Cuando usas una herramienta de IA, los datos que introduces salen de tu ordenador y llegan a un proveedor que puede estar fuera de la Unión Europea. Eso no es automáticamente ilegal, pero exige una base jurídica, un contrato y una revisión de qué información estás mandando. Muchas pymes empiezan por la herramienta y acaban por el cumplimiento.
La pregunta útil no es si la IA cumple el RGPD, sino si tu uso concreto lo cumple. Depende de los datos, de la finalidad y del proveedor. Aquí tienes las comprobaciones que evitan sustos sin convertir esto en un proyecto de consultoría de seis meses.
Base jurídica y finalidad
Necesitas una base para tratar datos personales: ejecución de un contrato, obligación legal, interés legítimo o consentimiento. Usar IA para responder correos de clientes suele encajar en la relación contractual; usarla para perfilar a los clientes y venderles más requiere un análisis distinto.
Documenta la finalidad antes de empezar. Si no puedes explicar en una frase para qué necesita el modelo esos datos, probablemente no deberías introducirlos en la herramienta, y tampoco tienes claro cuánto tiempo se van a conservar. Escribe esa frase y guárdala; dentro de un año te ayudará a decidir si sigues usando la misma herramienta.
Minimizar: menos datos, menos riesgo
No pegues la base de clientes completa para pedir un resumen. Anonimiza nombres, quita teléfonos y correos si no son necesarios, y trabaja con identificadores internos. El modelo no necesita saber quién es la persona para clasificar una reclamación o resumir un hilo de correo.
La minimización no es solo una obligación legal: reduce el daño si hay una brecha. Un texto sin nombres ni importes identificables sigue siendo útil para entrenar un borrador y no expone a nadie si el proveedor sufre un incidente.
- Nombres y apellidos completos.
- Números de teléfono y correos personales.
- Datos de salud, ideología o religión.
- Números de cuenta y datos de tarjeta.
- Contratos completos sin anonimizar.
Los datos de salud, ideología, religión y origen étnico son categorías especiales. No los introduzcas en herramientas de IA sin una base específica y asesoramiento previo.
El contrato con el proveedor
Revisa si el proveedor actúa como encargado del tratamiento y si tienes firmado el acuerdo correspondiente. Comprueba dónde se alojan los datos, si se usan para entrenar el modelo y cuánto se conservan. Si no puedes desactivar el entrenamiento con tus datos, valora otra herramienta.
Guarda una ficha por herramienta: finalidad, datos que se envían, proveedor, ubicación y fecha de revisión. Es lo primero que te pedirá un cliente exigente o una inspección, y tenerla a mano ahorra dos días de búsqueda de correos. Si cambias de proveedor, actualiza la ficha el mismo día.
Transferencias internacionales y evaluación de impacto
Si el proveedor está fuera del Espacio Económico Europeo, necesitas una garantía válida: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes. No basta con que la herramienta diga en su web que cumple el RGPD; pide el documento y guárdalo.
Para usos de riesgo, como analizar datos de empleados o clasificar clientes, haz una evaluación de impacto. Si el tratamiento puede afectar derechos, conviene tenerla escrita antes de implantar, no después de que alguien reclame por una decisión automática. Si no sabes cómo redactarla, pide ayuda antes de lanzar el proyecto.
Preguntas frecuentes
¿Puedo usar ChatGPT con datos de clientes?
Depende de la versión y del contrato. Las cuentas de empresa suelen ofrecer más garantías que las gratuitas, pero debes comprobar si se usa para entrenar, dónde se aloja y cuánto se conserva. Con datos identificativos, mejor anonimizar.
¿Hace falta avisar a los clientes?
No siempre, pero sí informar en tu política de privacidad de que usas herramientas de terceros para gestionar la relación. Si el uso cambia la finalidad del tratamiento, tendrás que actualizar la información y, en algunos casos, pedir consentimiento.
¿Qué pasa si la herramienta sufre una brecha?
El proveedor debe notificarte sin dilación y tú valoras el riesgo para los interesados. Si hay riesgo alto, tienes que comunicarlo a la autoridad de control y, en su caso, a las personas afectadas. Ten el procedimiento escrito.