Tu equipo ya usa la IA. La pregunta es si están entrando en ella nombres de clientes, números de DNI, IBAN o datos de salud, y si podrías justificarlo ante un regulador. Repasa estas diez preguntas.
1. ¿Son datos personales?
Nombres, correos, teléfonos, números de DNI o NIE, IBAN y números de tarjeta lo son. También cualquier información que permita identificar a una persona combinada con otra. Los datos de salud son una categoría especial según el artículo 9 del RGPD y exigen una base jurídica más sólida.
2. ¿Tienes una base jurídica?
Enviar datos a un servicio de IA es un tratamiento. Necesitas una base del artículo 6: por ejemplo, la ejecución de un contrato con el cliente o un interés legítimo que hayas documentado y ponderado frente a sus derechos.
3. ¿El proveedor de IA es tu encargado del tratamiento?
Si el proveedor trata datos por cuenta tuya, necesitas un contrato de encargo del tratamiento según el artículo 28 que limite lo que puede hacer con ellos.
4. ¿El proveedor entrena con tus datos?
Muchos servicios de IA para consumidores pueden usar lo que envías para mejorar sus modelos. Las condiciones empresariales y de API suelen ser distintas. Revisa las condiciones exactas del servicio que usa tu equipo.
5. ¿Adónde van los datos?
Las transferencias fuera del Espacio Económico Europeo necesitan un mecanismo como una decisión de adecuación (incluido el Marco de Privacidad de Datos UE–EE. UU. para empresas estadounidenses certificadas) o cláusulas contractuales tipo. Debes saber cuál se aplica.
6. ¿Puedes enviar menos?
La minimización de datos (artículo 5.1.c) es la protección más eficaz que tienes. La mayoría de tareas, como resumir, clasificar o redactar, funcionan igual de bien si antes se sustituyen los nombres y los identificadores por tokens. Los datos seudonimizados siguen siendo datos personales si puedes reidentificarlos, pero el riesgo es mucho menor.
7. ¿Necesitas una EIPD?
La evaluación de impacto relativa a la protección de datos (artículo 35) es obligatoria cuando es probable que el tratamiento suponga un alto riesgo, por ejemplo al aplicar nuevas tecnologías a datos sensibles o a gran escala. Muchos usos de la IA cumplen ese criterio.
8. ¿Lo has comunicado?
Tu política de privacidad debe explicar qué haces con los datos personales, incluido si los tratan servicios de IA.
9. ¿Cuánto tiempo se conservan?
Comprueba cuánto tiempo guarda el proveedor las peticiones y los resultados, y cuánto tiempo conservas tú los registros.
10. ¿Tu equipo conoce las reglas?
Redacta una política breve: qué herramientas de IA están aprobadas, qué datos pueden introducirse y cuáles nunca. Desde febrero de 2025, el Reglamento europeo de IA exige además que el personal que usa IA tenga una alfabetización en IA adecuada.
La respuesta práctica
Prohibir la IA rara vez funciona; la gente la usa igualmente. Un patrón más seguro es canalizar el uso de la IA a través de una única capa controlada que elimine los datos personales antes de que ningún modelo los vea, los mantenga en la UE y registre lo ocurrido. Puedes probar el paso de anonimización en la demo de nuestra página de inicio: se ejecuta por completo en tu navegador.