Proteger los datos de tu empresa al usar IA
El RGPD no tiene una excepción para la IA: los datos de clientes que entran en una herramienta de IA están sujetos a las mismas obligaciones que en cualquier sistema, y la diferencia práctica es que ahora hay que registrar qué entra en cada herramienta y verificar las garantías de cada proveedor. La base tiene tres gestos: inventario de herramientas, contratos de encargado de tratamiento y registro de datos. Este artículo recorre las reglas prácticas por tipo de herramienta, porque las garantías cambian según el plan y la forma de acceso.
Las tres reglas de base
Antes de los matices por herramienta, las tres reglas que cubren la base:
- Inventario. Listar las herramientas de IA en uso, qué datos entran en cada una y qué garantías ofrece cada proveedor. Es la primera tarea y la que evita el error más común: usar herramientas que nadie registró.
- Contrato de encargado de tratamiento. El contrato que obliga al proveedor a tratar los datos según tus instrucciones, con garantías de seguridad documentadas. Sin contrato, los datos personales no entran.
- Registro. Qué datos entran en cada herramienta, con qué finalidad y con qué base legal. El registro es lo que permite demostrar el cumplimiento; sin él, el cumplimiento es una impresión.
La AEPD, la autoridad española de protección de datos, publica las guías de referencia; el RGPD en el BOE es la norma base.
Por tipo de herramienta: las garantías cambian
| Herramienta | Garantías de datos | Datos de clientes | Riesgo |
|---|---|---|---|
| Versión gratuita de un asistente | Sin contrato de tratamiento | PROHIBIDO | Infracción directa |
| Plan de equipo (ChatGPT, Claude, Gemini) | Contrato de tratamiento | Sí, con registro | Bajo con registro |
| API con contrato | Contrato de encargado | Sí, con registro | Bajo con registro |
| Ejecución propia (modelo abierto) | Las que montes tú | Sí, con registro | Depende del montaje |
| Herramientas SaaS con IA (CRM, contabilidad) | El contrato del proveedor | Sí, con registro | Bajo con registro |
| Automatizaciones entre apps | El contrato de cada app del flujo | Sí, con registro | Revisar cada eslabón |
La regla que resume la tabla: el plan de pago con contrato de tratamiento es la vía mínima aceptable para datos de clientes en cualquier herramienta; la versión gratuita de consumo es la vía prohibida.
Versión gratuita: la infracción más común
El caso más común y el más grave: datos de clientes pegados en la versión gratuita de un asistente. La versión gratuita de consumo de ChatGPT, Claude o Gemini no ofrece contrato de tratamiento de datos; los datos que entran se usan según los términos del servicio de consumo.
Lo que eso significa en la práctica:
- Es una infracción del RGPD. Los datos personales en un servicio sin garantías de tratamiento incumplen las obligaciones de seguridad y de encargado. La falta de intención no excusa.
- No depende del tamaño de la empresa. La AEPD sanciona a autónomos y pymes igual que a grandes; la sanción escala con la gravedad, no con el tamaño.
- La corrección es barata. El plan de equipo o API con contrato cubre el caso desde unos 20-30 € al mes: la partida que evita la infracción es la más barata del conjunto.
Qué datos no meter nunca
Tres categorías con barrera máxima, y qué hacer con cada una:
- Datos especialmente protegidos del RGPD (salud, ideología, religión, biometría, orientación): fuera de cualquier herramienta de IA sin análisis de impacto previo. Las automatizaciones que los tocan llevan análisis de riesgo documentado.
- Secretos del negocio (precios de compra, fórmulas, datos financieros sensibles): solo en herramientas con contrato y solo cuando el proceso lo exige.
- Datos de terceros sin base legal (listas de contacto compradas sin consentimiento, datos scrapeados): el problema es anterior a la herramienta; meterlos en IA lo agrava.
La regla práctica: si el dato entraría en un sistema del negocio, entra en la IA con contrato; si no entraría, tampoco en la IA.
El AI Act: las obligaciones según el uso
Además del RGPD, el Reglamento europeo de IA añade obligaciones según el nivel de riesgo del uso. Para una pyme que usa IA en marketing, atención o administración:
- Transparencia: declarar cuándo el cliente interactúa con IA (el chatbot que se declara como tal) y marcar el contenido generado cuando sea relevante.
- Sistemas de alto riesgo de terceros: usarlos con conformidad acreditada; los usos de esta guía no caen en alto riesgo.
- Registro: la trazabilidad de qué se automatiza y con qué sistema es parte de las obligaciones.
La guía del AI Act para empresas recorre el ángulo por caso de uso, y el texto del reglamento está disponible con su calendario de aplicación.
Cómo hacer el inventario (la primera tarea)
El inventario tiene cuatro columnas y se hace en una tarde:
- Herramienta. Todas las de IA en uso: asistentes, chatbots, automatizaciones, funciones IA del CRM y del ERP.
- Datos que entran. Qué se pega, se envía o se procesa en cada una: correo, documentos, datos de clientes, nada.
- Garantías. Qué contrato tiene cada proveedor: tratamiento documentado, términos de consumo, nada.
- Acción. Para cada fila: OK con registro, corregir (mover a plan con contrato), retirar (fuera datos personales).
Con el inventario hecho, las correcciones van en orden de riesgo: las versiones gratuitas con datos de clientes primero, el registro del resto después.
