Herramientas de IA conformes al RGPD: la comprobación práctica
Tres rasgos verificables, cuatro preguntas para el proveedor y una lista de siete pasos: así se implanta la IA sin heredar riesgos jurídicos.
Las herramientas de IA conformes al RGPD se reconocen por tres rasgos verificables: un contrato de encargado del tratamiento firmado, un tratamiento dentro de la UE y un compromiso escrito de que sus entradas no alimentarán el entrenamiento de modelos ajenos. Un sello de certificación en la web del proveedor no prueba nada. Si aclara esos tres puntos antes de implantar la herramienta, la conversación con la autoridad de control no llega a producirse.
Lo esencial en breve
- Ninguna herramienta es conforme como producto: lo es la combinación de herramienta, tipo de dato y finalidad.
- Sin contrato de encargo conforme al art. 28 del RGPD, cada entrada de datos personales es una comunicación sin cobertura.
- Desde el 2 de febrero de 2025 el Reglamento de IA exige a todo usuario un nivel mínimo de alfabetización en IA en el equipo, también en herramientas cotidianas.
- La ubicación del servidor no decide nada por sí sola si el proveedor accede al contenido en soporte o en el entrenamiento.
- Un registro de dos páginas de las herramientas en uso rinde más en la práctica que cualquier dictamen externo.
¿Qué hace que una herramienta de IA sea conforme al RGPD?
Nunca es conforme la herramienta, sino el uso concreto. El mismo modelo de texto puede ser inocuo para redactar una entrada de blog e inadmisible para evaluar candidaturas. Por eso la pregunta nunca es «¿está permitida esta herramienta?», sino «¿qué datos introduzco, con qué finalidad y quién los ve después?».
De esa pregunta se derivan cuatro puntos de control que puede pedir al proveedor que acredite. Primero: ¿existe un contrato de encargo que usted pueda firmar y nombra a los subencargados? Segundo: ¿dónde se tratan los datos y qué ocurre en una incidencia de soporte; accede alguien desde fuera de la UE a su contenido? Tercero: ¿se usan sus entradas para el entrenamiento y puede excluirse por contrato, y no solo con un interruptor en la cuenta? Cuarto: ¿cuánto tiempo se conservan las instrucciones y las salidas y puede exigir su supresión?
Son puntos deliberadamente sobrios porque se pueden acreditar. Un proveedor que los responde entrega documentos: contrato, lista de centros de datos, declaración sobre el plazo de conservación. Quien remite a promesas de seguridad y premios no ha respondido. La diferencia apenas se nota en una reunión comercial y salta a la vista en una auditoría.
Las respuestas suelen llegar en pocos días. Si una queda abierta, ese es ya el resultado: la herramienta no sirve para datos personales. Puede seguir siendo útil para contenidos anonimizados o puramente internos sin referencia a personas. Qué categorías tienen sentido para empresas pequeñas lo explicamos en qué herramientas de IA compensan realmente en empresas pequeñas.
¿Qué obligaciones impone el Reglamento de IA a las empresas usuarias?
La mayoría de las pymes no son proveedores, sino usuarios, y para el usuario la lista es corta. Debe saber para qué emplea el sistema, evitar aplicaciones prohibidas, hacer que personas revisen los resultados y procurar que la plantilla lo entienda en lo esencial. Esa obligación de competencia del artículo 4 del Reglamento (UE) 2024/1689 de IA se aplica desde el 2 de febrero de 2025.
| Su papel | Qué se deriva de ello | Desde cuándo |
|---|---|---|
| Usuario: emplea en su empresa un sistema ajeno | Competencia en IA en el equipo, finalidad clara, revisión humana de los resultados | desde el 2 de febrero de 2025 |
| Prácticas prohibidas, como el reconocimiento de emociones en el trabajo | Uso vedado, con independencia del tamaño de la empresa | desde el 2 de febrero de 2025 |
| Uso de alto riesgo, como el cribado previo de candidaturas | Documentación adicional; supervisión y sanciones se aplican por completo | desde el 2 de agosto de 2026 |
| Proveedor: introduce en el mercado un sistema propio | Obligaciones plenas de riesgo, documentación y conformidad | escalonado |
La obligación de competencia suele sobrestimarse y por eso se aplaza. No se trata de saber programar, sino de entender cómo llega un sistema a sus resultados, dónde es fiable y dónde no. Una sesión de una hora, una hoja con reglas de uso diario y una persona de contacto cumplen el objetivo en una empresa de quince personas. Anote la fecha y los asistentes: así la obligación queda además acreditada.
La delimitación frente al RGPD importa: el Reglamento de IA regula el producto y su riesgo, el RGPD regula los datos personales. Ambos se aplican en paralelo. Una herramienta puede ser irrelevante para el Reglamento de IA y aun así inadmisible según el RGPD, que es el caso más frecuente.
¿Por qué el encargo del tratamiento es el punto crítico en las herramientas de IA?
Porque ahí fracasan casi todas las revisiones. En cuanto introduce datos personales en un sistema ajeno, el proveedor los trata por cuenta de usted, y para eso el artículo 28 del Reglamento General de Protección de Datos exige un contrato de contenido tasado. Sin él, el tratamiento carece de cobertura aunque técnicamente no haya ocurrido nada.
El encargo del tratamiento en herramientas de IA se distingue del software clásico en tres cosas. El proveedor suele recurrir a más prestadores para la capacidad de cálculo, que deben figurar en el contrato. Las entradas no están estructuradas, así que nadie sabe de antemano qué datos acaban dentro. Y el tratamiento no es reproducible, lo que complica técnicamente el acceso y la supresión.
