Conceptos para decidir
Definiciones breves de IA, AI Act, RGPD y ciberseguridad para que Dirección, RR. HH., Compras, Legal e IT hablen de lo mismo antes de aprobar una herramienta o tomar una decisión.
Glosario operativo, no diccionario jurídico. Última revisión: 27 de julio de 2026.
IA Y GOBERNANZA
Conceptos para hablar de sistemas, modelos, resultados y responsabilidades sin confundir una herramienta con una capacidad humana.
Conocimientos y capacidades que permiten comprender oportunidades, riesgos y posibles daños de la IA, y tomar decisiones informadas sobre su uso. En una empresa, las medidas deben adaptarse a las personas, los sistemas y el contexto.
Guía del artículo 4Sistema basado en máquinas que, con distintos niveles de autonomía y posible adaptación tras su despliegue, infiere a partir de las entradas cómo generar predicciones, contenido, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales.
Cómo inventariar sistemasTipo de IA capaz de producir contenido nuevo (como texto, imagen, audio, vídeo o código) a partir de patrones aprendidos y de las instrucciones o datos que recibe.
Formación prácticaModelo que muestra una generalidad significativa, puede realizar de forma competente una amplia variedad de tareas y puede integrarse en numerosos sistemas o aplicaciones. No es lo mismo que el producto final que utiliza una empresa.
Evaluar una herramientaProceso por el que un modelo ya entrenado utiliza una entrada para producir una salida. Una salida probable no equivale necesariamente a un hecho comprobado ni a una decisión correcta.
Verificar respuestasSalida falsa, inexacta o no sustentada que un sistema generativo presenta con apariencia plausible. Debe contrastarse con fuentes y criterios independientes cuando pueda afectar a una decisión.
Protocolo de verificaciónDesviación sistemática que puede producir resultados injustos, inexactos o desproporcionados. Puede proceder de datos, diseño, objetivo, contexto de uso o interpretación humana.
Formación AI ActInstrucción y contexto que una persona o sistema proporciona a un modelo para orientar su salida. Puede incluir restricciones y formato, pero no elimina la necesidad de revisar el resultado.
Aprender prompting seguroAtaque o manipulación que introduce instrucciones maliciosas en el contenido procesado por un sistema de IA para alterar su comportamiento, revelar información o provocar acciones no previstas.
Formación ciberseguridad e IAMedidas para que una persona con competencia, autoridad e información suficientes pueda comprender las limitaciones, vigilar el funcionamiento, interpretar la salida e intervenir o detener el uso cuando sea necesario.
Diseñar supervisión humanaPersona u organización que desarrolla un sistema o modelo de IA, o manda desarrollarlo, y lo comercializa o pone en servicio bajo su propio nombre o marca. El papel debe analizarse para cada sistema y cadena de valor.
Gobierno de IAPersona u organización que utiliza un sistema de IA bajo su autoridad, salvo el uso personal no profesional. Muchas empresas que incorporan herramientas de terceros actúan en este papel.
Revisar roles y obligacionesUso expresamente vetado por el AI Act por el riesgo que representa para derechos y personas. La prohibición depende de las condiciones concretas de la práctica, no solo del nombre de la tecnología.
Entender el AI ActSistema incluido en los supuestos del AI Act por su función o ámbito. El Reglamento prevé obligaciones reforzadas; tras la reforma de 2026, sus principales requisitos se aplicarán desde el 2 de diciembre de 2027 para los sistemas del anexo III y desde el 2 de agosto de 2028 para los vinculados al anexo I. No toda IA utilizada en empleo, salud o servicios esenciales queda clasificada automáticamente: debe analizarse el caso.
Evaluar el caso de usoDATOS Y PRIVACIDAD
Términos esenciales para conectar el uso de IA con el ciclo de vida del dato y las obligaciones del RGPD.
Información sobre una persona física identificada o identificable. Un dato puede seguir siendo personal aunque no incluya nombre si permite identificar a alguien mediante otros elementos.
IA generativa y datos personalesDatos que revelan, entre otros aspectos, origen étnico, opiniones políticas, convicciones, afiliación sindical, salud, vida u orientación sexual, además de datos genéticos y biométricos tratados para identificar de manera unívoca.
