El marco normativo aplicable a las empresas ha sufrido en 2024 mutaciones estructurales en tres frentes simultáneos: gobernanza de la inteligencia artificial, transparencia fiscal de los grandes grupos y articulación entre el reglamento europeo sobre la IA y el RGPD. Volvemos sobre los puntos técnicos que modifican concretamente las obligaciones de las direcciones jurídicas y financieras.
Articulación entre el reglamento europeo sobre la IA y el RGPD: una doble conformidad a organizar
El reglamento (UE) 2024/1689 sobre la inteligencia artificial no sustituye al RGPD. Los dos marcos deben aplicarse conjuntamente, lo que impone a las empresas mantener dos matrices de análisis distintas para un mismo tratamiento algorítmico.
Concretamente, un sistema de IA clasificado como de alto riesgo según el reglamento europeo sigue estando sujeto a los requisitos de licitud, minimización y seguridad del RGPD. La gobernanza interna debe, por tanto, prever un mapeo cruzado: cada caso de uso algorítmico debe ser objeto de una evaluación bajo el reglamento de IA (nivel de riesgo, obligaciones de documentación, control humano) y de un análisis bajo el RGPD (base legal, duración de conservación, derechos de las personas afectadas).
Para las empresas que desean consultar la sección jurídica de Développement Entreprise, esta doble exigencia es uno de los temas a seguir de cerca a lo largo del año.
La dificultad radica en las zonas de superposición. Una auditoría de conformidad de IA que descuide el aspecto de datos personales expone a la empresa a sanciones en ambos frentes. Recomendamos designar un referente único encargado de la coherencia entre los dos cuerpos normativos, en lugar de compartimentar las funciones de cumplimiento y protección de datos.
Enfoque de la CNIL sobre la IA generativa: obligaciones prácticas desde julio de 2024
La CNIL publicó el 18 de julio de 2024 sus preguntas y respuestas sobre el uso de la IA generativa en las empresas. Este documento va más allá del recordatorio de principios generales y entra en el detalle operativo.
Tres obligaciones concretas surgen de este enfoque:
- Definir formalmente los usos autorizados y los usos prohibidos de la IA generativa dentro de la organización, mediante una política interna documentada y oponible a los colaboradores.
- Elegir el modo de despliegue (API, solución alojada, modelo local) en función del nivel de sensibilidad de los datos tratados, en particular los datos de clientes, recursos humanos o contractuales.
- Evaluar la necesidad de un análisis de impacto relativo a la protección de datos (AIPD) antes de cualquier despliegue que implique datos personales a gran escala.
El punto más subestimado se refiere a la gestión de los prompts que contienen datos sensibles. Un empleado que somete un contrato de cliente a un modelo alojado fuera de la UE podría desencadenar potencialmente una transferencia de datos fuera del marco. La política interna debe anticipar este escenario y prever salvaguardias técnicas (filtrado de entradas, registro).
Informe fiscal país por país: umbral y calendario de aplicación
Desde el 22 de junio de 2024, los grupos cuyo ingreso consolidado alcanza 750 millones de euros están sujetos a la obligación de publicar un informe fiscal país por país (CbCR público). Esta transposición al derecho francés modifica la situación para las direcciones jurídicas y fiscales implicadas.
El CbCR público no se confunde con las declaraciones fiscales existentes. Impone una publicación accesible al público en general, que contenga la distribución de beneficios, impuestos pagados y personal por jurisdicción. El alcance reputacional de esta obligación supera el ámbito fiscal clásico.
Para los grupos cercanos al umbral, la cuestión de la consolidación de ingresos en varios ejercicios merece una atención particular. Un cruce puntual del umbral puede desencadenar la obligación sin posibilidad de regularización a posteriori. Por lo tanto, la dirección jurídica debe integrar un seguimiento previsional de los ingresos consolidados en sus cuadros de mando.
Puntos de vigilancia sobre el perímetro
Las filiales ubicadas en jurisdicciones no cooperativas según la UE reciben una atención reforzada en el informe. La ausencia de actividad sustancial en un país mencionado puede generar preguntas por parte de inversores u ONG, incluso si se respeta la conformidad formal.
Simplificación del derecho de sociedades: lo que los textos cambian en la práctica
La iniciativa de simplificación normativa emprendida por el Ministerio de Justicia afecta directamente al derecho de sociedades. Los proyectos de “derecho claro” buscan la revisión o derogación de textos obsoletos, con un objetivo declarado: reducir la carga administrativa sin debilitar la seguridad jurídica.
Entre las evoluciones concretas, la desmaterialización de los títulos financieros y la creación de una ventanilla única para los trámites de creación de empresas modifican los procesos internos. Las direcciones jurídicas que aún gestionaban registros en papel o procedimientos de múltiples ventanillas deben adaptar sus herramientas.
El grupo de trabajo sobre la simplificación del derecho de las empresas en dificultades, compuesto por once expertos, trabaja para hacer los procedimientos colectivos más legibles. Para las pymes y ETI, la clarificación de los umbrales de activación de los procedimientos de prevención (mandato ad hoc, conciliación) podría modificar el calendario de intervención de los asesores jurídicos.
Trámites y registro único de empresas
El paso al registro único concentra los trámites declarativos que anteriormente estaban repartidos entre varios organismos. Este cambio reduce los plazos pero impone un dominio técnico del nuevo portal, cuyos fallos iniciales han sido documentados por los registros de los tribunales de comercio.
El año 2024 ha sentado, por tanto, hitos normativos cuyos efectos se desplegarán en varios ejercicios. La conformidad simultánea con el reglamento europeo sobre la IA, el RGPD, las nuevas reglas de transparencia fiscal y las reformas del derecho de sociedades exige una coordinación transversal entre las funciones jurídica, fiscal y de TI. Las empresas que aún compartimentan estos temas se exponen a ángulos muertos regulatorios difíciles de recuperar una vez iniciados los controles.
