Cómo utilizar la IA en mi empresa y cumplir el RGPD y la LOPDGDD
Cómo utilizar la IA en mi empresa y cumplir el RGPD y la LOPDGDD
Las empresas que quieran seguir siendo competitivas en los próximos años tendrán que incorporar la inteligencia artificial a sus procesos internos. La IA ya permite ahorrar tiempo, automatizar tareas, mejorar la atención al cliente y aumentar la productividad.
Ahora bien, utilizar IA también puede generar riesgos relevantes para la protección de los datos personales. Por eso, el reto no consiste en renunciar a estas herramientas, sino en utilizarlas de forma compatible con la normativa.
La opción con mayores garantías de privacidad sería utilizar modelos de IA de código abierto, instalarlos en equipos propios ubicados en las instalaciones de la empresa y ejecutarlos en local, sin enviar datos a internet. Sin embargo, este enfoque suele tener una barrera de entrada elevada: exige inversión en hardware, conocimientos técnicos y una capacidad de mantenimiento que no todas las empresas tienen al empezar.
Por eso, en la práctica, lo más razonable para la mayoría de empresas es empezar utilizando herramientas de terceros, pero hacerlo bien desde el principio.
Así pues, las dos preguntas clave que debes plantearte para utilizar IA en tu empresa son estas:
- Qué herramientas puedes utilizar.
- Para qué las vas a utilizar.
Qué herramientas de IA pueden utilizarse con garantías
Los principales proveedores de IA se encuentran hoy, sobre todo, en Estados Unidos, aunque también existen alternativas europeas. Desde el punto de vista de protección de datos, lo importante no es solo el país de origen del proveedor, sino dónde se tratan los datos, qué condiciones contractuales ofrece y qué garantías existen para las transferencias internacionales. La Comisión Europea ha reconocido como adecuado, en el caso de Estados Unidos, únicamente a las organizaciones adheridas al EU-US Data Privacy Framework; fuera de ese supuesto, las transferencias deben apoyarse en otras garantías, como las cláusulas contractuales tipo. China no cuenta con decisión de adecuación de la Comisión Europea.
Por eso, no basta con decir que una herramienta “es americana” o que “tiene plan de empresa”. Hay que revisar caso por caso:
- si el proveedor actúa como encargado del tratamiento,
- si ofrece condiciones contractuales adecuadas,
- si utiliza o no los datos introducidos para entrenar sus modelos,
- y qué mecanismo jurídico ampara, en su caso, la transferencia internacional de datos.
En términos prácticos, la primera medida recomendable es aprobar una política interna de uso de IA y comunicar a toda la plantilla que no deben utilizar herramientas gratuitas o cuentas personales para tratar datos de clientes, trabajadores, proveedores o cualquier otra información confidencial de la empresa.
Además, cuando una herramienta vaya a utilizarse en el ámbito profesional, conviene contratar siempre la versión empresarial adecuada y revisar previamente sus condiciones de privacidad, su acuerdo de tratamiento de datos y sus reglas sobre reutilización de la información.
Para qué usos puede utilizarse la IA
La segunda cuestión es valorar para qué vais a utilizar la IA.
La IA puede aplicarse a muchísimas finalidades, pero desde el punto de vista jurídico hay una diferencia esencial entre:
- usos de bajo o medio impacto para la privacidad, y
- usos de alto riesgo, que pueden exigir un análisis previo más profundo y, en muchos casos, una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
El RGPD exige realizar una EIPD cuando sea probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. La AEPD recuerda, además, que esta obligación aparece con especial frecuencia cuando hay perfilado, decisiones automatizadas con efectos significativos, uso de categorías especiales de datos, biometría u observación sistemática.
A continuación, te dejamos una lista orientativa de posibles usos de la IA en la empresa. Los que aparecen destacados son los que, con mayor frecuencia, pueden implicar alto riesgo para la privacidad y requerir un análisis jurídico previo, y en muchos casos una EIPD.
Usos de IA en la empresa: ejemplos orientativos
A continuación exponemos una serie de ejemplos de uso.
Los que están en letra normal, en principio no suponen un alto riesgo para la privacidad.
Las que están en negrita, sí suponen un alto riesgo y no deberíais acometerlas sin un estudio previo de vuestro consultor de protección de datos. [Definimos entre corchetes la razón por la que se puede clasificar como alto riesgo]
🔊 Herramientas de análisis de audios
- Para transcribir conversaciones presenciales, telefónicas o por videoconferencia.
- Para detectar niveles de estrés o estados emocionales de clientes
[Puede implicar perfilado e inferencias sobre aspectos personales especialmente sensibles; si además se apoya en biometría o categorías especiales, el riesgo aumenta notablemente. Art. 9 RGPD y art. 35 RGPD.] - Para identificar o autenticar clientes en llamadas mediante la voz
[Puede implicar tratamiento de datos biométricos para identificar de manera unívoca a una persona, lo que incrementa el riesgo y puede exigir EIPD.]
