TL;DR para el DPD
Tres cifras y una consecuencia. El 71 % de los DPD quiere el Reglamento de IA en su ámbito y el 55 % ya lo tiene; solo el 27 % declara conocer bien el texto y el 85 % nunca ha hecho formación en IA; el 85 % de los DPD internos ejerce a tiempo parcial. El Reglamento de IA no menciona al DPD en ningún punto: quien lo asume lo hace sin el mandato del artículo 38 del RGPD que protege su independencia.
Quiénes son los DPD en 2026
La encuesta es la quinta edición del Observatorio, en marcha desde 2018 gracias a la delegación general de empleo y formación profesional y a la CNIL, en colaboración con la AFCDP. La investigación de este año la ha realizado la Afpa y se publicó el 3 de julio de 2026.
- el 79 % de los DPD ejerce como DPD interno
- el 54 % procede de ámbitos distintos del jurídico y el informático
- el 85 % de los DPD internos y compartidos trabaja a tiempo parcial
- el 45 % tiene más de seis años de experiencia en protección de datos
- la presencia de hombres y mujeres en la función está equilibrada
Ese 85 % a tiempo parcial es el dato que conviene tener presente al leer todos los demás: se está apoyando un segundo reglamento sobre una función ejercida a tiempo parcial.
La IA ya está, la gobernanza no
Entre ellas, el 81 % recurre a sistemas de IA generativa y dos tercios compran la solución a proveedores externos, frente al 22 % que la desarrolla internamente. El uso crece con el tamaño de la organización. Pero la gobernanza va muy por detrás: menos de una cuarta parte tiene una estrategia o política formal sobre IA, menos de un tercio ha hecho sensibilización del personal o adoptado una carta de uso, y solo el 31 % ha empezado a prepararse para el Reglamento de IA.
El punto que nadie titula
Dos tercios compran la IA a proveedores externos. Significa que para la mayoría de las organizaciones el cumplimiento en materia de IA no se decide en casa: se decide leyendo el contrato y la documentación de un proveedor. Es exactamente el terreno del artículo 28 y de las instrucciones documentadas, no un terreno nuevo.
La brecha de 44 puntos
Aquí la encuesta se vuelve incómoda. El 55 % de los DPD declara tener ya el Reglamento de IA en su ámbito de responsabilidad y el 71 % quiere que la función se extienda formalmente a él. Pero solo el 27 % declara tener un buen nivel de conocimiento del texto, y el 85 % aún no ha seguido ninguna formación específica sobre IA. Más de la mitad dice participar a menudo o sistemáticamente en los proyectos de IA.
La CNIL lo escribe con sequedad: los DPD están equipados para evaluar los aspectos RGPD de la IA, pero a menudo carecen de herramientas y métodos para abordar los del Reglamento de IA. Y añade algo que vale más que todos los porcentajes: el Reglamento de IA no menciona al DPD, de modo que su papel no se impone en las cadenas de gobernanza interna.
Asumir un papel sin el mandato que lo protege
Aquí vale la pena detenerse. El DPD tiene un mandato escrito: el artículo 38 del RGPD le garantiza informar al más alto nivel, no recibir instrucciones sobre el ejercicio de sus funciones y no ser destituido por desempeñarlas. Ese mandato cubre las funciones del artículo 39, es decir el RGPD. No cubre el Reglamento de IA, que no cita al DPD.
Y hay un riesgo más
El artículo 38.6 prohíbe al DPD funciones que generen conflicto de intereses. Si el DPD se convierte en la persona que diseña y monta la gobernanza de la IA - elige los sistemas, escribe los procedimientos, clasifica los riesgos - después acaba controlando su propio trabajo. Es la misma razón por la que un DPD no debería ser el responsable de TI: el papel que construye no puede ser el papel que verifica.
Qué hacer ahora, en la práctica
1) Ponga por escrito, en una línea, si el Reglamento de IA está o no en su mandato: hacerlo de hecho sin que esté escrito es lo peor de los dos mundos. 2) Separe los dos sombreros: asesorar y supervisar el cumplimiento RGPD de los sistemas de IA son funciones suyas por ley; el cumplimiento del Reglamento de IA es un encargo adicional que debe conferirse, retribuirse y dejarse por escrito. 3) Si el cliente compra la IA a un proveedor - y dos de cada tres veces es así - el trabajo real es contractual: instrucciones documentadas, información del modelo, papel del proveedor. 4) Pida la formación por escrito: el artículo 38.2 obliga al responsable a facilitar los recursos necesarios, y con el 85 % de los colegas sin formación en IA está en muy buena compañía al pedirla. 5) Si trabaja a tiempo parcial como el 85 % de los DPD internos, cuantifique las horas adicionales antes de aceptar el ámbito ampliado, no después.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
