← Blog
IA y RGPD: cómo utilizar la inteligencia artificial con datos personales de forma legal
¿Puede introducir datos personales en herramientas de IA? Base legal, contratos con encargados del tratamiento, transferencia fuera de la UE y medidas prácticas para un uso de la IA conforme a la normativa.
IA y RGPD se encuentran cada vez que un empleado introduce el nombre de un cliente, un correo electrónico, un currículum o un dato de salud en una herramienta de inteligencia artificial. El Reglamento General de Protección de Datos también se aplica a la IA: todo tratamiento de datos personales requiere una base legal, un contrato con el encargado del tratamiento y las medidas de seguridad adecuadas.
TL;DR — Aspectos clave
- El RGPD se aplica a cualquier introducción de datos personales en una herramienta de IA.
- Necesita un contrato de encargo de tratamiento (DPA) con el proveedor de IA.
- Preste atención a la transferencia de datos fuera de la UE.
- En procesos de recursos humanos, también se aplica la Ley de IA (alto riesgo).
Preguntas clave antes de usar IA con datos personales
| Pregunta | Por qué es importante |
|---|---|
| ¿Cuál es la base legal? | Sin ella, el tratamiento es ilegal |
| ¿Tenemos un contrato de tratamiento? | El proveedor de IA es el encargado según el artículo 28 |
| ¿Dónde se procesan los datos? | La transferencia fuera de la UE requiere protecciones adicionales |
| ¿Se usan los datos para entrenamiento? | Esto puede ser una finalidad nueva y no permitida |
| ¿Es necesaria una evaluación de impacto (EIPD)? | En tratamientos a gran escala o de riesgo, sí |
Medidas prácticas
- Utilice versiones empresariales de herramientas de IA con contrato de tratamiento.
- Elija el procesamiento en la UE cuando esté disponible (por ejemplo, Microsoft EU Data Boundary).
- Anonimice o seudonimice los datos antes de introducirlos.
- Actualice el registro de actividades de tratamiento (RAT).
- Realice una evaluación de impacto para casos de recursos humanos y similares.
- Instruya a los empleados con una política de IA clara.
Preguntas frecuentes
- ¿Puedo introducir el nombre de un cliente en ChatGPT?
- No recomendamos hacerlo en la versión gratuita sin contrato de tratamiento. En una herramienta empresarial con DPA y la base legal adecuada, puede ser admisible.
- ¿Cumple Microsoft 365 Copilot con el RGPD?
- Microsoft ofrece un contrato de tratamiento y el EU Data Boundary, pero el cumplimiento depende también de su uso y configuración.
- ¿Quién es responsable si la IA revela datos?
- El responsable del tratamiento, es decir, su empresa, sigue siendo responsable de la legalidad del tratamiento.
#RGPD#IA#datos personales#protección de datos