Protección de datos (RGPD) e IA con los datos de tu empresa: qué conviene revisar

¿Cuándo entra en juego el RGPD?

Cuando hay datos personales, es decir, cualquier información sobre una persona a la que se pueda identificar. Mucha información de empresa no lo es: el stock de un almacén, las ventas por familia de producto o los plazos medios de entrega. Pero en cuanto aparecen nombres de empleados, contactos de clientes, clientes que son autónomos o particulares, o turnos con nombre y apellidos, sí lo es.

El primer ejercicio útil es separar las preguntas que necesitan datos personales de las que no. Muchas veces la respuesta a «¿qué ruta nos cuesta más?» no necesita saber quién la conduce.

¿Qué papel tiene el proveedor de IA?

Cuando el proveedor recibe datos personales para procesarlos por encargo de tu empresa, normalmente actúa como encargado del tratamiento. Eso exige un contrato que fije qué puede hacer con ellos y qué no. Los grandes proveedores suelen tener ese contrato disponible para sus servicios de empresa, pero hay que comprobar que se aplica a la cuenta y al servicio concretos que vas a usar.

Lo mismo vale para quien instala y mantiene el sistema: si accede a datos personales para hacer su trabajo, también tiene que estar previsto.

¿Dónde procesa los datos y cuánto los conserva?

• En qué países procesa la información. Si es fuera del Espacio Económico Europeo, hay que revisar cómo se cubre esa transferencia.
• Si permite elegir la región donde se procesa.
• Cuánto tiempo guarda lo que recibe y para qué: por ejemplo, para vigilar abusos durante un tiempo limitado.
• Si usa lo que recibe para entrenar sus modelos, y si eso se puede desactivar.
• Qué personas del proveedor pueden llegar a verlo y en qué casos.

Las respuestas cambian según el proveedor, el tipo de cuenta y, a veces, de un año para otro. Por eso conviene revisarlas al empezar y cada vez que cambies de IA.

Seudonimizar no es anonimizar

Seudonimizar es cambiar el nombre por un código de forma que, sin una información adicional guardada aparte, no se sepa quién es. Es una buena medida y el propio RGPD la menciona. Pero los datos seudonimizados siguen siendo datos personales, porque con la tabla de correspondencias se puede volver al nombre.

Anonimizar es otra cosa: que ya no sea posible identificar a la persona por ningún medio razonable. Es mucho más difícil de lo que parece, porque una combinación de datos sueltos, como el código postal, la edad y el puesto, puede bastar para saber de quién se habla.

Enviar solo lo necesario

El RGPD pide usar solo los datos necesarios para cada fin. Aplicado a la IA, significa que cada pregunta debe llevar lo justo. Un sistema que elige las filas y los campos de cada pregunta, en vez de enviar tablas enteras, encaja con esa idea. También ayuda decidir de antemano qué campos no salen nunca, como documentos de identidad, cuentas bancarias o datos de salud, y que esa regla la aplique el sistema, no la buena memoria de cada persona.

Registros, derechos de las personas y Reglamento de IA

Saber quién preguntó, qué datos se usaron y qué se envió a la IA te permite responder con hechos si una persona ejerce sus derechos o si hay que investigar un incidente. Pero el registro también contiene datos personales: necesita accesos restringidos y un plazo de conservación decidido de antemano.

Junto al RGPD está el Reglamento europeo de Inteligencia Artificial. Sus obligaciones dependen del papel de cada parte y del uso que se dé al sistema: no es lo mismo consultar ventas que usar la IA para decidir sobre personas, como en una selección de personal. Si tu uso se acerca a esos terrenos, merece una revisión específica.

• Anota el tratamiento en tu registro de actividades si incluye datos personales.
• Valora si hace falta una evaluación de impacto, sobre todo con datos sensibles o a gran escala.
• Informa a tu equipo de cómo se usa la herramienta y qué se registra.
• Revisa el contrato con el proveedor de IA y con quien mantiene la instalación.