Cumplimiento del RGPD y del Reglamento de IA
Poner en regla el tratamiento de datos personales y el uso de inteligencia artificial: RGPD, LOPDGDD y el Reglamento europeo de IA.
Cada herramienta de IA que usa tu equipo trata datos de alguien, y casi siempre sin que nadie lo haya escrito. Levanto qué datos tratas, con qué base legal y qué sistemas los ven, y te dejo hecho lo que falta: el registro de actividades del artículo 30, los contratos de encargado, los textos que se publican y el protocolo de brechas.
Para quién es
- Empresas que ya usan IA en atención, ventas o back-office
- Despachos y asesorías que manejan documentación de terceros
- Startups a las que van a auditar el cumplimiento antes de invertir
- Negocios que tratan datos de salud, de menores o biométricos
Por qué acaba haciendo falta
El equipo ya usa inteligencia artificial. No porque nadie lo decidiera: porque alguien probó una herramienta que le ahorraba media hora al día y se la enseñó al de al lado. Hoy hay documentos de clientes pegados en un chat, currículums resumidos por un modelo y correos redactados con datos que no deberían haber salido del sistema.
Ninguna de esas personas está haciendo nada raro. El problema es que nadie escribió qué se puede pasar a una IA y qué no, y sin esa frase escrita cada uno decide por su cuenta y con buena intención. Cuando llega una reclamación, un cliente que pregunta o una auditoría antes de una inversión, no hay nada que enseñar.
Lo que se entrega aquí no es un informe para archivar: es el papeleo hecho y la regla escrita. El registro de tratamientos que exige el artículo 30, los contratos con cada proveedor que trata datos por ti, los textos que se publican, el inventario de qué herramienta usa cada área, y quién hace qué en las primeras setenta y dos horas si algo se escapa.
Qué entrego
- Registro de actividades — El del artículo 30 del RGPD, con base legal, plazos y destinatarios.
- Inventario de sistemas de IA — Qué herramientas usa cada área, con qué datos y quién revisa la salida.
- Evaluación de impacto (EIPD) — Cuando el artículo 35 la exige, con las medidas que bajan el riesgo.
- Contratos de encargado — El artículo 28 firmado con cada proveedor que trata datos por ti.
- Textos y avisos — Privacidad, consentimiento y el aviso de contenido generado con IA.
- Protocolo de brechas — Quién hace qué en las primeras 72 horas, escrito y ensayado una vez.
Qué incluye
- Registro de tratamientos
- Inventario de sistemas de IA
- Contratos y textos
- Protocolo de brechas
Lo que se decide antes de escribir una línea
- Con qué base legal tratas cada dato — Es la pregunta que ordena todo lo demás y casi nunca está contestada. No es lo mismo tratar los datos de un cliente para cumplir el contrato que para mandarle publicidad: cambia lo que puedes hacer, cuánto tiempo lo guardas y qué tienes que poder demostrar. Se decide tratamiento por tratamiento, no de golpe.
- Qué herramientas entran en el inventario — Todas las que usa el equipo, no las que están aprobadas. La diferencia entre las dos listas es el primer hallazgo de casi todos los levantamientos, y ocultarla no la elimina: solo la deja fuera de las medidas.
- Si hace falta evaluación de impacto — El artículo 35 la exige en supuestos concretos, y la exención del autónomo decae en cuanto se cumplen dos criterios de los que marca la autoridad. Se comprueba con la lista oficial en la mano y se deja escrito el porqué, que es lo que se pide si alguien pregunta.
- Qué se puede pasar a una IA — La salida más útil de todo el trabajo cabe en una página: qué datos pueden salir hacia un modelo, cuáles se sustituyen antes y cuáles no salen nunca. Escrito de forma que el equipo lo aplique sin preguntar cada vez, porque la regla que hay que consultar no se cumple.
Lo que no entra
- Asesoramiento jurídico ni representación: esto es trabajo de cumplimiento, no un despacho de abogados.
- Actuar como delegado de protección de datos de tu empresa.
- Presentar nada ante la autoridad de control en tu nombre.
- Implantar las medidas técnicas en tus sistemas, que se presupuestan como desarrollo.
- Auditoría de seguridad: es el servicio de ciberseguridad.
Lo que necesitas tener
- Media hora de conversación con una persona por cada área que trate datos.
- La lista de herramientas realmente en uso, aunque incluya las que nadie aprobó.
- Acceso a los contratos que ya tengas firmados con proveedores.
- Quién decide en tu organización cuando haya que elegir entre dos opciones válidas.
Preguntas frecuentes
¿Esto lo firma un abogado?
No, y por eso cuesta lo que cuesta. Es trabajo de cumplimiento: levantamiento, documentación y medidas técnicas. Cuando hace falta criterio jurídico —una cláusula que se va a discutir, un conflicto ya abierto— te lo digo y eso lo firma un abogado.
¿Un autónomo sin trabajadores también tiene que llevar registro?
La exención del artículo 30.5 decae en cuanto el tratamiento no es ocasional o incluye categorías especiales, que es lo normal en cuanto tienes clientes y nóminas. En la práctica, casi cualquier negocio pequeño lo necesita.
¿Sirve si el equipo usa ChatGPT por su cuenta?
Sirve, y suele ser el primer hallazgo. Lo que sale de aquí es qué se puede pasar a una IA y qué no, escrito de forma que el equipo lo aplique sin tener que preguntar cada vez.
¿Cuánto tarda?
El levantamiento es una semana de entrevistas cortas, y la entrega depende de cuántas áreas y herramientas haya. El presupuesto sale por escrito después del primer contacto, cuando ya se sabe el tamaño real.
¿Esto lo tengo que repetir cada año?
No entero. Se revisa a los seis meses, y antes si cambia una herramienta o la norma. El registro es un documento vivo: lo que lo deja inservible es no tocarlo cuando algo cambia.
¿Y si ya tengo hecho lo del RGPD de hace años?
Se revisa y se aprovecha lo que siga valiendo. Lo que suele faltar es la parte de IA: el inventario de sistemas, quién revisa la salida y los avisos que pide el Reglamento europeo, que no existían cuando se hizo aquello.