Antes de conectar tu CRM a la IA: qué revisar de los datos personales

¿Qué datos personales hay en un CRM?

Más de los que parece, incluso si solo vendes a empresas. Cada ficha de contacto tiene el nombre de una persona, su cargo, su móvil y su correo. Si trabajas con autónomos o con profesionales, la propia ficha del cliente es una persona. Y el historial de llamadas, visitas y correos cuenta qué se habló con quién y cuándo.

El Reglamento general de protección de datos (RGPD) se aplica a cualquier información sobre una persona identificable, sea o no cliente particular. Que el dato esté en un programa de empresa no lo saca de esa definición.

El problema de las notas y los campos libres

Los campos con una lista cerrada, como la fase de una oportunidad, se controlan bien. Los campos donde cada comercial escribe lo que quiere, no. Ahí acaban comentarios que nadie pensó que fueran a leerse fuera de la ficha.

¿Qué datos necesita cada pregunta?

El RGPD pide usar solo los datos adecuados y necesarios para cada fin, lo que se conoce como minimización. Llevado a la práctica, eso significa mirar la lista de preguntas y quedarse con lo imprescindible. Para «¿qué oportunidades llevan más de sesenta días sin movimiento?» hacen falta la fecha de la última actividad, la fase, el importe y el comercial. El teléfono del contacto, no.

Esta decisión se toma dos veces: al elegir qué campos se copian para consultar y, después, en cada pregunta, al elegir qué datos de esa copia se envían a la IA. Las dos reducen lo que viaja y lo que podría salir mal.

Cambiar nombres por códigos: lo que ayuda y lo que no

Seudonimizar es sustituir los nombres por códigos antes de enviar los datos a la IA. La IA ve «CLI-0412» y el nombre real vuelve a aparecer en la pantalla solo para quien tiene permiso de verlo. Reduce mucho lo que llega fuera.

Pero no convierte los datos en anónimos. Mientras exista la tabla que permite volver al nombre, siguen siendo datos personales, y a veces un dato suelto, como un cargo poco común en una ciudad pequeña, basta para saber de quién se trata. Seudonimizar protege, pero el RGPD se sigue aplicando. Por eso conviene decidir también qué datos sueltos se tapan, no solo los nombres.

¿Quién puede ver qué del CRM?

En muchos programas de clientes cada comercial ve su cartera y dirección lo ve todo. Al consultar con IA, esas reglas tienen que mantenerse, y las aplica el sistema antes de buscar los datos. Si una comercial no ve las oportunidades de otra zona en el CRM, tampoco debe verlas al preguntar, ni en la respuesta ni en la indicación de dónde sale. Conviene revisar los permisos actuales antes de copiarlos: a veces el CRM deja ver más de lo que la empresa cree.

¿Qué revisar con quien te asesora?

La parte técnica ayuda, pero la valoración legal se hace para cada caso. Estos son los puntos que suelen salir:

• Para qué se van a usar los datos y en qué se apoya ese uso.
• El contrato con la empresa de IA como encargada del tratamiento y sus condiciones: dónde procesa la información, cuánto la guarda y si la usa para entrenar.
• Si los datos pueden tratarse fuera de la Unión Europea y con qué garantías.
• Cuánto tiempo se conserva el registro de consultas, que también contiene información.
• Si hay que actualizar el registro de actividades de tratamiento o la información que se da a los contactos.
• Si el uso previsto pide una evaluación de impacto.