📝 Herramientas de análisis de textos
- Para revisar correos electrónicos de clientes.
- Para revisar solicitudes de soporte.
- Para procesar solicitudes de clientes mediante chatbots, formularios o WhatsApp.
- Para evaluar el rendimiento de trabajadores mediante el análisis de sus comunicaciones
[Puede suponer monitorización sistemática en el ámbito laboral. La LOPDGDD exige cautela reforzada en el control empresarial sobre empleados.]
🎥 Herramientas de análisis de vídeo
- Para evaluar el rendimiento de trabajadores mediante vídeo
[Puede implicar observación sistemática y afectar directamente a la intimidad en el ámbito laboral. La LOPDGDD regula expresamente la videovigilancia en el trabajo.] - Para reconocimiento facial en control de accesos, fichaje u otras finalidades
[Puede implicar datos biométricos para identificación unívoca, con riesgo elevado y necesidad frecuente de EIPD.]
🤖 Automatización e IA generativa
- Para redactar correos electrónicos o documentos.
- Para resumir información interna o documentación.
- Para generar contenido de marketing, blog o redes sociales.
- Para tomar decisiones automatizadas sobre clientes, como scoring, priorización o aceptación de solicitudes
[Puede entrar en el ámbito del art. 22 RGPD si produce efectos jurídicos o afecta significativamente a la persona.]
📊 Análisis de datos y predicción
- Para análisis estadístico de clientes sin perfilado individual.
- Para segmentación básica de clientes.
- Para perfilado avanzado de clientes según comportamiento, solvencia, hábitos o preferencias
[La AEPD identifica el perfilado y la valoración sistemática de personas como uno de los indicadores más claros de necesidad de EIPD.] - Para predecir comportamientos de compra, abandono, riesgo o impago
[Puede constituir evaluación sistemática de aspectos personales y elevar el nivel de riesgo.]
👨💼 Recursos humanos
- Para filtrar CVs automáticamente.
- Para utilizar IA que decida o condicione de forma decisiva la contratación de candidatos
[Puede suponer decisiones automatizadas con impacto significativo sobre la persona.] - Para analizar emociones o comportamiento en entrevistas mediante vídeo o audio
[Uso muy intrusivo, con alto riesgo para la privacidad y fuerte necesidad de justificación y proporcionalidad.]
📍 Geolocalización y control
- Para geolocalizar empleados en tiempo real mediante vehículos, móviles u otros dispositivos
[La LOPDGDD regula específicamente la geolocalización en el ámbito laboral y exige información previa, clara y expresa, además de respetar los límites de proporcionalidad.]
Qué debe hacer una empresa antes de implantar IA
Antes de empezar a utilizar una herramienta de IA en la empresa, conviene revisar al menos estos puntos:
- qué datos personales van a introducirse en la herramienta,
- con qué finalidad concreta se va a utilizar,
- si el proveedor ofrece garantías contractuales suficientes,
- si existe transferencia internacional de datos y con qué base jurídica,
- si el uso previsto puede implicar alto riesgo, perfilado, biometría o decisiones automatizadas,
- y si hace falta realizar una Evaluación de Impacto.
Además, la empresa debe aplicar el principio de responsabilidad proactiva y adoptar medidas organizativas adecuadas: política interna de uso de IA, control de accesos, formación al personal, selección correcta de proveedores y limitación de finalidades. La propia LOPDGDD, en su art. 5, refuerza el deber de confidencialidad, y en sus arts. 89 y 90 establece límites específicos en videovigilancia y geolocalización en el ámbito laboral.
Conclusión
La IA no es incompatible con la protección de datos. Lo que sería incompatible es implantarla sin criterio.
La clave no está en prohibir su uso, sino en elegir bien la herramienta, contratarla correctamente y definir con precisión para qué se va a utilizar. Una empresa puede beneficiarse enormemente de la inteligencia artificial si actúa con orden, prudencia y responsabilidad: utilizando proveedores con garantías suficientes, evitando cuentas personales o gratuitas para fines profesionales, limitando los usos de alto riesgo y analizando previamente aquellos tratamientos que puedan afectar de forma intensa a los derechos de las personas.
En definitiva, no se trata de frenar la IA, sino de incorporarla bien. Y hacerlo bien significa usarla con utilidad empresarial, pero también con respeto al RGPD y a la LOPDGDD. Solo así el progreso tecnológico será realmente compatible con la seguridad jurídica y con la confianza de clientes, trabajadores y usuarios.
Por supuesto, estamos a vuestra disposición para ayudaros a abordar la incorporación de la IA en vuestra empresa.
