Inteligencia artificial y RGPD en la empresa: lo mínimo que debes tener resuelto
Qué exige el RGPD cuando usas inteligencia artificial en tu empresa: base legal, proveedores, decisiones automatizadas y EIPD. Reserva tu Diagnóstico ya.
Meter IA en la empresa sin mirar el RGPD es la forma más rápida de convertir una mejora de productividad en un problema legal. No hace falta un departamento jurídico enorme para hacerlo bien, pero sí hay una lista corta de cosas que deben estar resueltas antes de conectar un modelo a datos reales de clientes o empleados. Esta guía cubre inteligencia artificial y RGPD en la empresa: qué exige la norma de verdad, qué no, y por dónde suelen entrar los problemas que nadie vio venir.
Por qué la IA no cambia el RGPD, pero sí cambia el riesgo
El RGPD no tiene un capítulo especial para inteligencia artificial. Las obligaciones son las mismas de siempre: base legal para tratar datos, minimización, transparencia, seguridad y derechos de las personas. Lo que cambia con la IA es la escala y la velocidad a la que se puede tratar información, y con ellas el riesgo si algo falla. Un empleado que copia manualmente datos de un cliente en una hoja de cálculo comete un error acotado; un sistema de IA mal configurado puede procesar miles de registros con el mismo fallo antes de que nadie se dé cuenta.
Por eso el punto de partida correcto no es preguntar “¿esto es legal?” en abstracto, sino “¿qué tratamiento de datos personales hace exactamente este sistema, y tiene base legal para hacerlo?”. Esa pregunta hay que hacérsela para cada uso de IA por separado, desde un chatbot de atención al cliente hasta un sistema que filtra currículums.
Lo mínimo que debe estar resuelto: checklist
| Punto | Qué exige en la práctica |
|---|---|
| Base legal del tratamiento | Saber si el tratamiento se apoya en consentimiento, contrato, interés legítimo u obligación legal, y que esté documentado |
| Minimización de datos | El sistema solo accede a los datos que necesita para su función, no a todo lo que hay disponible por comodidad |
| Contrato con proveedores de IA | Un contrato de encargado de tratamiento con cualquier herramienta de terceros que procese datos personales |
| Transparencia | Empleados y clientes saben que un sistema de IA participa en el proceso que les afecta |
| Evaluación de impacto (EIPD) | Obligatoria si el tratamiento es de alto riesgo (decisiones significativas, datos sensibles a gran escala) |
| Intervención humana real | En decisiones automatizadas con efectos legales o significativos (art. 22 RGPD) |
| Plazo de conservación | Los datos no se guardan más tiempo del necesario, tampoco dentro del propio sistema de IA |
| Registro de actividades de tratamiento | El uso de IA queda incluido en el registro que ya debería existir en tu empresa |
Ningún punto de esta lista es exclusivo de la IA. Lo que cambia es que, al introducir un sistema nuevo, es el momento en que la mayoría de empresas descubre que alguno de estos puntos nunca estuvo bien resuelto, ni siquiera antes de la IA.
1. Base legal, tratamiento por tratamiento
No existe una base legal única para “usar IA”. Cada uso concreto (responder consultas, analizar CVs, generar propuestas comerciales) es un tratamiento distinto y necesita su propia base legal identificada: consentimiento, ejecución de un contrato, interés legítimo o una obligación legal. Si no sabes contestar con cuál de estas cuatro opciones se sostiene un uso concreto de IA en tu empresa, ese uso no está resuelto todavía, funcione bien o mal.
2. Minimización: que el sistema vea solo lo que necesita
Un error habitual es conectar un asistente de IA a todo un buzón de correo o a toda una carpeta compartida porque es más rápido que decidir qué necesita realmente ver. Esto multiplica el riesgo sin aportar nada a cambio: si el sistema solo necesita responder sobre pedidos, no necesita acceso a las nóminas guardadas en la misma unidad. Este principio conecta directamente con cómo debe diseñarse un buscador interno con IA: heredando permisos existentes, no ampliándolos por comodidad técnica.
3. Proveedores de IA: el contrato de encargado que casi nadie revisa
Cuando usas una herramienta de IA de un tercero (un asistente de escritura, un CRM con IA integrada, un servicio de transcripción) y esa herramienta procesa datos personales de tus clientes o empleados, necesitas un contrato de encargado de tratamiento con ese proveedor. Este documento debe decir dónde se procesan los datos, durante cuánto tiempo se retienen y si se usan para entrenar el modelo del proveedor. Muchas empresas firman las condiciones de uso por defecto sin revisar este punto, y descubren el problema cuando ya llevan meses tratando datos sin cobertura contractual.
4. Transparencia con empleados y clientes
Si un sistema de IA participa en un proceso que afecta a una persona (filtrar candidaturas, responder una reclamación, valorar el riesgo de un cliente), esa persona tiene derecho a saberlo. No hace falta un aviso alarmante en cada interacción, pero sí una política de privacidad actualizada y, en procesos sensibles como selección de personal, una comunicación explícita. La opacidad no reduce el riesgo legal, lo aumenta cuando se descubre después.
5. Evaluación de Impacto (EIPD): cuándo es obligatoria
La EIPD no es obligatoria por usar IA, es obligatoria cuando el tratamiento tiene un riesgo alto para los derechos de las personas: decisiones automatizadas con efectos significativos, tratamiento de datos sensibles a gran escala, o vigilancia sistemática. Un chatbot que responde preguntas frecuentes con datos ya públicos probablemente no la necesita. Un sistema que puntúa candidatos a un puesto o decide condiciones de un servicio, sí. La forma correcta de saberlo es evaluarlo caso por caso, no asumir ninguna de las dos respuestas por defecto.