Qué datos no compartir con una IAPersona u organización que determina los fines y medios del tratamiento de datos personales. Contratar una herramienta de IA no traslada automáticamente esta responsabilidad al proveedor.
Revisar usos de IA y RGPDPersona u organización que trata datos personales por cuenta del responsable siguiendo sus instrucciones. Su relación debe regularse y comprobarse antes de utilizar datos personales en el servicio.
Revisar proveedoresPrincipio por el que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad. En IA, obliga a preguntarse si el dato debe entrar realmente en el prompt, archivo o integración.
Qué no compartir con una IAProceso para describir un tratamiento, valorar su necesidad y proporcionalidad, analizar riesgos para derechos y libertades y definir medidas. Es obligatoria cuando el tratamiento puede entrañar un alto riesgo, según el caso.
Analizar el tratamientoComunicación o puesta a disposición de datos personales a un destinatario situado fuera del Espacio Económico Europeo. Requiere comprobar el mecanismo aplicable, las garantías y el contexto real del tratamiento.
Checklist de proveedorDecisión tomada únicamente mediante tratamiento automatizado. Cuando produce efectos jurídicos o afecta significativamente de modo similar a una persona, el RGPD establece límites y garantías específicas.
Supervisión y decisionesCIBERSEGURIDAD Y RESILIENCIA
Conceptos para entender la protección por capas y distinguir una tecnología de la capacidad operativa que la acompaña.
Suplantación que intenta provocar una acción (entregar credenciales, pagar, abrir un archivo o revelar información) mediante correo, mensajería u otros canales. La IA puede mejorar su personalización y apariencia.
Phishing generado con IAFraude que suplanta o compromete comunicaciones empresariales para ordenar pagos, cambiar cuentas o conseguir información. La verificación debe usar un canal y contacto previamente conocidos.
Protocolo de pagosContenido de imagen, audio o vídeo generado o manipulado para parecer auténtico. En una empresa, una voz o imagen convincente no debe sustituir el procedimiento de autorización.
Protocolo contra deepfakesAtaque que impide acceder a sistemas o datos, normalmente mediante cifrado, y puede combinarse con robo de información y extorsión. La respuesta exige prevención, copias, detección, contención y recuperación.
Evaluar la exposiciónAutenticación multifactor: exige dos o más factores independientes para verificar una identidad. Reduce el riesgo de que una contraseña robada sea suficiente, pero debe configurarse y supervisarse correctamente.
Proteger correo e identidadesControles que ayudan a autenticar el correo enviado por un dominio y a indicar qué hacer cuando falla la comprobación. No evitan por sí solos cuentas comprometidas, dominios parecidos ni fraude de proceso.
Guía para direcciónTecnología de detección y respuesta en equipos que recopila actividad, identifica señales y permite investigar o ejecutar determinadas acciones. Su valor depende también de quién atiende y responde a las alertas.
Comparar EDR, XDR y MDREnfoque que relaciona señales de varias capas (como equipos, identidad, correo, nube o red) según las fuentes e integraciones que admita cada plataforma.
Comparar EDR, XDR y MDRServicio gestionado de detección y respuesta en el que un equipo externo monitoriza, investiga, comunica y puede actuar dentro del alcance y autoridad acordados.
Comparar EDR, XDR y MDRExposición que permanece después de aplicar controles preventivos, de detección, respuesta y recuperación. Parte de su impacto económico puede ser transferible mediante seguro, sujeto a coberturas y condiciones.
Analizar el ciberriesgoLos términos resumen conceptos técnicos y jurídicos para facilitar una primera conversación. La función de una organización, la clasificación de un sistema y las obligaciones aplicables dependen del uso, el contexto, los datos y las personas afectadas.
Cuando una decisión pueda afectar a derechos, empleo, servicios esenciales, biometría, datos sensibles o seguridad, debe realizarse un análisis específico.
Del concepto a la decisión
El diagnóstico inicial ayuda a ordenar personas, datos, procesos y protección antes de definir un proyecto.
Protección para sobrevivir a los ciberataques