Respuesta corta: antes de usar IA con datos de clientes o empleados, revisa el RGPD (base legal, minimización, proveedores, transferencias) y el Reglamento europeo de IA (transparencia, formación del personal y obligaciones según el nivel de riesgo). Este artículo es orientativo y no sustituye el asesoramiento legal.
Dos marcos que conviene distinguir
- RGPD (y la normativa nacional de protección de datos): se aplica siempre que haya datos personales.
- Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act): establece obligaciones según el tipo de sistema y su nivel de riesgo. Su aplicación es gradual; confirma el calendario vigente en las fuentes oficiales.
Checklist de protección de datos
- Base legal y finalidad: para qué se tratan los datos y con qué fundamento.
- Información a las personas: política de privacidad actualizada, con el uso de IA descrito.
- Minimización: no envíes a la IA más datos de los necesarios; anonimiza cuando sea posible.
- Proveedores: contrato de encargado de tratamiento, ubicación del tratamiento y subencargados.
- Transferencias internacionales: garantías si los datos salen del Espacio Económico Europeo.
- Evaluación de impacto: valora si procede cuando el tratamiento pueda suponer un riesgo alto.
- Conservación y seguridad: plazos, accesos y registros.
- Decisiones automatizadas: si afectan significativamente a una persona, revisa los derechos y garantías aplicables.
Qué aporta el Reglamento de IA a una empresa usuaria
- Prácticas prohibidas: el Reglamento prohíbe ciertos usos considerados inaceptables; comprueba que no estás cerca de ninguno.
- Formación en IA: las organizaciones que usan IA deben procurar un nivel suficiente de conocimiento en su personal.
- Transparencia: informar cuando una persona interactúa con un sistema de IA o cuando se genera contenido sintético, en los supuestos previstos.
- Sistemas de alto riesgo: áreas como empleo, educación o servicios esenciales conllevan obligaciones adicionales (gestión de riesgos, supervisión humana, registros).
Buenas prácticas internas
- Un inventario de herramientas y casos de uso de IA en la empresa.
- Una política de uso aceptable para el equipo (qué datos pueden y no pueden introducirse).
- Supervisión humana en decisiones con impacto sobre personas.
- Registro de entradas y salidas en procesos sensibles.
- Revisión periódica de proveedores y condiciones.
Errores frecuentes
- Pegar datos de clientes en herramientas públicas sin contrato ni garantías.
- No actualizar la política de privacidad.
- Olvidar a los empleados: la IA para selección o evaluación tiene reglas más estrictas.
- Pensar que «lo hace el proveedor» y no revisar nada.
Preguntas frecuentes
¿Puedo usar ChatGPT o similares con datos de clientes?
Solo con una base legal, información adecuada, contrato apropiado con el proveedor y medidas de seguridad. Si no puedes garantizarlo, no introduzcas datos personales.
¿Tengo que decir que uso IA?
En muchos casos sí: la transparencia es un principio del RGPD y el Reglamento de IA prevé obligaciones de información en determinados supuestos.
¿Quién me puede asesorar?
Un asesor legal o delegado de protección de datos con experiencia en IA. Nosotros diseñamos las soluciones teniendo en cuenta estos requisitos, pero no ofrecemos asesoramiento jurídico.
Si vas a implantar IA y quieres hacerlo con criterio, mira la agencia de IA aplicada o contacta con nosotros.
