Si tu organización utiliza inteligencia artificial con datos personales, debe revisar qué herramienta emplea, qué ocurre con la información y qué obligaciones le corresponden según el RGPD y el Reglamento Europeo de Inteligencia Artificial, conocido como AI Act.
Una asesoría consulta el estado de sus expedientes. Una empresa resume currículums. Un despacho analiza documentación de sus clientes. Un trabajador copia un correo para mejorar su redacción.
Son tareas habituales, pero pueden implicar datos personales: nombres, teléfonos, DNI, salarios o información de salud.
Antes de subir un documento, conviene responder a dos preguntas: qué sucederá con esos datos y para qué se utilizará la respuesta de la IA.
¿Utilizas una cuenta personal o una IA para empresas?
No basta con conocer el nombre de la herramienta. Una cuenta individual, una suscripción de pago y un servicio empresarial pueden tener condiciones diferentes.
Pagar por una IA no garantiza, por sí solo, que sea adecuada para tratar documentación de clientes o trabajadores.
La organización debe comprobar:
- Qué condiciones se aplican al servicio contratado.
- Quién puede acceder a las conversaciones y los archivos.
- Cuánto tiempo se conserva la información y cómo se elimina.
- Qué controles existen para gestionar usuarios y permisos.
- Si los empleados utilizan cuentas particulares para tareas profesionales.
Las garantías deben comprobarse en las condiciones contractuales y en la configuración efectiva del servicio.
¿Tus documentos se utilizan para entrenar la IA?
No todas las herramientas utilizan del mismo modo la información que reciben.
Hay que verificar si las conversaciones y los documentos pueden emplearse para entrenar o mejorar modelos, si es posible impedirlo y qué compromisos asume el proveedor.
Que los datos no se utilicen para entrenar tampoco significa que no se almacenen o que nadie pueda acceder a ellos. La conservación, los accesos y la intervención de otros proveedores también deben revisarse.
¿Quién es responsable y quién es encargado del tratamiento?
La organización debe identificar el papel que desempeña cada participante.
Cuando el proveedor de IA trata datos personales por cuenta de la organización, debe existir un contrato de encargo del tratamiento con las garantías exigidas por el RGPD.
En una asesoría u otro prestador de servicios puede darse una situación adicional: que trate los datos por cuenta de sus clientes y actúe como encargado del tratamiento. Incorporar un proveedor de IA puede suponer entonces recurrir a un subencargado.
En ese caso hay que comprobar las instrucciones del cliente, la autorización previa —específica o general— y las condiciones de subcontratación.
Disponer de un expediente para prestar un servicio no autoriza cualquier utilización posterior de sus datos.
¿Qué obligaciones establece el RGPD?
Antes de introducir datos personales en una IA, la organización debe revisar:
- La finalidad y la base jurídica: para qué necesita esos datos y qué permite tratarlos.
- La información de privacidad: si explica adecuadamente el tratamiento realizado.
- La minimización: utilizar únicamente los datos necesarios.
- La seguridad: controlar accesos, conservación y eliminación.
- Las transferencias internacionales: si existen y qué garantías las amparan.
- Los riesgos para las personas: qué perjuicios podrían producirse y cómo reducirlos.
El consentimiento no es obligatorio en todos los casos ni resuelve por sí solo estas cuestiones. Los datos de salud y otras categorías especialmente protegidas requieren condiciones adicionales.
También debe determinarse si resulta necesaria una evaluación de impacto en protección de datos (EIPD). No es automática por utilizar IA, pero sí será obligatoria cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.
La pirámide de riesgos de la IA: ¿dónde encaja tu organización?
El AI Act establece un enfoque basado en riesgos. Habitualmente se explica mediante una pirámide de cuatro niveles, aunque esta representación simplifica un régimen cuyas obligaciones pueden solaparse.
1. Riesgo inaceptable: prácticas prohibidas
Son usos que el Reglamento prohíbe. Por ejemplo, utilizar IA para inferir emociones de los trabajadores en el lugar de trabajo, salvo las excepciones médicas o de seguridad previstas.
