GuíasIA y cumplimiento
IA, RGPD y AI Act: qué debe comprobar una empresa
Dos textos, dos lógicas
El RGPD protege los datos personales. Se aplica en cuanto un sistema de IA trata información sobre personas: clientes, empleados, candidatos.
El reglamento europeo de IA (AI Act) regula los propios sistemas, según su nivel de riesgo. Se aplica por etapas y su calendario se ajustó por el camino. Las obligaciones de transparencia para los chatbots y los contenidos generados se aplican desde agosto de 2026; las reglas más pesadas, para los sistemas de alto riesgo, se aplazaron. Comprueba las fechas vigentes en el momento de tu proyecto.
Esta guía no es un asesoramiento jurídico. Lista lo que se comprueba en la práctica.
Qué datos van al modelo
Es la primera pregunta, y la más concreta.
- MinimizarEnvía solo lo que la tarea necesita. Un resumen de ticket no necesita el número de tarjeta.
- Anonimizar o enmascararCuando sea posible.
- ExcluirLas categorías sensibles salvo necesidad: salud, opiniones, datos de menores.
- Saber dónde se trataPaís, proveedor, subencargados.
El contrato con el proveedor del modelo
Para leer antes de conectar nada:
| Punto | Qué se busca |
|---|---|
| Entrenamiento | Tus datos no sirven para entrenar el modelo |
| Conservación | Plazo de conservación corto, o ninguno |
| Ubicación | Tratamiento en la Unión Europea si hace falta |
| Encargo | Un contrato de encargo del tratamiento firmado |
| Seguridad | Cifrado, control de accesos, certificaciones |
Las ofertas profesionales de los proveedores suelen diferir de las de consumo en estos puntos.
La transparencia
- Un chatbot se presenta como una IA.
- Un contenido generado que podría inducir a error se señala como tal.
- Se informa a las personas cuando una IA participa en una decisión que las afecta.
La supervisión humana
Ninguna decisión que cuente para una persona debe apoyarse solo en una IA: contratación, crédito, sanción, rescisión. Decide una persona, con capacidad real de contradecir a la máquina.
Clasificar tus usos por riesgo
La mayoría de los usos de una pyme son de bajo riesgo: redactar, resumir, clasificar, asistir. Algunos ámbitos están clasificados como de alto riesgo y conllevan obligaciones pesadas, en particular el empleo, la educación, el acceso al crédito y a los servicios esenciales. Unas pocas prácticas están prohibidas. Si tu proyecto toca esos ámbitos, consulta a un jurista antes de construir.
Neutralidad y sesgos
En Votons, un comparador de programas políticos, la neutralidad está impuesta por el código: posiciones anonimizadas, paridad entre izquierda y derecha, y cada ficha preparada por un agente la revisa un agente verificador y después una persona. Cuando un tema es sensible, las reglas no se dejan a una consigna.
La lista de control
- Un registro de los usos de IA: qué, con qué datos, con qué proveedor.
- Una regla interna sobre lo que se puede dar a un modelo.
- Contratos de encargo del tratamiento al día.
- El aviso de IA en los chatbots y en los contenidos afectados.
- Una revisión humana antes de toda salida que comprometa.
- Un registro de las acciones de los agentes.
- Un responsable con nombre.
Para la puesta en práctica, consulta Integrar la IA en una pyme y Chatbot de IA.
Preguntas frecuentes
- ¿Se pueden enviar datos de clientes a un modelo de IA?
- El RGPD se aplica como con cualquier encargado del tratamiento: hace falta una base legal, un contrato de encargo, datos limitados a lo necesario e información a las personas afectadas. Comprueba también dónde se tratan los datos y si se usan para entrenar el modelo.
- ¿Un chatbot debe decir que es una IA?
- Sí. El reglamento europeo de IA prevé una obligación de transparencia: una persona debe saber que interactúa con un sistema de IA. También es una cuestión de confianza.
- ¿Esta guía sustituye a un asesoramiento jurídico?
- No. Da los puntos de control prácticos. El calendario de aplicación del reglamento europeo ha cambiado, y los casos sensibles requieren un jurista o tu delegado de protección de datos.
