Observatorio IA Regulación 2026 · Informe 01
Datos recogidos y verificados el 10 de agosto de 2026.
La inteligencia artificial está cada vez más presente en la actividad empresarial. Sin embargo, ¿ha llegado ya ese lenguaje a las políticas de privacidad que las grandes compañías muestran públicamente?
Para comprobarlo, en IA Regulación hemos analizado una política o aviso principal de privacidad de cada una de las 35 compañías que forman el IBEX 35.
No hemos intentado determinar qué empresas “cumplen” o “incumplen” el RGPD o el AI Act.
La pregunta de este estudio es mucho más concreta y verificable:
¿Qué información sobre inteligencia artificial, algoritmos, elaboración de perfiles y decisiones automatizadas puede localizar una persona en la política de privacidad principal accesible desde la web corporativa de las compañías del IBEX 35?
La distinción es importante.
Que una expresión no aparezca en el documento analizado no significa que una empresa no utilice esa tecnología, ni que no informe sobre ella en otro documento, contrato, aplicación, política específica o momento de recogida de datos.
Este estudio mide exclusivamente información públicamente observable dentro de una unidad documental seleccionada mediante el mismo criterio para las 35 compañías.
Los resultados principales
| Elemento analizado | Compañías | Porcentaje |
|---|---|---|
| Mención explícita a inteligencia artificial | 0 de 35 | 0 % |
| Mención explícita a algoritmos | 0 de 35 | 0 % |
| Mención relevante a perfilado o perfiles | 12 de 35 | 34,3 % |
| Mención explícita a decisiones automatizadas | 10 de 35 | 28,6 % |
| Alguna referencia a perfilado o decisiones automatizadas | 14 de 35 | 40,0 % |
| Sin ninguna de estas dos referencias en la unidad analizada | 21 de 35 | 60,0 % |
El primer resultado resulta especialmente llamativo:
No se localizó una mención explícita a “inteligencia artificial” o “artificial intelligence” dentro del contenido de ninguna de las 35 unidades principales de privacidad analizadas.
Tampoco se localizó una referencia explícita a “algoritmo” o “algorithm” dentro del contenido analizado.
Sin embargo, eso cambia considerablemente cuando utilizamos el vocabulario tradicional de protección de datos.
14 de las 35 compañías —el 40 %— contienen alguna referencia relevante a elaboración de perfiles, perfiles individuales o decisiones automatizadas.
La diferencia proporciona una de las principales conclusiones de este estudio:
La automatización aparece en las políticas de privacidad del IBEX 35 principalmente mediante el vocabulario del RGPD —perfilado y decisiones automatizadas— y no mediante el lenguaje actual de “inteligencia artificial” o “algoritmos”.
Esto es coherente con la propia estructura normativa. El RGPD regula específicamente las decisiones individuales automatizadas y la elaboración de perfiles y, en determinados supuestos del artículo 22, sus artículos 13 y 14 contemplan informar de la existencia de esas decisiones y aportar información significativa sobre la lógica utilizada, así como su importancia y las consecuencias previstas.
0 de 35 menciones a IA: qué significa realmente
Es probablemente el dato con mayor capacidad para llamar la atención, pero también el que exige mayor cuidado al interpretarlo.
Lo que sí podemos afirmar
Durante el análisis:
No se localizó la expresión “inteligencia artificial” o “artificial intelligence” dentro del contenido de las 35 unidades principales de privacidad seleccionadas.
Lo que NO podemos afirmar
El resultado no permite concluir que:
- ninguna compañía del IBEX 35 utilice inteligencia artificial;
- ninguna trate datos personales mediante sistemas de IA;
- ninguna informe sobre IA en otros documentos;
- sus políticas sean incompletas;
- exista un incumplimiento del RGPD;
- exista un incumplimiento del AI Act.
De hecho, existen compañías de la propia muestra que publican documentos específicos sobre inteligencia artificial fuera de sus políticas de privacidad.
Iberdrola dispone de una política específica sobre el uso responsable de herramientas de inteligencia artificial y algoritmos, incluyendo principios relacionados con privacidad, transparencia, supervisión y derechos fundamentales.