6. Decisiones automatizadas: el artículo 22 en la práctica
El RGPD reconoce el derecho a no quedar sujeto a una decisión basada únicamente en tratamiento automatizado cuando produce efectos legales o le afecta de forma significativa. Esto no prohíbe automatizar, exige que exista una intervención humana real y con capacidad de cambiar el resultado, no una firma simbólica sobre lo que la máquina ya decidió. Cuando se diseñan agentes de IA para empresas que ejecutan gestiones concretas, este punto debe quedar resuelto desde el diseño: qué decisiones puede tomar el agente solo y cuáles necesitan siempre revisión humana antes de ejecutarse.
El riesgo que casi nadie mide: la IA en la sombra
El problema más extendido no suele ser un proyecto de IA mal diseñado, es la falta de control sobre lo que los empleados ya están haciendo por su cuenta. Alguien pega un contrato completo en una herramienta gratuita para pedir un resumen, otro sube una base de datos de clientes a un servicio de transcripción sin preguntar a nadie. Esta “IA en la sombra” trata datos personales fuera de cualquier control, sin contrato de encargado y sin que la empresa sepa siquiera que está pasando. Antes de diseñar sistemas de IA sofisticados, conviene saber qué se está usando ya sin autorización, porque ese uso no autorizado es, con frecuencia, el mayor riesgo real.
Esto es precisamente lo que debería salir a la luz en una auditoría de inteligencia artificial bien hecha: no solo qué procesos automatizar, también qué se está haciendo ya con datos de la empresa sin que nadie lo haya autorizado ni revisado.
Cómo se resuelve esto en la práctica
- Mapear los usos de IA existentes, autorizados y no autorizados, y qué datos toca cada uno.
- Clasificar el riesgo de cada tratamiento: decidir cuáles necesitan EIPD, cuáles solo revisión de base legal y contrato con el proveedor.
- Cerrar los contratos de encargado con los proveedores de IA que ya se usan, antes de sumar herramientas nuevas.
- Definir dónde va la intervención humana en cualquier decisión automatizada con efecto real sobre una persona.
- Formar al equipo en qué se puede y qué no se puede pegar en una herramienta de IA externa. Una formación breve con casos concretos de la propia empresa reduce este riesgo mucho más que una política interna que nadie lee.
Este orden coincide con lo que ya explicamos en cómo elegir empresa de desarrollo de software con IA: un proveedor serio pregunta por estas cosas antes de escribir una línea de código, no las improvisa después de la entrega.
Poner esto en marcha sin frenar el proyecto
Nada de lo anterior significa renunciar a la IA ni ralentizar cada proyecto con burocracia. Significa resolver seis u ocho preguntas concretas antes de conectar datos reales, y dejarlas por escrito para no tener que responderlas de memoria si algo se revisa después. Un Diagnóstico (desde 1.900€) es el paso que mapea qué tratamientos con IA existen ya en tu empresa, cuáles necesitan ajuste antes de escalar y cuáles están, sencillamente, fuera de control. A partir de ahí, tanto el desarrollo a medida como la implantación se diseñan con estos requisitos resueltos desde el primer día, no añadidos después como un parche. Reserva tu Diagnóstico y averigua exactamente dónde está tu empresa hoy en esta lista.
Preguntas frecuentes
¿El RGPD prohíbe usar inteligencia artificial en la empresa?
No. El RGPD no prohíbe usar IA, exige que cualquier tratamiento de datos personales que la IA haga (leer correos, analizar CVs, responder a clientes) tenga base legal, esté documentado y respete los mismos derechos que ya aplicabas antes de meter un modelo de por medio. El problema no es la tecnología, es tratarla como si las reglas de protección de datos no le afectaran.
¿Necesito hacer una Evaluación de Impacto (EIPD) para usar IA?
Depende del riesgo del tratamiento, no del hecho de usar IA en sí. Si el sistema toma decisiones que afectan de forma significativa a personas (selección de personal, scoring de clientes, denegación de un servicio) o trata datos sensibles a gran escala, la EIPD es obligatoria antes de poner el sistema en marcha. Si es un uso interno de bajo riesgo, como resumir documentos ya autorizados, probablemente no haga falta, pero conviene documentar por qué se ha descartado.
¿Puedo usar ChatGPT o Copilot con datos de clientes sin más?
No sin control. Introducir datos personales de clientes en una herramienta de IA de terceros es un tratamiento con encargado, y necesita un contrato de encargado de tratamiento con ese proveedor, saber dónde procesa los datos y durante cuánto tiempo los retiene. Muchas fugas de datos no vienen de un ataque, vienen de un empleado pegando un contrato entero en un chat genérico para pedir un resumen.
¿Qué pasa si mi IA toma una decisión automatizada sobre una persona?
El artículo 22 del RGPD da derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado cuando produce efectos legales o significativos. En la práctica esto obliga a que exista intervención humana real y capacidad de revisión en decisiones como conceder un crédito, descartar un candidato o denegar un servicio, no un botón que un humano pulsa sin mirar lo que decidió el sistema.
¿Cuánto cuesta poner en regla el uso de IA en mi empresa?
No hay una cifra de catálogo porque depende de cuántos tratamientos hay que revisar y de con cuántos proveedores trabajas. En KDK el punto de partida es un Diagnóstico desde 1.900€ que mapea qué tratamientos con IA existen hoy en tu empresa (autorizados o no) y qué hay que resolver primero; el desarrollo o ajuste de sistemas se presupuesta por escrito según el alcance.
