Una herramienta nueva no elimina las responsabilidades
Utilizar inteligencia artificial no permite tratar cualquier dato de cualquier manera. Si un proceso utiliza datos personales, la empresa debe analizar para qué los necesita, qué base jurídica lo permite y cómo protege a las personas afectadas. El análisis depende del uso concreto, no solo del nombre del producto.
Esta guía es informativa y no sustituye la revisión del caso con el responsable de protección de datos o asesoría especializada. El RGPD, la LOPDGDD y el Reglamento europeo de IA tienen ámbitos y obligaciones distintos. Cumplir uno no demuestra automáticamente el cumplimiento de los demás.
1. Identifica qué información entra en el sistema
Un pedido puede contener nombre, teléfono y dirección. Un correo puede incluir información de empleados o clientes. Antes de probar una herramienta, identifica los datos que se enviarían y si todos son necesarios para el objetivo. No copies documentos reales en un servicio externo por comodidad sin revisar antes su uso autorizado.
Reduce el contenido al mínimo. Una prueba puede utilizar datos sintéticos o documentos anonimizados cuando sea adecuado. Ocultar el nombre no siempre anonimiza un expediente: otros campos pueden permitir identificar a alguien. La seudonimización puede reducir riesgos, pero los datos siguen sujetos al RGPD cuando pueden vincularse a una persona.
2. Define finalidad y base jurídica
Describe el objetivo del tratamiento con precisión. Atender una solicitud, tramitar un pedido y entrenar un modelo no son la misma finalidad. Debes revisar si la base jurídica del proceso cubre el uso previsto de IA y si existe un tratamiento adicional que requiera su propio análisis.
El consentimiento no es la única base posible ni una solución universal. Según el caso, pueden intervenir un contrato, una obligación legal o un interés legítimo debidamente analizado. Tampoco basta con añadir una casilla para justificar cualquier uso posterior. La información facilitada debe corresponder a lo que el sistema hará realmente.
3. Aclara el papel de cada proveedor
Determina quién decide los fines y medios y quién trata información por cuenta de otra entidad. Si un proveedor actúa como encargado, se necesita el acuerdo correspondiente y revisar las instrucciones, las medidas de seguridad y los subencargados. La cadena puede incluir alojamiento, modelos y herramientas de soporte.
Pregunta si los datos se conservan, durante cuánto tiempo y si se reutilizan para mejorar servicios o entrenar modelos. Revisa las condiciones de la modalidad concreta que vas a contratar. Una función de privacidad anunciada para un plan empresarial no tiene por qué aplicarse a una cuenta gratuita o a otra interfaz del mismo proveedor.
4. Comprueba dónde se procesa la información
La ubicación del servidor principal no cuenta toda la historia. El soporte remoto, los registros y los subencargados también pueden implicar acceso desde otros países. Si hay transferencias internacionales, deben analizarse el mecanismo aplicable y las garantías necesarias. No afirmes que todos los datos se quedan en Europa sin comprobarlo.
Pide documentación comprensible y mantén una relación actualizada de proveedores. El diseño debe poder revisarse cuando cambian los servicios o sus condiciones. Elegir una solución local puede ser apropiado en algunos casos, pero tampoco sustituye el control de accesos, la seguridad ni la gestión del ciclo de vida de los datos.
5. Limita permisos y acciones
Un asistente de conocimiento interno debe respetar los permisos de los documentos. Un agente que prepara pedidos no necesita necesariamente acceso a nóminas ni capacidad para borrar registros. Aplica el mínimo privilegio y separa consultar información de ejecutar acciones que crean consecuencias.
Define qué operaciones requieren aprobación, qué límites económicos o funcionales existen y cómo se registran las acciones. Protege también al agente frente a instrucciones maliciosas dentro de correos o documentos. El contenido que analiza no debe convertirse por sí mismo en una autorización para enviar datos o modificar sistemas.
6. Revisa riesgos y decisiones automatizadas
Analiza los efectos de errores, sesgos o accesos indebidos sobre las personas. Cuando un tratamiento pueda entrañar un alto riesgo, debe valorarse la evaluación de impacto y las medidas que correspondan. No todos los asistentes son de alto riesgo por usar IA, ni todos los usos son de bajo riesgo por parecer administrativos.
Las decisiones basadas únicamente en tratamientos automatizados con efectos jurídicos o similares significativos requieren una revisión específica de las condiciones y garantías aplicables. Introducir a una persona en el proceso no basta si su revisión es solo formal. Debe poder entender, cuestionar y corregir el resultado con información suficiente.
7. Prepara transparencia, derechos y conservación
Informa a las personas cuando corresponda, de forma clara y accesible. Si interactúan con un sistema de IA, revisa las obligaciones de transparencia aplicables al uso. No escondas información relevante detrás de una explicación técnica ni prometas una exactitud que el sistema no puede garantizar.
Define cómo atender solicitudes de derechos y cómo retirar o corregir información en documentos, registros y otros componentes. Establece plazos de conservación y revisa qué ocurre en las copias de seguridad. Guardarlo todo indefinidamente para resolver posibles incidencias no es una política suficiente.
¿Dónde acaba la información que compartes con la IA?
Una persona de ventas pega un correo para redactar una respuesta. Otra sube una oferta para comparar precios. En ambos casos conviene saber qué servicio recibe el texto, quién puede consultar el historial y cuándo se borra. También hay que comprobar si el proveedor puede usar esas conversaciones para mejorar sus modelos. La respuesta depende del producto contratado, la cuenta y sus ajustes. Conservar una conversación y usarla para entrenar un modelo son decisiones distintas.
Imagina un asistente que prepara presupuestos. Necesita el catálogo y las tarifas de venta. Si al conectarlo también le damos acceso a la carpeta de dirección, una consulta sobre un descuento podría revelar el margen negociado con un proveedor. Ese margen es confidencial aunque el documento no contenga datos personales.
En Azabache revisamos con el equipo dónde utiliza ya la IA, incluso en tareas tan sencillas como resumir correos. Para ese asistente delimitaríamos las carpetas autorizadas, comprobaríamos el resultado con un perfil comercial y datos de prueba, y repetiríamos la comprobación al cambiar permisos o añadir fuentes. Así se puede detectar un acceso indebido antes de exponer una oferta real. Guía de Microsoft sobre permisos y documentos compartidos en Copilot.
Un control práctico antes del piloto
Antes de usar datos reales, deja por escrito finalidad, datos necesarios, proveedores, accesos, conservación, supervisión y gestión de incidentes. Asigna responsables y comprueba el funcionamiento con ejemplos representativos. Forma al equipo para que sepa qué puede introducir, cuándo debe revisar y a quién avisar.
En Azabache incorporamos estas preguntas al diseño del proceso. Puedes revisar nuestros servicios de diagnóstico y piloto. Como referencias oficiales, consulta las guías de la AEPD sobre IA y la información de la Comisión Europea sobre el Reglamento de IA.