Puig incluye entre sus políticas corporativas una Policy on the Responsible Use of Artificial Intelligence Systems.
Redeia publica su propio Modelo de Inteligencia Artificial Responsable, con supervisión humana, privacidad y derechos fundamentales entre sus principios.
Esto muestra algo relevante:
La gobernanza pública de la IA y la información de privacidad pueden estar evolucionando en documentos separados.
Por tanto, la ausencia de las palabras “inteligencia artificial” en una política de privacidad no equivale a ausencia de gobernanza de IA.
Perfilado: aparece en aproximadamente una de cada tres políticas
En 12 de las 35 unidades analizadas —34,3 %— se localizó una referencia relevante a elaboración de perfiles o a perfiles individuales construidos o utilizados a partir de datos personales.
Aplicamos un criterio restrictivo.
No contabilizamos como perfilado expresiones como:
- “perfil profesional”;
- “perfil en una red social”;
- “configuración del perfil del usuario”;
cuando el contexto no describía una actividad de elaboración o utilización de perfiles basada en datos.
Tampoco hemos asumido automáticamente que cualquier uso de la palabra “perfil” constituye jurídicamente profiling en el sentido del RGPD.
La variable mide:
menciones documentalmente relevantes a perfiles o elaboración de perfiles dentro del contexto del tratamiento de datos.
Decisiones automatizadas: aparecen expresamente en 10 de 35
La segunda categoría se codificó todavía de forma más estricta.
Solo consideramos positiva una política cuando aparecía una referencia inequívoca a:
- decisiones automatizadas;
- toma automatizada de decisiones;
- decisiones basadas en sistemas automatizados;
- o una formulación equivalente suficientemente clara.
No contabilizamos expresiones como:
“tratamiento automatizado de datos”
si únicamente describían que el tratamiento se realiza mediante medios informáticos.
Con esta regla:
10 de las 35 unidades analizadas —28,6 %— contienen una referencia explícita a decisiones automatizadas.
Pero esas diez referencias no significan lo mismo.
Y por eso decidimos no limitarnos a contar palabras.
Tres formas muy diferentes de hablar de automatización
Durante el análisis aparecieron tres patrones suficientemente claros como para crear una clasificación descriptiva.
No es un ranking.
No representa diferentes grados de cumplimiento.
Sirve únicamente para describir qué tipo de información encuentra el lector.
Nivel A — mención jurídica o estructural
6 de 35 compañías —17,1 %.
Aquí aparecen referencias principalmente como:
- un derecho del interesado;
- una referencia genérica a decisiones automatizadas;
- una indicación de que se informará cuando resulte aplicable;
- una mención estructural al uso de perfiles.
Por ejemplo:
derecho a no ser objeto de determinadas decisiones automatizadas.
Esto no nos permite concluir que la organización esté realizando realmente ese tratamiento.
Por ese motivo se mantuvo separado del siguiente grupo.
Nivel B — declaración negativa o limitativa
3 de 35 compañías —8,6 %.
Estas políticas aportan algo diferente:
explican expresamente que, dentro del ámbito del documento analizado, no se llevan a cabo determinadas decisiones automatizadas o perfiles, o limitan las circunstancias en las que podrían utilizarse.
Esta información resulta más específica que una simple reproducción del catálogo de derechos.
Pero tampoco la interpretamos como “mejor” o “peor”.
Una política puede tener poco que explicar precisamente porque el tratamiento al que se refiere no necesita ese tipo de automatización.
Nivel C — información operacional desarrollada
5 de 35 compañías —14,3 %.
Estas son las unidades en las que hemos encontrado una descripción suficientemente concreta de una práctica de perfilado o automatización.
Para asignar esta categoría exigimos algo más que utilizar la palabra “perfil”.
La política tenía que describir una práctica concreta y aportar elementos como:
- finalidad;
- datos o factores utilizados;
- consecuencias o efectos;
- limitaciones de la automatización.
Los cinco casos codificados dentro de esta categoría fueron:
- Grifols;
- Endesa;
- Redeia;
- Repsol;
- Aena.
Esto no significa que sean las cinco empresas con “mejor cumplimiento”.
