RGPD e inteligencia artificial: qué puedes hacer y qué no

Aviso de entrada: esto es orientación práctica de quien monta estos sistemas, no asesoramiento jurídico. Para un caso concreto, y sobre todo si tratas datos sensibles, habla con un abogado especializado.

Dicho eso, hay una serie de cosas que se repiten en todos los proyectos y que conviene tener claras antes de empezar.

1. La IA no es una excepción

Si un dato personal pasa por un modelo de IA, sigue siendo un tratamiento de datos personales. Aplican las mismas reglas que si lo metieras en una hoja de cálculo: base legal, información al interesado, plazo de conservación y derechos.

Lo que cambia es que ahora ese dato sale de tu sistema y va a un tercero, normalmente fuera de la Unión Europea. Y eso hay que resolverlo.

2. Tu proveedor de IA es un encargado del tratamiento

Si mandas datos de tus clientes a un proveedor de modelos, ese proveedor trata datos por cuenta tuya. Necesitas:

• Un contrato de encargado del tratamiento firmado (los grandes proveedores lo tienen disponible, hay que aceptarlo expresamente).
• Que el proveedor aparezca en tu registro de actividades de tratamiento.
• Revisar si hay subencargados y si te avisan cuando cambian.

Si nadie en tu empresa sabe decirte si ese contrato está firmado, probablemente no lo esté.

3. Transferencias fuera de la UE

La mayoría de proveedores de modelos procesan fuera del Espacio Económico Europeo. Eso no está prohibido, pero exige una base para la transferencia: decisión de adecuación o cláusulas contractuales tipo, con su análisis de impacto correspondiente.

Alternativas si esto te pesa:

• Proveedores con procesamiento en región europea. Cada vez hay más y suele ser una casilla en la configuración.
• Modelos abiertos en tu propio servidor. El dato no sale de tu infraestructura. Cuesta más montarlo y da menos calidad que los modelos punteros, pero para clasificar textos o extraer campos va sobrado.

4. Los datos de entrenamiento

Pregunta clave a tu proveedor: ¿usáis lo que os mando para entrenar vuestros modelos?

En los planes de empresa la respuesta suele ser que no por defecto. En los planes de consumo y en muchas herramientas gratuitas, la respuesta suele ser que sí salvo que lo desactives. Es una diferencia enorme y se configura en dos clics.

Esto es exactamente el motivo por el que no debes dejar que tu equipo pegue datos de clientes en herramientas de IA personales. No es paranoia: es que estás cediendo datos sin base legal.

5. Decisiones automatizadas: el artículo 22

El RGPD da derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o significativos.

Traducido a la práctica:

La solución habitual es sencilla: que haya una persona que revise y pueda cambiar la decisión, y que el afectado pueda pedir esa revisión. No una revisión de mentira, de las de pulsar «aceptar» a ciegas.

6. Qué le tienes que contar al cliente

Si un bot atiende a tus clientes, en tu política de privacidad debería constar:

• Que hay un sistema automatizado atendiendo.
• Qué datos se recogen en esa conversación y para qué.
• Que intervienen proveedores tecnológicos, con las transferencias internacionales si las hay.
• Cuánto tiempo se guardan las conversaciones.
• Cómo hablar con una persona.

Y en la propia conversación conviene que el bot diga que es un bot. Además de razonable, es lo que va pidiendo la normativa europea de IA en materia de transparencia.

7. Conservación: el punto que casi todos suspenden

Las conversaciones de un bot son datos personales y no pueden guardarse indefinidamente «por si acaso». Define un plazo, escríbelo y prográmalo: un borrado automático a los X meses.

Si tu sistema guarda transcripciones desde hace dos años y no hay ninguna política de borrado, eso es un incumplimiento y además es el tipo de cosa que sale a la luz justo cuando hay una reclamación.

Lista de comprobación rápida

1. ¿Sé qué datos personales pasan por el sistema de IA?
2. ¿Tengo firmado el contrato de encargado con el proveedor?
3. ¿Está resuelta la transferencia internacional, si la hay?
4. ¿He desactivado el uso de mis datos para entrenar?
5. ¿Alguna decisión relevante se toma sin persona de por medio?
6. ¿Lo dice mi política de privacidad?
7. ¿Hay un plazo de borrado programado?
8. ¿Está en mi registro de actividades de tratamiento?

Si fallan tres o más, no es urgente parar el proyecto, pero sí lo es sentarse una tarde a arreglarlo antes de crecer.