IA y RGPD
Automatizar sin romper nada
y poder demostrarlo después
La primera pregunta cuando se propone automatizar la entrada de consultas es siempre la misma: dónde acaban los datos de los clientes y quién puede verlos. Es la pregunta correcta, y esta página la responde por escrito.
El punto de partida
El RGPD no impide automatizar. Lo que impide es automatizar sin haber decidido antes qué datos se recogen, con qué base jurídica, quién decide qué y qué queda registrado.
Esas cuatro decisiones se toman al diseñar el sistema, no cuando ya está funcionando. Un sistema que hay que corregir después sale más caro que uno hecho bien, y en el peor caso hay que apagarlo.
Cómo se diseña aquí
No son buenas intenciones: son decisiones de diseño que se toman antes de construir y que quedan en la documentación del sistema.
Sólo los datos necesarios
Cada campo que se recoge tiene que justificar por qué está. Un formulario que pide la fecha de nacimiento porque venía así de fábrica es una obligación añadida a cambio de nada.
Cada tratamiento, con su base
Consentimiento, ejecución de contrato o interés legítimo, identificado y anotado para cada uso concreto. «Lo tratamos porque nos hace falta» no es una base jurídica.
Una persona decide lo que afecta
Las decisiones con efecto significativo sobre alguien las valida una persona antes de ejecutarse. Lo exige el artículo 22 del RGPD y además define dónde van los puntos de control del circuito.
Registro de qué hizo el sistema
Qué entró, qué decidió y qué salió, con su fecha. Sin ese registro no se puede revisar una queja ni demostrar nada ante una inspección.
Plazos de conservación decididos
Cuánto tiempo se guarda cada cosa y qué pasa después. Guardar «por si acaso» y para siempre es la infracción más común y la más fácil de evitar.
Protocolo de apagado
En qué casos se detiene el sistema, quién asume su trabajo mientras tanto y qué hay que revisar antes de volver a encenderlo. Escrito antes de que haga falta.
Si trabajas con datos de salud
Los datos de salud son categoría especial: el artículo 9 del RGPD los prohíbe tratar salvo que se dé una excepción concreta, y el consentimiento tiene que ser explícito.
En la práctica eso cambia el diseño, no sólo el papeleo. En una clínica, por ejemplo, los avisos automáticos llevan la cita pero no el tratamiento, y los datos clínicos no salen del software de gestión. Se automatiza el recordatorio, no el historial.
Lo que añade el Reglamento de IA
El Reglamento europeo de IA se suma al RGPD, no lo sustituye. Clasifica los sistemas por riesgo y añade obligaciones según dónde caiga cada uno.
La mayoría de lo que se monta en una pyme —clasificar consultas, redactar borradores, responder preguntas frecuentes— entra en la categoría de riesgo limitado, y su obligación principal es de transparencia: quien habla con un sistema automático tiene derecho a saberlo.
Sube de categoría cuando el sistema interviene en decisiones sobre personas: selección de personal, evaluación del desempeño, acceso a servicios esenciales o solvencia. Ahí las exigencias son otras, y conviene saberlo antes de empezar y no después.
Qué preguntarle a cualquier proveedor de IA
Incluida yo. Si alguna de estas preguntas incomoda a quien te la vende, eso ya es una respuesta.
- ¿Dónde se almacenan los datos y en qué país están los servidores?
- ¿El modelo de lenguaje que usa se entrena con lo que le mandamos? ¿Y con qué contrato lo garantiza?
- ¿Qué subencargados intervienen, y están todos en el contrato de encargo de tratamiento?
- ¿Qué decisiones toma el sistema solo y cuáles pasan por una persona?
- ¿Qué queda registrado de cada ejecución, y durante cuánto tiempo?
- ¿Qué pasa si dejamos de trabajar juntos: se lleva usted el sistema o se queda conmigo?
- ¿Cómo se corrige el sistema si alguien reclama que se equivocó con sus datos?
Esto no es asesoramiento jurídico
Es cómo se diseñan los sistemas que monto y qué conviene exigir a quien te los monte. Para el registro de actividades de tratamiento, la evaluación de impacto o un caso concreto que se salga de lo previsto, la referencia es tu asesoría legal.
Empezamos por conocer lo que haces
El diagnóstico de mejora operativa con IA repasa cómo funcionan tus procesos hoy y con qué herramientas trabajas, y termina con una recomendación concreta de por dónde empezar. Media hora. Sin compromiso.
Reservar el diagnóstico