Usar IA con datos de clientes sin saltarse la ley
Pegar un contrato, una nómina o un listado de clientes en un chat de IA es un tratamiento de datos personales. Qué exige el RGPD en España y la Ley 21.719 en Chile, y cómo se hace bien sin renunciar a la herramienta.
· Cumplimiento de IA y datos
La escena se repite en casi todas las oficinas: alguien pega en un chat de inteligencia artificial un contrato, una nómina o un listado de clientes para que se lo resuma. Nadie lo hace con mala intención y casi nadie sabe que acaba de hacer algo con nombre jurídico: una comunicación de datos personales a un tercero, muchas veces fuera del país.
Este artículo no va de prohibir la IA. Va de usarla sin que un día eso salga caro.
Qué dice la ley, en corto
En España
El RGPD y la LOPDGDD se aplican en cuanto los datos permiten identificar a una persona. Lo que exigen aquí es concreto: una base legal para el tratamiento, un contrato de encargado con el proveedor (artículo 28), constancia del tratamiento en el registro de actividades (artículo 30) y, si el tratamiento es de alto riesgo, una evaluación de impacto (artículo 35). Si el proveedor está fuera del Espacio Económico Europeo, además hacen falta garantías para la transferencia internacional.
A eso se le suma el Reglamento (UE) 2024/1689 de inteligencia artificial, que añade obligaciones de transparencia: hay que decirle a la persona cuándo está hablando con una máquina y cuándo un contenido se ha generado con IA. Con una excepción importante para quien publica: el artículo 50.4 exime de etiquetar el texto cuando hay revisión humana y alguien asume la responsabilidad editorial.
En Chile
La Ley 21.719 sustituye a la antigua Ley 19.628 y trae un marco muy parecido al europeo: bases de licitud, derechos ARCOPOL, registro de actividades de tratamiento, evaluación de impacto para tratamientos de riesgo, notificación de brechas y un organismo con potestad sancionatoria. Su calendario de entrada en vigor es gradual, con vigencia plena prevista para diciembre de 2026, así que el momento de ordenarlo es ahora y no cuando empiecen las sanciones.
Lo que hay que hacer, en la práctica
1. Seudonimizar antes de enviar, no después
El paso que resuelve el 90 % del problema: quitar del documento el nombre, el NIF o RUT, la dirección y el número de cuenta en tu propio equipo, antes de que nada salga a internet. Un documento sin identificadores sigue sirviendo para que la IA lo resuma, y ya no es un dato personal viajando.
2. Elegir proveedor por el contrato, no por el precio
Lo que hay que comprobar por escrito: que no entrena sus modelos con lo que le envías, cuánto tiempo conserva las conversaciones, dónde están los servidores y si ofrece contrato de encargado del tratamiento. Un plan de consumo doméstico casi nunca trae eso; el plan de empresa del mismo producto, a menudo sí.
3. Escribir quién puede usar qué
Una hoja, no un manual: qué herramientas están aprobadas, qué tipo de información no sale nunca —documentación de clientes, datos de salud, credenciales— y a quién se pregunta en caso de duda. Sin esa hoja, cada persona decide por su cuenta y tú te enteras después.
4. Dejar la decisión final en una persona
Esta es la regla que no se negocia cuando hay datos de terceros de por medio: la salida de una herramienta de IA con efecto fiscal, contable, laboral o legal es un borrador. Lo revisa y lo firma un profesional antes de presentarse en nombre de nadie. Además de ser lo correcto, es lo que sostiene la exención de etiquetado del artículo 50.4.
El error que más caro sale
No es usar IA. Es usarla sin poder demostrar cómo. Cuando la autoridad pregunta, lo que pide es papel: el registro de actividades, el contrato con el proveedor, la evaluación de impacto si tocaba. Una empresa que hace todo bien pero no lo tiene documentado está, ante una inspección, en la misma posición que otra que no hace nada.
Si esto es tu caso
Ponerlo en orden no es un proyecto de meses: es inventariar qué herramientas se usan, seudonimizar lo que salga, revisar los contratos de los proveedores y dejar escrito el registro y la política interna. Eso es exactamente cumplimiento de IA y protección de datos. Si además quieres que el equipo aprenda a usar estas herramientas sin meter la pata, va aparte: formación en IA para el equipo.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Montamos estos sistemas con el registro de tratamientos y el contrato de encargo hechos desde el principio, que es justo lo que se olvida cuando solo se mira el modelo. Puedes ver qué hacemos y a qué precio.
Fuentes: Reglamento (UE) 2016/679, RGPD; Reglamento (UE) 2024/1689 de inteligencia artificial; Agencia Española de Protección de Datos; Ley 21.719 de Chile. Guía informativa, no sustituye asesoramiento jurídico.