga de datos personales hacia una herramienta de IA de consumo puede seguir siendo una violación de datos según el UK GDPR.

La ICO y la IA: una doctrina ya amplia

La ICO publicó una guía detallada sobre IA y protección de datos, actualizada en 2023. Cubre responsabilidad, transparencia, exactitud, equidad y seguridad de los sistemas de IA. En 2026, la autoridad anunció su intención de elaborar un código de práctica oficial sobre IA y decisiones automatizadas, recursos para que pymes y organismos públicos evalúen herramientas de IA compradas listas para usar, y orientaciones sobre IA agéntica.

El principio no cambia: la organización que despliega una herramienta de IA sigue siendo responsable de los datos que introduce en ella.

El enfoque proinnovación frente al AI Act europeo

Londres eligió un camino distinto al de Bruselas. Desde el libro blanco de 2023 sobre una regulación de la IA favorable a la innovación, el Gobierno encarga a los reguladores existentes, como la ICO, la FCA, la CMA u Ofcom, aplicar principios comunes en su sector. En otoño de 2026, el Gobierno no ha presentado ningún proyecto de ley general sobre IA.

El AI Act europeo, en cambio, se aplica por fases desde febrero de 2025. Su alcance va más allá de la Unión: también afecta a los proveedores de fuera de la UE que comercializan un sistema en el mercado europeo, y a proveedores y responsables del despliegue de fuera de la UE cuando los resultados del sistema se usan en la Unión. Una empresa británica con clientes europeos puede estar afectada aunque no tenga filial en el continente.

Tres situaciones típicas para una empresa británica

1. Trata datos de personas en la UE. El RGPD de la UE puede aplicarse además del UK GDPR, sobre todo si les ofrece servicios.

2. Integra IA en un producto vendido en la UE. El AI Act puede considerarle proveedor, con obligaciones que dependen del nivel de riesgo.

3. Sus equipos usan asistentes de IA a diario. Es el caso más frecuente y más olvidado: datos de clientes, de RR. HH. o de contratos acaban cada día en prompts, sin ningún control.

Buena noticia para los flujos de datos: en diciembre de 2025 la Comisión Europea renovó sus decisiones de adecuación para Reino Unido hasta diciembre de 2031. Pero la adecuación no dice nada de lo que su plantilla envía a un servicio de IA alojado en otro lugar.

Un solo control para dos regímenes

Muchas empresas buscan un único control que funcione a ambos lados del canal de la Mancha. Ese es el papel de una DLP para IA como ZeusLock, instalada en el equipo o en el navegador:

• detecta datos personales y sensibles en prompts y archivos antes del envío;

• los sustituye por valores ficticios mediante la anonimización que preserva el formato, avisa al usuario o bloquea el envío según la regla elegida;

• registra cada incidente, lo que documenta las medidas técnicas apropiadas que exigen tanto el UK GDPR como el RGPD.

Para entender cómo se produce una fuga en la práctica, lea nuestra anatomía de una fuga de datos por IA. En el lado europeo, nuestra checklist del Reglamento de IA y el artículo 32 del RGPD detalla los controles esperados. Para cuantificar el riesgo, consulte el coste real de la IA en la sombra.

En resumen

Reino Unido flexibiliza algunos aspectos de su derecho de datos con la Data (Use and Access) Act 2025 y sigue sin una ley general de IA. Pero el UK GDPR sigue exigiendo seguridad y minimización, la autoridad prepara un código sobre IA y el AI Act europeo se aplica en cuanto sus sistemas tocan el mercado de la UE. Controlar los datos en origen, en el prompt, sigue siendo la forma más sencilla de cumplir con ambos regímenes.

¿Opera en Reino Unido y en la UE? Solicite una demo de ZeusLock para proteger sus datos en todas sus herramientas de IA.