Saltar a contenido

Datos personales e IA

En resumen

  • El RGPD se aplica plenamente cuando una herramienta de IA trata datos de personas. No hay ninguna excepción para la IA.
  • El riesgo más habitual no es un gran proyecto, sino alguien que pega datos de clientes o empleados en una herramienta no contratada.
  • Antes de usar IA con datos personales hacen falta tres cosas: proveedor con contrato, base legal clara y, si el riesgo es alto, una evaluación de impacto.

Situación verificada a 17 de septiembre de 2026.

Cuándo entra en juego el RGPD

Siempre que una herramienta de IA trate información sobre personas identificadas o identificables:

  • Lo que se introduce: un correo de un cliente, un currículum, una hoja con datos de empleados.
  • Lo que produce: una valoración, un perfil, una clasificación de clientes.
  • Lo que queda guardado: historiales de conversación y registros de uso.

No hace falta almacenar los datos para que se aplique: basta con tratarlos. Pedirle a una IA que resuma el correo de un cliente ya es un tratamiento de datos personales.

Antes de usar IA con datos: el recorrido rápido

  1. ¿La tarea usa datos de personas identificables?

    No → adelante, con herramientas aprobadas.

    Sí ↓

  2. ¿Se puede hacer sin identificar a nadie?

    Sí → quita nombres y datos identificativos, y adelante.

    No ↓

  3. ¿La herramienta está aprobada, con contrato de encargo del tratamiento y sin entrenar con vuestros datos?

    No → no usarla con estos datos. Consultad al comité.

    Sí ↓

  4. ¿Evalúa, perfila o decide sobre personas?

    No → adelante: base legal clara, informar a las personas y conservar solo lo necesario.

    Sí → riesgo alto: evaluación de impacto (EIPD) antes de empezar, revisión humana real e información a los afectados y, si son trabajadores, a su representación.

Los apartados siguientes desarrollan cada paso.

Los tres escenarios que más vemos

1. Uso diario de herramientas por el equipo

El riesgo: introducir datos personales en herramientas gratuitas o en cuentas personales. En ese caso no hay contrato con el proveedor, los datos pueden usarse para entrenar el modelo y no se sabe dónde acaban.

Qué hacer:

  • Ofrecer herramientas corporativas contratadas.
  • Dejar claro en la política de uso qué datos no se introducen nunca en herramientas no aprobadas.
  • Aplicar la regla práctica: si la tarea se puede hacer sin nombres ni datos identificativos, se hace sin ellos.

2. Un piloto o una herramienta que trabaja con datos de clientes o empleados

Qué hace falta antes de empezar:

Pregunta Por qué importa
¿Hay contrato de encargo del tratamiento con el proveedor (art. 28 RGPD)? Sin él, el proveedor no puede tratar datos por cuenta vuestra
¿El proveedor usa vuestros datos para entrenar sus modelos? En las versiones empresariales normalmente no, pero hay que comprobarlo en el contrato
¿Dónde se tratan los datos? Si salen del Espacio Económico Europeo, hacen falta garantías: decisión de adecuación o cláusulas contractuales tipo
¿Cuál es la base legal? Contrato, obligación legal, consentimiento o interés legítimo. Esta última exige una ponderación documentada
¿Se ha informado a las personas afectadas? El deber de información del RGPD también se aplica a los usos con IA
¿Cuánto tiempo se conservan los datos y los historiales? Solo el necesario para la finalidad

Sobre transferencias a EE. UU. El Marco de Privacidad de Datos UE–EE. UU. sigue siendo válido: el Tribunal General lo confirmó en septiembre de 2025. Pero hay un recurso pendiente ante el Tribunal de Justicia y dudas sobre la supervisión en EE. UU. Conviene que vuestros contratos no dependan solo de él: las cláusulas contractuales tipo son una buena red de seguridad.

3. IA que toma o apoya decisiones sobre personas

Es el escenario más delicado: selección de candidatos, evaluación del rendimiento, asignación de turnos, riesgo de clientes, concesión de crédito…

  • Decisiones automatizadas (art. 22 RGPD). Las personas tienen derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que les afecten de forma significativa. El Tribunal de Justicia (asunto SCHUFA, 2023) aclaró que una puntuación elaborada por IA puede contar como "decisión" si en la práctica determina el resultado, aunque la última palabra formal la tenga una persona. Por eso la revisión humana tiene que ser real, no un simple visto bueno.
  • Evaluación de impacto (EIPD). Es obligatoria cuando el tratamiento puede suponer un alto riesgo para las personas. La AEPD publica una lista de tratamientos que la requieren. En la práctica, casi cualquier uso de IA que evalúe o perfile a personas la necesitará.
  • Trabajadores. Informad a la representación legal de los parámetros del sistema (art. 64.4.d del Estatuto de los Trabajadores, vigente desde 2021). A partir de diciembre de 2027 se sumarán las obligaciones de alto riesgo del Reglamento de IA (ver calendario).

Si algo sale mal

Si se introducen datos personales donde no se debía, por ejemplo una base de clientes en una herramienta gratuita, puede ser una brecha de seguridad. Hay que:

  1. Contener: borrar lo posible y cortar el acceso.
  2. Valorar el riesgo para las personas afectadas, con quien lleve la protección de datos.
  3. Notificar a la AEPD en un máximo de 72 horas si hay riesgo para las personas y, si el riesgo es alto, informar también a los afectados.
  4. Documentarlo siempre, se notifique o no.

Lo importante es que el equipo lo comunique enseguida en lugar de esconderlo. Por eso insistimos en que reportar de buena fe no tenga consecuencias.

¿Cambiará el RGPD?

El paquete Ómnibus Digital incluye propuestas para modificar el RGPD, algunas pensadas para facilitar el desarrollo de IA. A septiembre de 2026 siguen en negociación y no cambian nada de lo que se aplica hoy. Las seguiremos en Novedades.

Qué se espera del comité

  • ¿Las herramientas de IA aprobadas tienen contrato de encargo del tratamiento y garantías de que no entrenan con nuestros datos?
  • ¿Sabemos en qué países se tratan los datos?
  • ¿Hay algún uso de IA que evalúe o perfile a clientes, candidatos o empleados? ¿Tiene su evaluación de impacto?
  • ¿Hemos informado a la representación de los trabajadores de los sistemas que les afectan?
  • ¿Sabe el equipo qué hacer y a quién avisar si se filtran datos personales en una herramienta de IA?
  • ¿Participa quien lleva la protección de datos (DPD o asesor externo) en las decisiones del comité que afectan a datos personales?

Fuentes oficiales