Protección de datos: qué sigue siendo tuyo y qué conviene revisar

¿Quién responde de los datos?

El Reglamento general de protección de datos (RGPD) distingue entre quien decide para qué y cómo se usan los datos, el responsable, y quien los trata por cuenta de otro, el encargado. Cuando tu empresa consulta su información con IA, la que decide sigue siendo ella. Conectar una IA no traslada esa responsabilidad a nadie.

Si durante la implantación o el mantenimiento vamos a acceder a datos personales por cuenta de tu empresa, lo habitual es que esa relación quede por escrito en un contrato de encargo del tratamiento. Con la empresa de IA, como la cuenta es tuya, la relación también es tuya: sus condiciones forman parte de lo que hay que revisar.

¿Qué conviene revisar antes de empezar?

Estas son las preguntas que suelen salir cuando una empresa empieza a consultar sus datos con IA. Te ayudamos con la parte técnica; la valoración legal corresponde a tu asesor.

• Qué datos personales entran: de clientes, de empleados, de proveedores, y si hay datos especialmente delicados, como los de salud.
• Para qué se van a consultar y si encaja con el motivo por el que se recogieron.
• Con qué base legal se tratan para ese uso.
• Qué perfiles pueden ver qué datos, y si alguno no debería salir nunca hacia la IA.
• Dónde procesa los datos la empresa de IA, cuánto tiempo los guarda y si hay envíos fuera del Espacio Económico Europeo.
• Cuánto tiempo se guarda el registro de preguntas y quién puede leerlo.
• Si hace falta una evaluación de impacto o informar a la plantilla.

Usar solo lo necesario, desde el diseño

El RGPD pide usar los datos justos para cada fin y pensar en su protección desde el diseño. La instalación está planteada así: para cada pregunta, el sistema elige solo los datos que hacen falta y deja fuera los campos que se hayan acordado.

Seudonimizar no es anonimizar

Seudonimizar es cambiar nombres por códigos antes de enviar los datos: la IA ve «Cliente 2318» y el nombre real vuelve a aparecer en la pantalla solo para quien tiene permiso de verlo. Es una buena medida, pero no hace los datos anónimos. Mientras exista la tabla que permite recuperar el nombre, siguen siendo datos personales.

A veces son otros campos los que delatan a la persona. Si en un centro solo hay una higienista de tarde, decir «higienista de tarde de Alcorcón» equivale casi a dar su nombre. Por eso se revisan también esos campos, no solo los nombres.

El registro ayuda, pero también hay que cuidarlo

Queda anotado quién preguntó, qué datos se usaron y qué se envió a la IA. Eso sirve para comprobar una respuesta o para saber qué ha pasado ante una incidencia. Pero el registro también contiene datos personales, así que se decide quién puede leerlo y durante cuánto tiempo se guarda. Y por sí solo no demuestra que se cumpla la ley.

¿Y el Reglamento de Inteligencia Artificial?

Sus obligaciones dependen del papel de cada parte y del uso que se dé a la IA. Consultar cuántos pedidos quedaron sin servir no es lo mismo que usar las respuestas para decidir sobre personas, como contratar, evaluar o conceder un crédito. Si tu caso se acerca a lo segundo, conviene revisarlo con detalle antes de empezar.

¿A quién puedes preguntar?

Si tienes dudas sobre cómo tratamos los datos, escribe a dpo@highcoredata.com. Para saber qué hacemos con lo que envías desde el formulario de la web, consulta la política de privacidad.