El contrato se revisa rápido cuando se sabe qué buscar. Debe indicar objeto y duración del tratamiento, tipo de datos y categorías de interesados, medidas técnicas y organizativas, reglas para otros prestadores y el deber de suprimir o devolver los datos al final. Si falta uno de esos puntos, el contrato está incompleto y la responsabilidad sigue siendo suya.
En la práctica: resuelva la situación contractual antes de que el primer equipo use la herramienta en producción. Una cuenta gratuita abierta un viernes por la tarde es el mismo hecho jurídico que una compra corporativa, solo que sin contrato. De ahí nacen los casos que nadie puede reconstruir después. Si va a rediseñar procesos, corte los flujos de datos con limpieza desde el inicio: ese es el núcleo de toda automatización con IA que se sostiene en el día a día.
¿Cómo es una lista de comprobación de protección de datos para el día a día?
Tiene siete pasos y se completa en medio día por herramienta. El orden importa: primero la finalidad, después el producto.
- Escriba la finalidad en una frase: ¿qué tarea repetitiva debe asumir la herramienta?
- Nombre los tipos de datos: ¿la entrada contiene nombres, datos de clientes, de salud o de candidaturas?
- Solicite el contrato de encargo y revise la lista de subencargados.
- Excluya por contrato el uso para entrenamiento, no solo desactivándolo en la cuenta.
- Amplíe el registro de actividades: herramienta, finalidad, tipos de datos, base jurídica, plazo de supresión.
- Instruya al equipo: qué puede entrar, qué no y quién revisa el resultado antes de usarlo.
- Fije accesos y plazos de conservación y ponga una fecha de revisión en el calendario.
El quinto paso es el que más se omite y el primero por el que pregunta una autoridad de control. El registro de actividades no es un trámite: es el único sitio donde consta de forma trazable qué herramienta trabaja con qué datos. Basta una tabla de cinco columnas, y se monta en una hora.
Para la valoración de fondo, la conferencia alemana de autoridades independientes de protección de datos publicó una guía sobre inteligencia artificial y protección de datos que puede usar como rejilla junto a esta lista. Para empezar, sin embargo, basta la lista: obliga a decidir herramienta por herramienta y deja ver cuáles están realmente en uso.
¿Qué errores cuestan más tiempo a las empresas pequeñas?
El error más caro es el debate de principios. Se encarga un dictamen sobre «la IA en la empresa» mientras ya funcionan cinco herramientas sin contrato. El orden inverso tiene sentido: primero registrar lo que se usa, después decidir herramienta por herramienta.
El segundo error más caro es confiar en la ubicación del servidor. «Alojado en Fráncfort» no dice nada sobre quién mira los datos en una incidencia ni qué subencargados intervienen para la capacidad de cálculo. Eso está en el contrato, no en la ficha de producto.
El tercer error afecta a la salida, no a la entrada. Un modelo puede generar una respuesta plausible pero falsa; si llega sin revisar a la clientela, el daño comercial es real al margen de la protección de datos. Por eso todo uso productivo necesita una persona designada que valide. Cómo funciona esto en aplicaciones de cara al cliente lo muestra nuestro artículo sobre chatbots de IA en atención al cliente. Para la seguridad técnica, la Oficina Federal alemana de Seguridad Informática reúne recomendaciones para el uso seguro de la IA.
Un cuarto punto sale de nuestros propios datos de proyecto de 2025 y 2026: las empresas se deciden demasiado pronto por una herramienta grande y demasiado tarde por reglas claras. Dos o tres casos de uso acotados llegan más lejos que una implantación amplia que nadie usa a las cuatro semanas.
Preguntas frecuentes sobre herramientas de IA conformes al RGPD
¿Necesito un contrato de encargo para cada herramienta de IA?
Solo cuando entran datos personales. Para una herramienta que trata únicamente contenido anónimo no hace falta, pero conviene dejar esa delimitación por escrito, porque en la práctica se difumina enseguida.
¿Basta con desactivar el entrenamiento en los ajustes?
No. Un interruptor en la cuenta puede cambiar con la siguiente actualización y no es prueba en un litigio. Pida el compromiso en el contrato o en las condiciones de encargo.
¿El Reglamento de IA rige también para una empresa de diez personas?
Sí. Las obligaciones dependen del papel y del riesgo de la aplicación, no del tamaño. Para una empresa pequeña suele significar: competencia en el equipo, ninguna aplicación prohibida y revisión de los resultados.
¿Qué hago si una herramienta ya se usa sin revisión?
Registrar, valorar, decidir, en ese orden y sin buscar culpables. Apagar una herramienta no tiene riesgo; dejar funcionando una que nadie conoce, sí.
Implantar herramientas de IA conformes al RGPD — mit ZeuZ IT
Seguimos el orden descrito arriba: inventario de las herramientas en uso, valoración por finalidad, revisión contractual y solo después la conexión técnica con sus procesos. Decimos con claridad cuando un proyecto no compensa: una herramienta que ahorra dos horas al mes y cuesta cuatro de revisión no la recomendamos.
Trabajamos con precios fijos, de modo que el coste está cerrado antes de empezar. Cuéntenos en una primera conversación breve la tarea concreta en la que quiere usar IA: le respondemos con una valoración en materia de protección de datos y un precio fijo para la implantación.