Significa exclusivamente que, aplicando nuestras reglas, su unidad principal contenía más información operacional sobre las variables estudiadas.
Algunos ejemplos de cómo cambia la información
Grifols explica en su aviso corporativo la creación de perfiles utilizando preferencias, intereses, información procedente de terceros y comportamiento, con la finalidad de adaptar comunicaciones, y señala que no se adoptarán decisiones automatizadas basadas en esos perfiles.
En el caso de Repsol, la política global desarrolla diferentes usos de perfiles, incluyendo aspectos relacionados con capacidad crediticia, condiciones y ofertas. Es un buen ejemplo de por qué una política puede contener mucha información sobre automatización sin necesitar utilizar expresamente la palabra “inteligencia artificial”.
Aena dispone de información que, en determinados tratamientos, relaciona expresamente elaboración de perfiles y decisiones automatizadas, además de explicar derechos asociados.
El objetivo de estos ejemplos no es comparar empresas entre sí.
Sirven para mostrar que bajo expresiones aparentemente similares pueden encontrarse niveles de información muy diferentes.
La distribución completa
Aplicando los cuatro niveles descriptivos a las 35 unidades:
| Tipo de información localizada | Compañías | % |
|---|---|---|
| Sin referencia relevante | 21 | 60,0 % |
| A — mención jurídica/estructural | 6 | 17,1 % |
| B — declaración negativa/limitativa | 3 | 8,6 % |
| C — información operacional desarrollada | 5 | 14,3 % |
Esta distribución debe interpretarse con especial prudencia.
“Sin referencia relevante” no significa “sin transparencia”.
Solo significa:
En la unidad concreta analizada no hemos localizado una referencia que cumpla nuestros criterios de perfilado o decisiones automatizadas.
Por qué no hemos creado un ranking de empresas
Habría resultado sencillo convertir las variables en puntos y publicar:
Las empresas más transparentes del IBEX 35.
Decidimos expresamente no hacerlo.
Existe un problema metodológico importante.
Una compañía que no realiza determinados tratamientos podría necesitar explicar mucho menos que otra que utiliza ampliamente el perfilado.
Por tanto:
más palabras sobre automatización no equivalen automáticamente a mayor cumplimiento ni a mayor transparencia jurídica.
También existe otro problema.
Las políticas de privacidad corporativas no tienen exactamente el mismo alcance.
Algunas se centran principalmente en:
- visitantes de la web;
mientras que otras incorporan:
- clientes;
- accionistas;
- aplicaciones;
- servicios;
- comunicaciones comerciales;
- diferentes tratamientos del grupo.
Comparar la cantidad de información como si todas describiesen exactamente la misma actividad habría producido un ranking engañoso.
Por eso nuestro estudio analiza presencia y tipo de información, no calidad jurídica global.
La política general no siempre cuenta toda la historia
Este fue uno de los principales aprendizajes durante la fase piloto.
En algunas compañías encontramos una política corporativa principal muy general y, posteriormente, documentos específicos de clientes o productos considerablemente más detallados.
Si hubiéramos permitido buscar por toda la web hasta encontrar la política con más información, las empresas con más documentos habrían tenido más oportunidades de obtener un resultado positivo.
Para evitarlo fijamos esta regla:
Los porcentajes principales se calculan únicamente sobre una unidad documental seleccionada mediante el mismo criterio: la política o aviso principal de privacidad accesible desde la web corporativa de la compañía.
Los avisos adicionales se registraron como información complementaria, pero no modificaron la clasificación principal.
Esta decisión hace que los resultados sean más conservadores, pero también más reproducibles.
IA y decisiones automatizadas no son sinónimos
Otro motivo por el que no buscamos únicamente “inteligencia artificial” es jurídico y conceptual.
Puede existir:
- perfilado sin IA;
- una decisión automatizada sin IA;
- IA sin decisión automatizada;
- IA como una herramienta dentro de un tratamiento mucho más amplio.
La AEPD diferencia expresamente la transparencia derivada del Reglamento de IA —relacionada con sistemas de IA— de la transparencia del RGPD, que se refiere a tratamientos de datos personales. Un sistema de IA puede ser solo uno de los elementos tecnológicos utilizados dentro de un tratamiento.