El caso práctico: el inventario de una asesoría
Un caso tipo que muestra el inventario en acción: una asesoría de quince personas con IA en uso sin registro. El inventario de una tarde, con las cuatro columnas:
| Herramienta | Datos que entran | Garantías | Acción |
|---|---|---|---|
| ChatGPT (versiones gratuitas, 8 personas) | Correo de clientes pegado, datos de nóminas | Términos de consumo, sin contrato | CORREGIR: plan de equipo con contrato |
| Claude (plan equipo, 3 personas) | Documentos de clientes, contratos | Contrato de tratamiento | OK con registro |
| Chatbot de la web (plataforma SaaS) | Nombre, contacto, caso | Contrato del proveedor SaaS | OK con registro |
| Automatización de facturas (flujos entre apps) | Datos de facturas de clientes | El contrato de cada app del flujo | Revisar cada eslabón |
| Copiloto de código (agencia externa) | Sin datos de clientes (repositorio propio) | Contrato con la agencia | OK con registro |
La fila crítica es la primera: ocho personas pegando datos de clientes y nóminas en la versión gratuita. La corrección: plan de equipo con contrato (~40 €/mes extra para las 8 personas) y la regla escrita: los datos de clientes, solo en las herramientas con contrato.
Las filas de automatización requieren la revisión de cada eslabón: el flujo que pasa por tres apps exige tres contratos; el eslabón sin contrato es el punto de fuga del flujo.
El resultado del inventario: una infracción activa corregida por ~40 € al mes, dos herramientas con registro y un flujo con los eslabones revisados. El coste total de la tarde de inventario: cero (es tiempo interno).
Qué mirar en el contrato de tratamiento
El contrato de encargado de tratamiento tiene cinco puntos que conviene revisar antes de firmar, con el criterio para cada uno:
- Las instrucciones de tratamiento. El contrato debe limitar el uso de los datos a las instrucciones del cliente (procesar la petición), no permitir el uso para entrenamiento u otros fines. Es el punto que diferencia el plan de equipo del consumo.
- La ubicación y la transferencia. Dónde se procesan los datos y si hay transferencias internacionales: la transferencia a terceros países exige garantías específicas (cláusulas contractuales tipo). La jurisdicción del proveedor entra aquí.
- La seguridad documentada. Las medidas de seguridad del proveedor (cifrado, acceso, retención) documentadas en el contrato; el "es seguro" sin documento no es una garantía.
- La notificación de brechas. El plazo y la forma de notificar una fuga de datos al cliente: sin la cláusula, la brecha del proveedor se descubre por la prensa.
- La devolución y el borrado. Qué pasa con los datos al terminar el contrato: devolución y borrado documentados; sin la cláusula, los datos quedan en el proveedor.
Los cinco puntos son las cláusulas estándar de los contratos de encargado de los laboratorios y plataformas; el trabajo es leerlos y no asumirlos. La AEPD publica las guías de referencia.
Qué hacer si hay una fuga de datos
El escenario que conviene tener escrito antes de que ocurra, con el orden de las tareas:
- Contener. Retirar el acceso a la herramienta implicada, revocar credenciales, parar la automatización. La contención es la primera tarea y la urgente.
- Evaluar. Qué datos, cuántos, de quién, qué riesgo para los afectados. La evaluación decide las tareas siguientes.
- Notificar a la AEPD. Las brechas de datos personales se notifican a la autoridad en 72 horas cuando el riesgo es alto: es una obligación del RGPD con plazo.
- Notificar a los afectados. Cuando el riesgo para las personas es alto, la comunicación directa a los afectados: qué pasó, qué datos, qué hacer.
- Documentar. La causa, las tareas, las correcciones. El registro de la brecha es la partida que evita la repetición y la que demuestra la diligencia.
El plan escrito por adelantado es la diferencia entre la gestión y la improvisación; las medidas de base son las que reducen la probabilidad del escenario.
Fuentes
Si quieres revisar el inventario de tu negocio y las garantías de tus proveedores, cuéntanos tu caso: respondemos en menos de 24 horas laborables.
Preguntas frecuentes
¿Es legal usar IA con datos de mis clientes?
Sí, con condiciones: el RGPD sigue aplicando igual que con cualquier herramienta, el proveedor debe tener contrato de encargado de tratamiento y los datos deben registrarse. Lo que no es legal: meter datos personales en versiones gratuitas de consumo.
¿Qué es un contrato de encargado de tratamiento?
El contrato que obliga al proveedor a tratar los datos según tus instrucciones, con garantías de seguridad. Los planes de equipo y API de los laboratorios lo ofrecen; las versiones gratuitas de consumo, no.
¿Puedo pegar datos en ChatGPT o Claude?
Con un plan de equipo o API con contrato de tratamiento, sí según sus condiciones. Con la versión gratuita, no: los datos de clientes en la versión gratuita son una infracción del RGPD.
¿Qué datos no debo meter nunca en una IA?
Los datos especialmente protegidos del RGPD (salud, ideología, biometría) sin análisis de riesgo previo, y los secretos del negocio en herramientas sin contrato. El registro previo es la regla que evita el error.
¿Qué obliga el AI Act en España?
Según el uso: obligaciones de transparencia (declarar cuándo hay IA), y para sistemas de alto riesgo de terceros, conformidad acreditada. La guía del AI Act del blog recorre el ángulo por caso de uso.
¿Por dónde empiezo si ya uso IA sin registro?
Por el inventario: listar las herramientas en uso, qué datos entran en cada una y qué garantías tiene cada proveedor. Con el inventario, se corrige lo que falla en orden de riesgo.