Se puede usar inteligencia artificial cumpliendo el RGPD si se controla dónde se procesan los datos, quién accede a ellos y para qué se usan. En la práctica, significa desplegar los modelos en entornos que la empresa controla, con contratos que impidan usar sus datos para entrenar modelos de terceros, y reducir al mínimo los datos personales que llegan al sistema. No es una cuestión de herramienta, sino de diseño.
Este artículo resume criterios técnicos y organizativos. No sustituye el asesoramiento jurídico de su delegado de protección de datos.
Qué dice el RGPD sobre la inteligencia artificial
El RGPD no menciona la inteligencia artificial de forma expresa, pero se aplica a cualquier sistema que trate datos personales. Sus principios valen igual para una hoja de cálculo que para un agente de IA:
- Licitud y transparencia. Debe existir una base legal y las personas deben saber que sus datos se tratan.
- Limitación de la finalidad. Los datos recogidos para una cosa no se reutilizan para otra incompatible.
- Minimización. Solo se tratan los datos necesarios para la tarea.
- Integridad y confidencialidad. Medidas de seguridad adecuadas al riesgo.
- Responsabilidad proactiva. La empresa debe poder demostrar que cumple.
Además, el artículo 22 protege a las personas frente a decisiones basadas únicamente en tratamientos automatizados que les afecten de forma significativa. Si un sistema de IA decide sobre personas, debe existir intervención humana.
Dónde van sus datos cuando usa una herramienta de IA
No todas las formas de usar IA ofrecen las mismas garantías. La diferencia está en quién controla la infraestructura y qué dice el contrato.
| Herramienta de consumo | Servicio empresarial en la nube | Despliegue en su propia nube | |
|---|---|---|---|
| Dónde se procesan los datos | Donde decida el proveedor | En la región contratada | En su infraestructura, región UE |
| Uso para entrenar modelos | Posible según condiciones | Excluible por contrato | No |
| Control de accesos | Cuenta personal | Gestionado por la empresa | Integrado con sus permisos |
| Adecuado para datos personales | No | Con contrato adecuado | Sí, con el diseño correcto |
La herramienta de consumo que un empleado usa por su cuenta es el mayor riesgo, precisamente porque nadie la ha evaluado. Ofrecer una alternativa interna y segura suele ser la medida más eficaz para evitarlo.
Cinco medidas para mantener los datos dentro de la empresa
- Desplegar en su infraestructura. El sistema se ejecuta en la nube o los servidores que la empresa ya controla, en regiones de la Unión Europea. Los modelos se consumen en entornos privados, no en servicios abiertos.
- Contrato de encargado del tratamiento. El artículo 28 del RGPD exige un contrato con cada proveedor que trate datos por cuenta de la empresa. Debe excluir expresamente el uso de sus datos para entrenar modelos.
- Minimizar y seudonimizar. Si el agente no necesita el nombre del cliente para clasificar una incidencia, no debe recibirlo. Los datos se reducen o se sustituyen por identificadores antes de llegar al modelo.
- Heredar los permisos. El sistema solo muestra a cada usuario lo que ese usuario ya podía ver. Un asistente interno no puede convertirse en una puerta trasera a la documentación de dirección.
- Registrar y trazar. Cada consulta, cada fuente utilizada y cada respuesta quedan registradas. Así se puede auditar el sistema y responder a una solicitud de derechos.
Ninguna de estas medidas frena el proyecto. Se deciden en el diseño y se prueban antes de cada entrega, como cualquier otro requisito.
Cuándo hace falta una evaluación de impacto
El artículo 35 del RGPD exige una evaluación de impacto en protección de datos cuando un tratamiento puede suponer un alto riesgo para los derechos de las personas. Algunos supuestos habituales:
- Elaboración de perfiles con efectos relevantes sobre las personas.
- Decisiones automatizadas sobre clientes, empleados o candidatos.
- Tratamiento a gran escala de categorías especiales de datos, como los de salud.
- Uso de tecnologías nuevas sobre datos personales de forma sistemática.
Muchos usos corporativos de IA, como buscar en documentación técnica o clasificar facturas de proveedor, tienen un riesgo bajo. Aun así, conviene documentar la valoración y que la revise su delegado de protección de datos.
Qué añade el Reglamento europeo de inteligencia artificial
El Reglamento europeo de IA clasifica los sistemas según su nivel de riesgo y fija obligaciones para cada nivel. Prohíbe algunas prácticas, regula con detalle los sistemas de alto riesgo y exige transparencia en otros, como avisar a una persona de que está hablando con una IA.
Para la mayoría de los usos internos, como asistentes de consulta o extracción de datos de documentos, las obligaciones son de transparencia y buen uso. Otros usos, como los sistemas de selección de personal, se consideran de alto riesgo y exigen controles adicionales. Por eso conviene clasificar cada caso de uso antes de implantarlo.
Qué preguntar a un proveedor antes de empezar
Antes de enviar un solo dato, pida respuestas por escrito a estas preguntas:
- ¿En qué región se procesan y almacenan los datos?
- ¿Se usan mis datos, o los de mis usuarios, para entrenar modelos?
- ¿Quién puede acceder a los datos y cómo queda registrado?
- ¿Qué subencargados intervienen y dónde están?
- ¿Cómo se borran los datos al terminar la relación?
- ¿De quién es el código, la configuración y la documentación del sistema?
Si alguna respuesta es vaga, trátela como un «no».
Cómo informar a empleados y clientes
La transparencia es una obligación y, además, una forma de generar confianza. Conviene cubrir tres frentes:
- Cláusulas informativas. Si un sistema de IA trata datos de clientes o empleados, su política de privacidad debe explicarlo: qué datos, para qué y con qué base legal.
- Avisos en el punto de uso. Quien habla con un asistente debe saber que es un sistema automático y cómo pedir que le atienda una persona.
- Normas internas de uso. Qué herramientas están autorizadas, qué datos pueden introducirse y a quién consultar en caso de duda.
Una norma interna clara, acompañada de una herramienta autorizada que funcione bien, reduce más riesgos que cualquier prohibición.
Cómo lo planteamos en Neji
Nos adaptamos a la política tecnológica y de seguridad de cada empresa. Si lo necesita, instalamos todo en sus servidores o en su nube, y sus datos se quedan en casa, bajo sus normas. Si lo prefiere, alojamos, operamos y vigilamos la solución nosotros, con el contrato de encargado del tratamiento que exige el RGPD. En ambos casos aplicamos permisos mínimos, registro completo y modelos que no entrenan con sus datos. Puede ver el detalle en nuestra página de seguridad.
Por dónde empezar
Haga inventario de las herramientas de IA que ya se usan en su empresa, oficiales o no. Después, elija un primer caso de uso de bajo riesgo y alto volumen. Si quiere revisarlo con nosotros, solicite una primera conversación para conocer su empresa y ver dónde podemos ayudar. También puede leer cómo diseñamos agentes de IA con sus propios datos.