Protección de datos en la empresa: qué cambia cuando usas IA

Una empresa que gestiona nóminas, currículos, contactos de clientes o grabaciones trata datos personales. No necesita una base de datos enorme para tener obligaciones. La protección de datos debe formar parte del trabajo diario, con medidas proporcionadas al uso y al riesgo.

El RGPD exige, entre otras cosas, una finalidad definida, una base jurídica válida, información a las personas, datos limitados a lo necesario y medidas de seguridad. También hay que decidir cuánto tiempo se conservan y cómo se atienden las solicitudes de acceso, rectificación o supresión que correspondan.

Contratar un servicio externo puede ayudarte a organizarlo, pero no es obligatorio contratar una consultora por el mero hecho de tener una empresa. Lo obligatorio es cumplir. Y la empresa no deja de ser responsable por encargar el trabajo a un tercero.

Fuentes: EUR-Lex: RGPD: principios, licitud y responsabilidad del tratamiento

Un atacante puede robar una cuenta o acceder a documentos. Pero también puedes perder el control de la información por una decisión interna: usar una cuenta personal, conectar un asistente al correo o compartir un enlace sin revisar quién lo verá. Estos ejemplos no requieren que alguien consiga entrar desde fuera.

Antes de autorizar una IA, revisa el uso concreto, la cuenta, los permisos, la conservación y las condiciones del proveedor. No todas las herramientas reutilizan los datos para entrenar, ni todas las modalidades ofrecen las mismas garantías. Hay que comprobarlo, no darlo por hecho.

• Un archivo de RR. HH.: subir currículos completos para resumirlos puede entregar datos innecesarios a un proveedor no evaluado.
• Un asistente conectado al correo: darle acceso a todos los buzones o carpetas amplía lo que puede consultar y compartir. Limita permisos y acciones desde el principio.
• Una conversación compartida: un enlace a un chat o informe puede dejar información de clientes al alcance de personas que no deberían verla.
• Una integración con otros servicios: revisa también las herramientas que el asistente invoca y los datos que envía durante la tarea, no solo la respuesta final.

Fuentes: AEPD: IA agéntica: accesos, herramientas y flujos de datos

Imagina que una IA resume un currículo y atribuye al candidato una experiencia que no tiene. O que clasifica a un cliente como poco fiable a partir de información incompleta. Si incorporas ese resultado a un expediente o decides con él, el problema ya no es solo técnico.

Una respuesta sobre una persona identificada o identificable puede ser un dato personal, aunque sea una inferencia o contenga errores. Hay que revisar su exactitud y su adecuación al uso previsto, quién la recibe y cómo se corrige. No toda salida de IA contiene datos personales, pero no queda fuera del RGPD por haberla generado una máquina.

Si se toman decisiones exclusivamente automatizadas con efectos jurídicos o un impacto similar importante, hay que revisar además las condiciones y garantías del artículo 22 del RGPD. Poner a alguien a pulsar «aceptar» sin revisar de verdad no resuelve esa cuestión.

Fuentes: AEPD: Calidad y exactitud de los datos y resultados con IA · AEPD: Decisiones individuales automatizadas · AEPD: Sistemas algorítmicos laborales y supervisión humana

El AI Act no sustituye al RGPD ni te da permiso para usar cualquier dato. Un sistema puede no ser de alto riesgo según el AI Act y seguir tratando datos personales que requieren protección. También puede haber obligaciones del AI Act aunque no se utilicen datos personales.

La revisión conjunta evita un fallo frecuente: que el catálogo de herramientas diga una cosa, los contratos otra y el equipo trabaje de una tercera manera. El inventario de IA debe conectarse con los tratamientos de datos, los responsables y las reglas de uso.

El artículo 4 del AI Act exige medidas para apoyar la alfabetización en IA del personal y de quienes la operen por cuenta de la organización, adaptadas al contexto. Eso incluye entender riesgos como compartir datos o confiar en respuestas erróneas. Un curso aislado no garantiza por sí solo el cumplimiento de toda la normativa.

Fuentes: EUR-Lex: AI Act, artículo 2.7: relación con la protección de datos · Comisión Europea: Artículo 4 y alfabetización en IA: preguntas y respuestas

Partimos de cómo funciona tu empresa. No de una carpeta de plantillas. La propuesta concreta qué usos, herramientas y tratamientos vamos a revisar y qué debe implantar cada responsable.

1. 01

   Localizar los usos reales: herramientas, cuentas, conectores, datos y personas que los utilizan. Incluir lo que ya se está usando sin un proceso formal.

2. 02

   Revisar el tratamiento de datos: finalidad, base jurídica, información a las personas, conservación y derechos. Determinar qué documentación hay que actualizar.

3. 03

   Evaluar proveedores: contratos, garantías, subproveedores, uso de la información y transferencias internacionales, si existen. Una suscripción de pago no sustituye esta revisión.

4. 04

   Definir quién decide: responsables, aprobación de herramientas y escalado de dudas. La estructura se adapta al tamaño de la empresa; no presentamos un comité como requisito universal.

5. 05

   Bajar las reglas al trabajo diario: datos permitidos y prohibidos, permisos, revisión de resultados y procedimiento ante incidentes. Coordinar las necesidades de formación, que se presupuestan aparte.

6. 06

   Dejar un plan de seguimiento: decisiones registradas, tareas pendientes y revisiones cuando cambie el proveedor, la versión, la finalidad o los datos utilizados.

Fuentes: AEPD: Cuándo es necesaria una evaluación de impacto

Si varias respuestas son «no lo sé», ya tienes un punto de partida. No hace falta resolverlo todo el mismo día: empieza por los datos más sensibles, los accesos más amplios y las decisiones que afectan a personas.

• ¿Sabemos qué herramientas de IA utiliza cada departamento y con qué cuenta?
• ¿Está claro qué datos pueden introducirse y cuáles no?
• ¿Se han revisado contratos, conservación y posibles usos de los datos por el proveedor?
• ¿Los conectores acceden solo a la información necesaria?
• ¿Alguien comprueba los resultados antes de compartirlos o decidir sobre personas?
• ¿La documentación de privacidad refleja estos usos y permite atender derechos?
• ¿El equipo sabe a quién avisar si comparte información por error?
• ¿Hay una persona encargada de revisar los cambios y las tareas pendientes?

Activa el canal interno de incidentes, limita la exposición y conserva evidencias sin volver a difundir los datos. Hay que comprobar qué se compartió, con quién y si hubo acceso no autorizado. Un uso no aprobado de IA requiere evaluación; no significa automáticamente que exista una brecha de datos personales.

Las brechas de datos personales deben documentarse. Se notifican a la autoridad competente sin dilación indebida y, cuando sea posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que supongan un riesgo para las personas. Si es probable un alto riesgo, el responsable debe avisar a los afectados sin dilación indebida, salvo las excepciones del artículo 34.3 del RGPD. La decisión se evalúa y documenta; no se improvisa.

Fuentes: AEPD: Gestión y notificación de brechas de datos personales

Indica la plantilla y las circunstancias que correspondan. La estimación incluye consultoría AI Act y adaptación de protección de datos. Puedes añadir mantenimiento de protección de datos desde el segundo año; no se suma al coste inicial.

Las circunstancias especiales son criterios de nuestra tarifa, no una clasificación legal del riesgo. Si no sabes si encajas en alguna, lo revisaremos contigo. El precio y el alcance se confirman en la propuesta, antes de contratar.