IA y RGPD: qué puedes y qué no hacer con los datos de tus clientes
Ni «la IA es ilegal» ni «como es IA, no aplica». La realidad es más aburrida y más manejable: se aplican las reglas de siempre, con tres o cuatro matices que conviene conocer antes de empezar.
La idea central: usar IA con datos personales no es distinto de usar cualquier otro proveedor de software. Necesitas una base legal para tratarlos, un contrato con quien los procesa por ti, y transparencia con la persona afectada. Lo que cambia con la IA es la facilidad con la que se cruzan estas líneas sin darse cuenta.
1 · Tu proveedor de IA es un «encargado del tratamiento»
Si mandas datos de tus clientes a una herramienta de IA, esa empresa los está tratando por cuenta tuya. Eso exige un contrato de encargado del tratamiento (DPA). Las versiones de empresa de los grandes proveedores lo ofrecen; las cuentas personales gratuitas, normalmente no.
En la práctica: usa cuentas de empresa y guarda el DPA firmado. Es el papel que te pedirán si algún día hay una inspección o un cliente pregunta.
2 · Que no entrenen sus modelos con lo tuyo
Es la diferencia más importante entre planes. En las versiones de empresa, los datos que introduces no se usan para entrenar el modelo. En las gratuitas, a menudo sí, salvo que lo desactives.
En la práctica: compruébalo por escrito antes de meter nada. Es una casilla, pero cambia el escenario legal por completo.
3 · Minimiza: el dato que no envías no da problemas
El RGPD exige tratar solo los datos necesarios. Con IA esto es además una buena práctica técnica: casi ningún caso requiere el nombre completo o el DNI para que el sistema haga su trabajo. Un asistente puede recomendar el producto adecuado sin saber cómo se llama la persona.
En la práctica: anonimiza o seudonimiza siempre que puedas. Es gratis y elimina la mayor parte del riesgo.
4 · Dónde se procesan los datos
Las transferencias fuera del Espacio Económico Europeo necesitan garantías adecuadas. Los grandes proveedores las ofrecen mediante cláusulas contractuales tipo, y varios permiten ya procesar en la UE.
En la práctica: si tu sector es sensible, elige procesamiento europeo. Y si quieres eliminar el asunto de raíz, existe la opción de que el sistema corra en tu propia oficina, con lo que los datos no salen de tu red.
5 · Cuidado con las decisiones automatizadas
El RGPD da derecho a no ser objeto de decisiones exclusivamente automatizadas que produzcan efectos jurídicos o significativos —conceder un crédito, rechazar una candidatura, denegar un servicio—.
En la práctica: mantén a una persona en el circuito para cualquier decisión que afecte de verdad a alguien. Esta es, además, la razón por la que no conviene automatizar el criterio: coincide lo legal con lo sensato.
6 · Cuéntalo en tu política de privacidad
Si usas IA para tratar datos de clientes, debe reflejarse: qué haces, con qué finalidad y con qué proveedores. No hace falta un tratado; hace falta que sea cierto y comprensible.
Checklist antes de arrancar un proyecto
- ¿Tengo base legal para este tratamiento?
- ¿Tengo DPA firmado con el proveedor de IA?
- ¿Está confirmado por escrito que no entrenan con mis datos?
- ¿Estoy enviando el mínimo de datos posible?
- ¿Sé dónde se procesan?
- ¿Hay una persona validando las decisiones que importan?
- ¿Está reflejado en mi política de privacidad?
- ¿Mi equipo sabe qué no debe introducir nunca? (aquí lo desarrollamos)
El malentendido más caro
Muchas empresas creen que el riesgo está en «la IA» y por eso la prohíben, mientras siguen mandando hojas de cálculo con datos personales por correo sin cifrar. El riesgo casi nunca está en la tecnología: está en el hábito. Ordenar el hábito es lo que de verdad te protege.
Sigue leyendo
Si prefieres que lo miremos con tus números en vez de leer más: el radar de operación (390 €, se descuenta si contratas) te dice por escrito qué compensa automatizar en tu caso. Y si aún es pronto para eso, el análisis gratuito tarda 30 segundos y no pide correo.
Cuéntanos tu caso