IA y RGPD: qué debes saber antes de subir nada

Esta guía explica el marco general y las preguntas que conviene hacer. No es asesoramiento jurídico: para un caso concreto, consulta con un profesional.

La idea que lo ordena todo

Cuando metes datos personales en una herramienta de IA, tú sigues siendo el responsable del tratamiento y el proveedor pasa a ser tu encargado. Exactamente igual que con tu gestor de correo o tu CRM.

De ahí sale todo lo demás: necesitas un contrato con él, tienes que saber dónde procesa los datos, y tienes que poder explicar con qué base legal lo haces.

Lo que hay que preguntar antes de contratar

Cinco preguntas. Si el proveedor no responde a las cinco por escrito, la respuesta a “¿lo contratamos?” es no.

1. ¿Firmáis contrato de encargado del tratamiento? Casi todos los planes de empresa sí; casi ningún plan individual.
2. ¿Se usan mis datos para entrenar el modelo? Y si es opcional, ¿viene desactivado por defecto?
3. ¿Dónde se procesan? Si salen de la UE, ¿bajo qué mecanismo? El Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo son los habituales.
4. ¿Cuánto tiempo conserváis las conversaciones?
5. ¿Qué subencargados intervienen?

Microsoft Copilot y Gemini son los que más fácil lo ponen en este apartado, porque muchas empresas ya tienen firmado el contrato marco con Microsoft o Google.

Las cinco reglas internas que evitan casi todo

Esto vale más que cualquier documento largo, porque es lo que la gente puede recordar:

1. Nada identificable sin contrato. Ni nombres de clientes, ni correos, ni DNI, ni datos de salud, ni currículums.
2. Una herramienta aprobada por caso de uso. No diez suscripciones personales que nadie controla.
3. Los planes personales no se usan para trabajo. Es la puerta de entrada de la mayoría de las fugas.
4. Anonimizar de verdad. Quitar el nombre no basta si el contexto identifica a la persona.
5. Revisar antes de publicar. Responsabilidad legal, además de la de calidad.

Los casos donde la gente se equivoca

Currículums. Pegar un CV en un asistente para resumirlo es tratar datos personales de alguien que no te lo ha autorizado para eso.

Grabar reuniones. Herramientas como Otter son muy útiles y a la vez tratan la voz de todos los participantes, que es un dato personal. Hay que informar y tener base legal.

Clonar voces o caras. La de otra persona necesita consentimiento explícito y documentado. Las herramientas del ranking de IA para vídeo no te van a preguntar: es tuya la responsabilidad.

Correos de clientes. Reenviar un hilo entero a un asistente para que redacte la respuesta es un tratamiento, aunque no lo parezca.

Por dónde empezar en una pyme

Antes de comprar herramientas, escribe una página con las cinco reglas de arriba y quién decide las excepciones. Es más eficaz que cualquier suite de cumplimiento, y es el punto de partida que proponemos en cómo usar IA en tu negocio.

Para entender por qué estas herramientas se comportan como se comportan —y por qué no puedes fiarte de que “no recuerden” nada— está qué es un LLM.