Por eso las cuatro variables principales se analizaron por separado:
IA → algoritmos → perfilado → decisiones automatizadas.
Y precisamente esa separación es la que ha producido uno de los resultados más interesantes:
El lenguaje explícito de IA no aparece en las unidades analizadas, pero el lenguaje jurídico de automatización sí aparece en cuatro de cada diez.
Qué exige el RGPD sobre decisiones automatizadas
Este estudio no pretende realizar una auditoría jurídica de los artículos 13, 14 o 22.
Sin embargo, esas normas explican por qué hemos seleccionado determinadas variables.
El artículo 22 del RGPD regula determinadas decisiones basadas únicamente en tratamientos automatizados —incluida la elaboración de perfiles— cuando producen efectos jurídicos o afectan significativamente de modo similar a una persona.
En los casos contemplados por el Reglamento, los artículos 13 y 14 incluyen entre la información relevante:
- existencia de decisiones automatizadas;
- incluida la elaboración de perfiles;
- información significativa sobre la lógica utilizada;
- importancia;
- consecuencias previstas.
No hemos convertido cada uno de esos elementos en un test de legalidad.
Los hemos utilizado simplemente como categorías documentales de observación.
Qué entendimos por «información significativa sobre la lógica»
Esta fue otra variable que exigía una regla previa.
No consideramos suficiente una frase como:
“Utilizamos algoritmos avanzados”.
Tampoco exigimos:
- código fuente;
- fórmula matemática;
- detalles técnicos completos.
Como referencia interpretativa utilizamos la sentencia del Tribunal de Justicia de la Unión Europea de 27 de febrero de 2025 en el asunto C-203/22, Dun & Bradstreet Austria.
En aquel asunto, relativo al derecho de acceso del artículo 15 del RGPD, el Tribunal consideró que la información significativa sobre la lógica debe permitir que la persona comprenda, mediante una explicación accesible, el procedimiento y los principios realmente utilizados para obtener un resultado automatizado.
Usamos este criterio exclusivamente para distinguir:
una referencia vaga
de:
una explicación que aporta realmente información sobre factores o funcionamiento.
No utilizamos la sentencia para declarar que ninguna de las políticas analizadas cumple o incumple los artículos 13 o 14.
Metodología
1. Universo analizado
El universo está compuesto por las 35 compañías integrantes del IBEX 35.
No hemos seleccionado una muestra de empresas.
Hemos analizado las 35.
La revisión del índice correspondiente al 22 de junio de 2026 no produjo inclusiones ni exclusiones, por lo que se utilizó esa composición para fijar el universo del estudio.
Por ello, nuestros porcentajes se refieren exclusivamente a:
las 35 compañías del IBEX 35 analizadas.
No pueden extrapolarse al conjunto de empresas españolas.
2. Fecha de observación
Las políticas se analizaron en su versión accesible el:
10 de agosto de 2026.
Las políticas de privacidad son documentos vivos.
Una modificación posterior puede hacer que una nueva revisión produzca resultados diferentes.
3. Unidad de análisis
Se seleccionó:
una política o aviso principal de privacidad accesible desde la web corporativa principal de cada compañía.
No se añadieron al resultado principal avisos específicos de:
- clientes;
- candidatos;
- productos;
- aplicaciones;
- promociones;
- newsletters;
- servicios concretos.
Cuando aparecieron, pudieron utilizarse para comprender el contexto o registrar su existencia, pero no cambiaron los porcentajes principales.
4. Proceso de búsqueda
Cada documento se sometió a búsquedas relacionadas con estas familias conceptuales:
Inteligencia artificial
- inteligencia artificial
- artificial intelligence
Algoritmos
- algoritmo
- algoritmos
- algorithm
Automatización
- automatizado
- automatizada
- automatización
- automated
- automatic
Perfilado
- perfil
- perfiles
- profiling
Decisiones
- decisión automatizada
- decisiones automatizadas
- toma de decisiones
- automated decision
Explicación
- lógica
- criterios
- logic
- criteria
Consecuencias
- consecuencias
- significado
- significance
- consequences
Garantías
- intervención humana
- revisión humana
- impugnar
- human intervention
- contest
- challenge
5. Una palabra no bastaba para obtener un positivo
Todas las coincidencias utilizadas para codificar una variable se revisaron en su contexto.
