IA y RGPD: lo que de verdad hay que decidir antes de automatizar
El RGPD no impide automatizar. Impide automatizar sin haber tomado antes cuatro decisiones, y esas se toman al diseñar el sistema, no cuando ya está funcionando.
En cuanto propongo automatizar la entrada de consultas en una clínica o en un despacho, la primera pregunta es siempre la misma: dónde acaban los datos de los clientes y quién puede verlos.
Es la pregunta correcta, y me parece buena señal que se haga antes que ninguna otra.
La respuesta corta es que el RGPD no impide automatizar. Lo que impide es automatizar sin haber decidido antes cuatro cosas. Y esas cuatro decisiones se toman al diseñar el sistema, no cuando ya está funcionando.
Qué datos se recogen
Sólo los necesarios para el proceso. Si un formulario de solicitud de cita pide la fecha de nacimiento porque el formulario venía así de fábrica, eso es un dato que estás guardando sin base para hacerlo.
Es la decisión más fácil de tomar y la que más se salta, porque no cuesta nada añadir un campo «por si acaso». Cada campo de más es una obligación de más.
Con qué base jurídica
Cada tratamiento necesita una razón legal identificada: el consentimiento del interesado, la ejecución de un contrato o el interés legítimo.
No son intercambiables. La que ampara el aviso de una cita no es la misma que ampara el envío comercial posterior, y tratarlas como si lo fueran es el error que más veces he visto.
Quién decide qué
El artículo 22 del RGPD limita las decisiones automatizadas que producen efectos significativos sobre una persona. En la práctica esto se traduce en algo sencillo:
El sistema propone y una persona valida antes de que la decisión llegue al cliente.
Se llama tener a la persona dentro del circuito, y es el diseño que uso por defecto en todo lo que afecta a un cliente final.
Qué queda registrado
Si no puedes reconstruir qué hizo el sistema y cuándo, no puedes demostrar que cumples. Por eso trabajo con flujos deterministas: la misma entrada produce siempre la misma salida y todo queda trazado.
No es la opción más vistosa. Es la que se puede auditar.
Si trabajas con datos de salud
Hay una capa más. El artículo 9 clasifica los datos de salud como categoría especial y exige condiciones adicionales. Se puede hacer, se hace habitualmente, y lo que cambia es el diseño, no la viabilidad.
Lo que quiero transmitir es esto: la protección de datos no es el trámite que se resuelve al final del proyecto. Es una de las decisiones que condicionan cómo se construye el sistema desde el primer día.
Un sistema diseñado así cumple sin esfuerzo añadido. Uno diseñado sin pensarlo hay que rehacerlo.