L’ampliació del rol del DPD respecte de l’AI Act
La Commission nationale de l’informatique et des libertés (CNIL), autoritat de protecció de dades francesa, ha dut a terme una enquesta l’any 2025 sobre el rol del delegat de protecció de dades (DPD) i les seves funcions en relació amb el Reglament (UE) 2024/1689 del Parlament Europeu i del Consell, de 13 de juny de 2024, pel qual s’estableixen normes harmonitzades en matèria d’intel·ligència artificial (AI Act).
Des de l’aplicació del RGPD, el DPD ha anat assumint cada vegada més funcions dins de les entitats pel que fa al compliment normatiu en matèria de protecció de dades. L’enquesta realitzada per l’autoritat confirma que, en gran mesura, els DPD (79 %) treballen de manera interna a les entitats; el 54 % no tenen una relació directa amb el dret o els sistemes d’informació; gairebé el 85 % desenvolupen les seves tasques com a DPD de manera parcial; i només el 45 % tenen 6 anys d’experiència o més en l’àmbit de la protecció de dades.
Aquestes dades ens confirmen que els perfils dels DPD continuen sent molt diversos i variats en funció de les característiques de cada entitat des de la qual operen.
La IA continua desenvolupant-se i esdevé una eina cada vegada més indispensable, ja sigui amb un grau més gran o més petit d’aplicació operativa, dins de les empreses i organitzacions de diferents sectors. Això queda reflectit en el fet que el 70 % de les empreses que han aplicat IA escullen, en un 81 % dels casos, la IA generativa com a model predilecte i, d’aquestes, dues terceres parts adquireixen solucions d’IA externes i un 22 % les desenvolupen de manera interna.
Aquests resultats evidencien que la intel·ligència artificial està adquirint un paper cada vegada més rellevant i estable en les organitzacions, que identifiquen en la seva adopció una oportunitat per incrementar l’eficiència i optimitzar el desenvolupament dels seus processos interns.
Tot i això, és palpable la manca d’aplicació de mecanismes de governança d’aquests sistemes abans o després de la seva implementació. Menys d’una quarta part de les organitzacions disposen d’una estratègia o política formal sobre aquesta qüestió; menys d’un terç ha implementat campanyes de conscienciació dels empleats o ha adoptat un codi de pràctiques en matèria d’IA; i només el 31 % ha començat a preparar-se per a l’entrada en vigor de la regulació sobre IA.
Dit això, en gran part d’aquests sistemes d’IA es tracten dades personals de clients, treballadors, proveïdors, entre d’altres. Aquest fet provoca que, de manera automàtica, una gran part dels DPD de les organitzacions participin en totes aquelles qüestions relacionades amb la intel·ligència artificial de les entitats, sense que l’AI Act estableixi expressament cap obligació en aquest sentit per a aquesta figura.
Tal com expressa l’estudi de la CNIL, el 55 % dels DPD afirma que l’AI Act ja es troba sota la seva responsabilitat i el 71 % desitjaria ampliar l’abast de la seva funció per incloure-hi el compliment de l’AI Act. Tanmateix, els DPD encara tenen un coneixement limitat de l’AI Act: només el 27 % dels DPD declaren tenir un bon nivell de coneixement del text, i el 85 % encara no han rebut formació específica en IA.
En definitiva, la incorporació progressiva de sistemes d’intel·ligència artificial a les organitzacions planteja un escenari en què la protecció de dades personals i la governança de la IA estan cada vegada més interrelacionades. Tot i que l’AI Act no atribueix expressament al DPD la responsabilitat de supervisar-ne el compliment, resulta difícil desvincular ambdues funcions quan els sistemes d’IA impliquen tractaments de dades personals subjectes al RGPD. En aquests supòsits, l’experiència del DPD en àmbits com ara l’avaluació de riscos, l’aplicació del principi de responsabilitat proactiva, la protecció de dades des del disseny i per defecte o la realització d’avaluacions d’impacte pot constituir un element especialment rellevant dins del model de governança de la IA de l’organització.
No obstant això, aquesta proximitat entre ambdós marcs regulatoris no hauria de conduir a una extensió automàtica i indiscriminada de les responsabilitats del DPD. L’eventual participació d’aquesta figura en matèria d’intel·ligència artificial s’haurà d’articular respectant-ne la posició, la independència i les funcions pròpies d’acord amb el RGPD, evitant atribuir-li obligacions per a les quals no disposi dels coneixements especialitzats, els recursos o la capacitat suficients. Les dades exposades per la CNIL són particularment significatives en aquest sentit, ja que evidencien una clara voluntat dels professionals d’assumir un protagonisme més gran en el compliment de l’AI Act, però també una necessitat important de formació i especialització prèvies.
Per això, el veritable repte per a les organitzacions no consisteix únicament a determinar si el DPD ha d’assumir competències relacionades amb l’AI Act, sinó a establir estructures internes de governança capaces de coordinar adequadament les diferents àrees jurídiques, tècniques i organitzatives implicades. La creixent convergència entre ambdues normatives converteix el DPD en un perfil especialment valuós per participar en aquest procés, però exigeix, al mateix temps, delimitar clarament les seves responsabilitats i dotar-lo dels coneixements i recursos necessaris. En aquest nou context regulatori, anticipar-se mitjançant polítiques internes, formació especialitzada i mecanismes adequats de governança serà determinant per garantir que l’adopció de sistemes d’intel·ligència artificial es dugui a terme de manera responsable i de conformitat tant amb les exigències de l’AI Act com amb les garanties establertes pel Reglament General de Protecció de Dades.