Por ejemplo:
“perfil profesional”
no se consideró elaboración de perfiles.
“perfil de una red social”
tampoco.
“tratamiento automatizado”
no se consideró automáticamente una decisión automatizada.
“inteligencia artificial” dentro del menú de navegación de la empresa
no se contabilizó como contenido de la política de privacidad.
La finalidad era reducir falsos positivos.
6. Los negativos recibieron una segunda comprobación
Un “no localizado” es metodológicamente más difícil que un positivo.
Para reducir falsos negativos se realizaron:
- búsqueda inicial de las familias de términos;
- búsqueda mediante variantes;
- comprobación contextual de apartados relacionados con finalidades, derechos, perfilado y transparencia.
Solo entonces se registró:
No localizado en la unidad analizada.
7. Herramientas automatizadas y revisión humana
Se utilizaron herramientas de búsqueda y análisis para localizar posibles fragmentos relevantes.
Sin embargo:
ninguna aparición se convirtió automáticamente en un dato positivo.
Las coincidencias que sustentan la codificación fueron revisadas en contexto.
También se realizaron comprobaciones adicionales en los casos donde una página presentó dificultades técnicas de acceso.
La automatización se utilizó como mecanismo de localización, no como sustituto de la interpretación documental.
8. Sistema de codificación
La clasificación final utilizada fue:
NONE — sin referencia relevante
No se localiza una referencia que cumpla los criterios de perfilado o decisiones automatizadas.
A — mención jurídica o estructural
Aparece como:
- derecho genérico;
- referencia condicional;
- estructura informativa;
sin describir una práctica concreta.
B — declaración negativa o limitativa
El documento declara que:
- no realiza determinada práctica;
- o limita las circunstancias o efectos del perfilado/automatización.
C — información operacional desarrollada
Existe una práctica suficientemente identificable y el documento proporciona además información sobre elementos como:
- finalidad;
- datos o factores;
- consecuencias.
9. Control metodológico introducido durante el piloto
La fase inicial reveló que las políticas tenían alcances muy diferentes.
Antes de calcular los resultados definitivos se decidió:
- utilizar estrictamente una unidad principal por compañía;
- excluir las políticas adicionales de los porcentajes principales;
- mantener determinadas variables secundarias como información cualitativa en lugar de convertirlas en indicadores comparativos.
El cambio se documentó antes del cierre del dataset.
La decisión evita adaptar la metodología después de conocer qué empresas obtienen más o menos referencias.
Limitaciones del estudio
1. No analiza todo el ecosistema documental de cada empresa
Una compañía puede tener información mucho más detallada en otros documentos.
2. No determina si una compañía utiliza IA
Solo analiza qué aparece en el documento seleccionado.
3. No determina cumplimiento
No es una auditoría del RGPD ni del AI Act.
4. Las políticas tienen diferentes alcances
Por tanto, los resultados deben leerse como indicadores de visibilidad documental, no como comparación jurídica directa.
5. Es una fotografía temporal
Describe los documentos accesibles el 10 de agosto de 2026.
6. Algunas páginas plantearon restricciones técnicas
En los pocos casos afectados se realizaron búsquedas adicionales y la incidencia quedó registrada individualmente en el dataset.
7. El lenguaje jurídico y el tecnológico son diferentes
No localizar la expresión “inteligencia artificial” no significa que no exista automatización.
Los datos del estudio son públicos
Para facilitar la revisión y reproducción del análisis, IA Regulación publica junto al informe:
DESCARGAR DATASET COMPLETO EN EXCEL
Incluye:
- las 35 compañías;
- documento analizado;
- URL original;
- fecha;
- 18 variables;
- nivel descriptivo;
- evidencia resumida;
- incidencias;
- código de variables;
- metodología completa.
También se publica una versión abierta:
DESCARGAR DATOS EN CSV
De esta forma, cualquier persona puede:
- revisar la clasificación;
- consultar la fuente;
- repetir la búsqueda;
- proponer una corrección;
- comparar futuras ediciones.
