IA y protección de datos de tus clientes

¿Puedes subir documentos de tus clientes para resumirlos?

IA y protección de datos de tus clientes resultan de capital importancia para tu empresa, Un contrato, unas nóminas o un expediente, contienen datos personales. Basta con subir el archivo a una herramienta de inteligencia artificial y pedirle un resumen. El ahorro de tiempo puede ser importante. Pero ¿sabes qué ocurre con los datos que contiene ese documento?

Antes de utilizar IA con información de clientes, trabajadores o pacientes, tu empresa debe comprobar si puede hacerlo y con qué garantías. El Reglamento General de Protección de Datos, conocido como RGPD, también se aplica cuando esa información se utiliza con IA.

Solo quiero que me haga un resumen

Imagina un abogado que sube el expediente de un pleito para ordenar los documentos y resumirlos. Entre los archivos hay copias de DNI, informes médicos y declaraciones de víctimas, testigos o personas investigadas.

Su intención es ahorrar tiempo. Sin embargo, está incorporando a una herramienta información de personas que pueden verse afectadas si esos datos se exponen, se reutilizan o se interpretan de forma incorrecta.

Lo mismo puede ocurrir en una asesoría que revisa nóminas, una clínica que resume informes o una empresa que analiza currículos. Tener esos documentos para prestar un servicio no autoriza automáticamente a utilizarlos en cualquier herramienta de IA.

Antes de subir un archivo comprueba estas cuatro cosas

Qué información necesita realmente la IA. ¿Hace falta el documento completo? Si basta con un fragmento, evita incorporar nombres, DNI, direcciones o información de salud que no sea necesaria.
Qué hará el proveedor con los datos. Hay que revisar si los conserva, durante cuánto tiempo, quién puede acceder y si permite utilizarlos para entrenar o mejorar sus sistemas.
Qué garantías ofrece la herramienta. Una cuenta de pago no acredita por sí sola el cumplimiento. Deben revisarse las condiciones del servicio, el contrato que corresponda y la seguridad, incluido dónde se tratan los datos.
Quién revisará el resultado. El resumen debe comprobarse frente al documento original, especialmente si va a influir en una decisión sobre una persona.
Que una IA responda únicamente a partir de tus archivos no demuestra que estos se queden en tu ordenador. Tampoco una opción de “no entrenamiento” resuelve todas las cuestiones anteriores.

Un resumen puede cambiar el sentido de lo que ocurrió

Un testigo declara: “Creo que era esa persona, pero no puedo asegurarlo”. La IA lo resume así: “El testigo identificó a esa persona”.

La diferencia es importante. Se ha perdido una duda esencial y el resumen transmite una certeza que no existía. También podría omitir un dato favorable, confundir a dos personas o clasificar un expediente con una etiqueta equivocada.

Por eso, el riesgo no termina cuando se sube el archivo. También hay que controlar lo que devuelve la IA. Una respuesta bien escrita puede contener errores que afecten a un cliente, un trabajador o un tercero.

Borrar el nombre no siempre es suficiente

Cambiar un nombre por unas iniciales puede ayudar, pero la persona podría seguir siendo identificable por su puesto, su empresa, una fecha o los hechos descritos. Si es posible reconocerla, la normativa de protección de datos sigue siendo aplicable.

La precaución debe ser mayor cuando se manejan informes médicos, información sobre la vida sexual o datos relacionados con procedimientos penales. Estos datos tienen una protección específica y requieren revisar cuidadosamente las condiciones de uso.

La normativa de IA no sustituye la protección de datos

Que un uso no se considere de alto riesgo según el Reglamento de IA no significa que esté libre de riesgos para la privacidad ni que cumpla el RGPD.

La empresa debe valorar los posibles daños para las personas y las medidas para evitarlos. Cuando sea probable un alto riesgo, será necesario realizar previamente una evaluación de impacto: un análisis más detallado de esos riesgos y de cómo reducirlos. No es una obligación automática por utilizar cualquier IA.

Revisa el uso de la IA con tu consultoría de protección de datos

Usar IA no obliga, por sí solo, a nombrar un delegado de protección de datos o DPO. Esa obligación depende de los supuestos previstos en la normativa. Lo que sí debe hacer la empresa es revisar cómo utiliza los datos personales y con qué garantías.

Tu consultoría de protección de datos puede ayudarte a comprobar qué herramientas son adecuadas para cada tarea, qué información puedes incorporar y qué pautas debe seguir tu equipo. La responsabilidad sobre el uso de los datos sigue correspondiendo a tu empresa.

En AMPYF te ayudamos a revisar el uso de la IA desde la protección de datos, con indicaciones prácticas adaptadas a tu actividad.

¿Tu equipo ya utiliza IA con documentos de clientes? Contacta con AMPYF y revisamos contigo cómo lo está haciendo.

IA y protección de datos de tus clientes | AMPYF