¿Cómo usar la IA en la empresa cumpliendo con la protección de datos?

IA y protección de datos en la empresa: qué dice la ley

El Reglamento general de protección de datos (RGPD) se aplica siempre que se tratan datos personales con IA, es decir, información que puede asociarse a una persona. Esto afecta no solo a las bases de datos de clientes, sino también a prompts con nombres, correos cargados, contratos, notas de conversaciones o documentación de candidaturas. Para cada uno de estos tratamientos hace falta una base jurídica conforme al art. 6 del RGPD.

Además rigen los principios del RGPD: limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación y seguridad del tratamiento. Para la IA significa, por ejemplo, introducir solo los datos necesarios para la tarea y comprobar la exactitud de los resultados sobre personas. Las autoridades alemanas de protección de datos han publicado al respecto, en la Conferencia de Protección de Datos (DSK), una guía de orientación sobre IA.

ChatGPT para empresas y RGPD: cómo revisar correcta­mente al proveedor

Quien utiliza ChatGPT u otros asistentes de IA en la empresa convierte, por lo general, al proveedor en encargado del tratamiento. Entonces se necesita un contrato de encargado del tratamiento conforme al art. 28 del RGPD, que muchos proveedores ofrecen para sus tarifas Business y Enterprise. En los accesos gratuitos o privados suele faltar: uno de los motivos más importantes para pasar a accesos empresariales gestionados de forma centralizada.

Compruebe además si sus entradas se utilizan para el entrenamiento de los modelos, durante cuánto tiempo se almacenan los datos y dónde tiene lugar el tratamiento. En proveedores con sede en EE. UU., la transferencia debe estar amparada, por ejemplo mediante una certificación conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) o mediante cláusulas contractuales tipo. Algunos proveedores ofrecen ya también el almacenamiento de datos en Europa.

Problemas típicos de protección de datos en el uso de la IA

La mayoría de los problemas de protección de datos con IA surgen en el día a día, no en el centro de datos. Empleados que copian una reclamación de un cliente con su nombre en una herramienta de chat pública, suben una lista de personal para su análisis o instalan una extensión del navegador que lee los contenidos. Sin reglas ni accesos empresariales, la empresa suele enterarse solo cuando algo ya ha salido mal.

Especialmente delicadas son las decisiones automatizadas con efectos significativos sobre las personas, por ejemplo en candidaturas o decisiones de crédito: aquí el art. 22 del RGPD fija límites estrictos. También las afirmaciones inventadas son un asunto de protección de datos cuando una IA genera datos falsos sobre personas reales, pues el RGPD exige que los datos tratados sean exactos y, en caso necesario, se rectifiquen.

• Cuentas privadas sin contrato de encargado del tratamiento
• Datos personales o confidenciales en los prompts
• Uso de las entradas para el entrenamiento de modelos
• Falta de información a las personas afectadas
• Afirmaciones falsas de la IA sobre personas reales
• Decisiones automatizadas sin revisión humana

Medidas técnicas: así se hace la IA respetuosa con la protección de datos

Muchos riesgos pueden mitigarse técnicamente. Si nombres, direcciones o números de cliente se eliminan o sustituyen automáticamente antes de pasarlos a un modelo de lenguaje, el riesgo disminuye considerablemente; esta seudonimización suele ser posible sin pérdida de calidad. En las integraciones propias mediante interfaz controlamos con precisión qué datos van al modelo, durante cuánto tiempo se guardan los registros y quién tiene acceso a ellos.

Para datos especialmente sensibles entran en consideración modelos de IA que funcionan en una nube europea o en infraestructura propia. En las bases de conocimiento con generación aumentada por recuperación (RAG), los permisos garantizan que la IA muestre a cada persona solo los contenidos que de todos modos puede ver. En Nano Concepts aplicamos estas medidas en la integración de IA, coordinadas con su protección de datos.

Medidas organiza­tivas: política, registro y formación

La técnica por sí sola no basta. Una política de IA establece qué herramientas están permitidas y qué datos pueden ir a qué herramientas. Todo tratamiento de datos personales con IA debe constar en el registro de actividades de tratamiento conforme al art. 30 del RGPD. La política de privacidad debe adaptarse cuando afecte a clientes o visitantes del sitio web, por ejemplo en un chatbot en la web o en la evaluación de solicitudes asistida por IA.

Si un tratamiento entraña probablemente un alto riesgo para los afectados —por ejemplo, con una evaluación amplia de datos de empleados o de salud—, debe realizarse una evaluación de impacto relativa a la protección de datos conforme al art. 35 del RGPD. Una formación sobre IA y protección de datos para todos los usuarios completa las medidas: explica, con ejemplos concretos de su día a día, qué está permitido y hace tangible la política.

Reglamento de IA y otras bases jurídicas en Alemania

Además del RGPD se aplica el Reglamento europeo de IA (AI Act). Sigue un enfoque basado en el riesgo: determinadas prácticas están prohibidas, para los sistemas de alto riesgo —por ejemplo en la selección de personal o la evaluación crediticia— rigen requisitos estrictos, y para los chatbots y los contenidos generados por IA se prevén obligaciones de transparencia. Para las empresas que utilizan IA rige además la obligación de velar por la competencia en IA de los empleados.

En Alemania se suman, entre otras, la Ley federal de protección de datos (BDSG), la TDDDG (ley sobre protección de datos en telecomunicaciones y servicios digitales, relevante para cookies y accesos a terminales), la Ley de constitución de empresas (BetrVG) y la protección de los secretos empresariales. De la supervisión de la protección de datos de las empresas se encargan las autoridades de los Länder. Las obligaciones del Reglamento de IA se aplican de forma escalonada y el legislador puede ajustarlas. Este resumen no sustituye el asesoramiento jurídico; compruebe el estado vigente con su asesoría.