2. Alto riesgo: obligaciones reforzadas
Comprende determinados usos que pueden afectar de manera importante a las personas. Por ejemplo, analizar y filtrar candidaturas o evaluar candidatos para un puesto de trabajo.
Estos sistemas están sujetos a requisitos específicos y a obligaciones diferentes para quienes los proporcionan y quienes los utilizan.
3. Riesgo limitado: obligaciones de transparencia
Es la denominación habitual para determinados usos en los que se exige informar sobre la intervención de la IA o el carácter artificial del contenido.
Por ejemplo, las personas deben poder saber que están conversando con un asistente de IA, salvo que resulte evidente en las circunstancias previstas por el Reglamento.
4. Riesgo mínimo o bajo
Incluye usos que no encajan en los supuestos anteriores, como preparar un borrador genérico o localizar fechas en documentación administrativa.
Esto no elimina las obligaciones de protección de datos ni otras que puedan resultar aplicables.
La clasificación depende de la finalidad concreta. Una misma herramienta puede redactar un texto comercial o evaluar candidatos, con consecuencias jurídicas muy diferentes.
¿Cómo se evalúan los riesgos del uso de la IA?
La organización debe conocer cómo utiliza la IA para determinar sus obligaciones. Recomendamos documentar una evaluación inicial con estas preguntas:
- ¿Qué tarea realiza? Resumir, clasificar documentos, evaluar personas o recomendar decisiones.
- ¿Qué datos recibe? Información identificativa, económica, laboral, sanitaria u otra.
- ¿Cómo se utiliza el resultado? Como borrador, como recomendación o para adoptar una decisión.
- ¿A quién puede afectar? Clientes, trabajadores, candidatos, menores u otras personas.
- ¿Qué puede salir mal? Filtraciones, errores, información inventada, discriminación o decisiones perjudiciales.
- ¿Qué controles se aplican? Restricciones de acceso, comprobación de fuentes y revisión humana.
El análisis debe permitir identificar prácticas prohibidas, clasificar el uso y concretar las medidas necesarias.
No todas las organizaciones tienen que aplicar el mismo procedimiento. El sistema formal de gestión de riesgos del artículo 9 del AI Act corresponde a los sistemas de alto riesgo; no se exige automáticamente a cualquier empresa que use un asistente de IA.
La organización también debe adoptar medidas para que su personal conozca el funcionamiento, los límites y los riesgos de las herramientas que utiliza.
AI Act y RGPD: dos análisis complementarios
La evaluación conforme al AI Act permite determinar qué función realiza la IA y qué obligaciones corresponden a ese uso.
El análisis de riesgos del RGPD examina cómo afecta el tratamiento de datos personales a las personas y qué garantías necesita.
Por ejemplo, una gestoría utiliza IA para localizar justificantes y consultar si un expediente está pendiente de notaría. Esa función puede no ser de alto riesgo según el AI Act.
Sin embargo, si introduce documentación personal en un servicio sin garantías adecuadas, puede generar riesgos importantes de protección de datos.
Que un uso no sea de alto riesgo según el AI Act no significa que cumpla el RGPD. Tampoco la presencia de datos sensibles convierte automáticamente el sistema en alto riesgo conforme al AI Act, aunque resulta relevante para evaluar el tratamiento de datos.
Antes de subir el próximo documento
Define qué herramientas están autorizadas, qué información puede introducirse y qué resultados deben comprobarse antes de utilizarlos.
Si una IA no encuentra un justificante en un expediente, no significa necesariamente que el trámite esté pendiente: puede faltar el documento o haberse interpretado incorrectamente.
La evaluación debe revisarse cuando cambien la herramienta, sus condiciones, los datos utilizados o las funciones que realiza.
En AMPYF ayudamos a las organizaciones a evaluar el uso de inteligencia artificial, identificar sus obligaciones conforme al AI Act y al RGPD y establecer medidas adecuadas para proteger los datos personales.
¿Tu organización ya utiliza IA con documentación de clientes o trabajadores? Contacta con AMPYF y revisa su uso con tu consultoría de protección de datos.
Fuentes: Reglamento Europeo de Inteligencia Artificial, RGPD y recursos de la AEPD sobre innovación y tecnología.
Comentarios recientes