Cinco conclusiones del estudio
1. El lenguaje de IA todavía no aparece en las políticas principales analizadas
0 de 35 unidades principales contenían una mención explícita localizada a inteligencia artificial.
Eso contrasta con la creciente presencia pública de políticas y modelos corporativos específicos de IA en algunas de las propias compañías estudiadas.
2. El lenguaje del RGPD sí está presente
El 40 % de las políticas contiene alguna referencia relevante a perfilado/perfiles o decisiones automatizadas.
Esto sugiere una separación entre:
lenguaje tecnológico actual
y:
categorías jurídicas históricas de protección de datos.
3. Encontrar una referencia no significa encontrar una explicación
Solo 5 de 35 —14,3 %— alcanzaron nuestra categoría descriptiva de “información operacional desarrollada”.
La mayoría de las referencias encontradas adoptaban otras formas:
- derechos;
- cláusulas condicionales;
- declaraciones negativas;
- menciones estructurales.
4. Una política general no representa necesariamente toda la transparencia de una empresa
Durante la investigación comprobamos que determinadas compañías disponen de avisos específicos considerablemente más detallados que su unidad corporativa principal.
Por eso el estudio no pretende medir:
“todo lo que una empresa informa”.
Mide algo más concreto:
qué encuentra el usuario en una unidad principal elegida mediante una regla uniforme.
5. Privacidad e IA parecen estar desarrollándose en capas documentales diferentes
Algunas compañías publican marcos específicos de IA responsable mientras sus políticas principales de privacidad continúan utilizando predominantemente las categorías tradicionales del RGPD.
Esta separación puede convertirse en una línea especialmente interesante para futuras ediciones del Observatorio.
Próxima edición
Este estudio nace como primera edición del:
Observatorio IA Regulación
La metodología permite repetir exactamente la investigación en el futuro.
Una segunda medición permitirá comprobar:
- si aumenta la presencia explícita del término IA;
- si aparecen referencias a algoritmos;
- si cambia el nivel de detalle;
- si las políticas corporativas integran progresivamente la gobernanza de IA;
- y qué diferencias existen respecto a agosto de 2026.
Eso permitirá pasar de una fotografía puntual a una serie temporal.
Conclusión
La principal conclusión de este primer estudio no es que las compañías del IBEX 35 “no hablen de automatización”.
De hecho, cuatro de cada diez unidades analizadas contienen alguna referencia relevante a perfilado o decisiones automatizadas.
El dato interesante aparece al comparar vocabularios.
Mientras palabras como:
perfilado
y:
decisiones automatizadas
sí han llegado a una parte relevante de las políticas de privacidad, términos que actualmente dominan el debate tecnológico como:
inteligencia artificial
y:
algoritmos
no se localizaron expresamente en ninguna de las 35 unidades principales analizadas.
La explicación no tiene por qué ser una falta de transparencia.
Puede reflejar, entre otras cosas:
- la estructura del RGPD;
- la separación entre políticas de privacidad y políticas de IA;
- el alcance concreto de cada aviso;
- o la forma en que las organizaciones distribuyen la información entre diferentes documentos.
Precisamente por eso este estudio no pretende convertir la ausencia de una palabra en una conclusión jurídica.
Su objetivo es más sencillo y reproducible:
observar cómo está evolucionando el lenguaje público de privacidad empresarial en un momento en el que la inteligencia artificial empieza a adquirir su propio marco regulatorio y de gobernanza.
Y repetir la medición permitirá comprobar si esa separación continúa existiendo o empieza a desaparecer.
Sobre el estudio
Este informe forma parte del Observatorio IA Regulación, una iniciativa independiente destinada a analizar de forma práctica y reproducible cómo se refleja la regulación y gobernanza de la inteligencia artificial en información públicamente accesible.
La metodología, variables y datos utilizados se publican junto al informe para facilitar su revisión.
Aviso metodológico y jurídico: Los resultados describen exclusivamente el contenido localizado en los documentos analizados durante el periodo de observación. No constituyen una auditoría jurídica ni permiten concluir que una entidad cumpla o incumpla el RGPD, el AI Act u otra normativa, ni que utilice o deje de utilizar determinadas tecnologías.