Las Torres 20, 16001 Cuenca
web@consultoriaapc.es
Utilizar inteligencia artificial en una empresa no elimina las obligaciones de protección de datos. Cuando una herramienta de IA recibe, analiza, genera, clasifica o conserva información relativa a personas identificadas o identificables, puede existir un tratamiento de datos personales sujeto al RGPD y a la normativa española. Además, desde el 2 de agosto de 2026 buena parte del Reglamento Europeo de Inteligencia Artificial ya resulta aplicable.
Sí, siempre que el funcionamiento de la herramienta implique un tratamiento de datos personales.
El hecho de utilizar inteligencia artificial no crea una excepción al Reglamento General de Protección de Datos. Por tanto, antes de utilizar una solución de IA hay que analizar qué información recibe, para qué se utiliza, quién puede acceder a ella y qué ocurre posteriormente con esos datos.
Un caso aparentemente sencillo puede convertirse en un tratamiento de datos personales. Por ejemplo:
En estos casos no basta con preguntarse si la herramienta de IA es útil. La empresa debe analizar también qué datos está tratando y bajo qué condiciones.
Uno de los errores más habituales consiste en hablar de un único “reglamento de protección de datos sobre inteligencia artificial”. En realidad existen marcos regulatorios diferentes que pueden aplicarse simultáneamente.
El RGPD regula el tratamiento de datos personales y protege los derechos y libertades de las personas cuyos datos se utilizan.
El Reglamento Europeo de Inteligencia Artificial o AI Act establece obligaciones relacionadas con el desarrollo, comercialización, implantación y utilización de determinados sistemas de inteligencia artificial, aplicando un enfoque basado en el riesgo.
Por tanto, una empresa puede tener que cumplir simultáneamente ambos marcos. Que una herramienta cumpla determinadas obligaciones del Reglamento de IA no significa automáticamente que el tratamiento de datos realizado mediante esa herramienta cumpla el RGPD.
La expansión de la inteligencia artificial generativa ha creado un nuevo punto de entrada de información en las organizaciones: el prompt.
Copiar un correo electrónico, pegar un contrato o subir un documento a una herramienta de IA puede parecer una operación rutinaria. Sin embargo, ese contenido puede incluir nombres, direcciones, teléfonos, DNI, información laboral, datos económicos, imágenes, conversaciones privadas o cualquier otra información que permita identificar a una persona.
Antes de introducirla deberíamos preguntarnos:
El principio de minimización de datos resulta especialmente importante: si podemos obtener el mismo resultado sin proporcionar información personal, esa debería ser la primera alternativa.
No todos los datos presentan el mismo nivel de riesgo.
Empresarios, asesores y consultores trabajan habitualmente con documentación que puede contener información especialmente delicada: nóminas, información financiera, documentación contractual, expedientes laborales, información médica, documentación jurídica o información sometida a deberes profesionales de confidencialidad.
La cuestión no es únicamente el RGPD. Introducir determinados documentos en un servicio de inteligencia artificial también puede afectar a obligaciones contractuales, deberes de confidencialidad, secreto profesional o secretos empresariales.
Por ello, una política empresarial de IA debería establecer claramente qué información puede utilizarse, qué información debe anonimizarse y qué documentación no puede introducirse en herramientas no autorizadas.
La implantación responsable de inteligencia artificial debería comenzar por el tratamiento de información y no por la elección de la herramienta.
No es lo mismo utilizar IA para generar ideas comerciales que analizar expedientes de clientes. Hay que describir exactamente qué proceso se pretende mejorar y qué información necesita.
Conviene clasificar los datos que se introducirán, generarán o inferirán durante el proceso.
Los datos deben utilizarse para una finalidad determinada, explícita y legítima. Incorporar posteriormente una IA a un proceso no permite automáticamente utilizar los datos para cualquier propósito diferente.
La organización debe determinar qué base legitima el tratamiento. El consentimiento es solo una de las posibles bases previstas por el RGPD y no debe utilizarse automáticamente como solución para cualquier tratamiento.
Antes de contratar una herramienta conviene conocer el papel del proveedor y las condiciones aplicables al tratamiento de información.
Entre otras cuestiones, habrá que analizar las condiciones contractuales, tratamiento de datos, conservación, seguridad, posibles subencargados y transferencias internacionales cuando proceda.
Debe proporcionarse exclusivamente la información necesaria. Siempre que resulte viable, conviene utilizar datos anonimizados, pseudonimizados, ficticios o sintéticos en lugar de información identificativa real.
No todos los empleados o colaboradores necesitan acceder a todas las herramientas ni introducir cualquier tipo de información.
La responsabilidad proactiva exige poder demostrar que se han identificado y gestionado los riesgos.
Una organización debería poder explicar qué herramientas utiliza, con qué finalidad, qué datos procesa, quién puede utilizarlas y qué controles se aplican.
No todo uso de inteligencia artificial obliga automáticamente a realizar una Evaluación de Impacto relativa a la Protección de Datos.
Sin embargo, deberá analizarse su necesidad cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.
El análisis adquiere especial importancia cuando existen tratamientos a gran escala, categorías especiales de datos, monitorización, elaboración de perfiles, decisiones automatizadas u otros factores que aumenten el riesgo.
La decisión de realizar o no la evaluación debe fundamentarse en las características concretas del tratamiento, no únicamente en el hecho de utilizar inteligencia artificial.
Existe otra cuestión especialmente relevante cuando la inteligencia artificial deja de ayudar a una persona y empieza a tomar o condicionar decisiones sobre ella.
Puede ocurrir, por ejemplo, en procesos relacionados con selección de personal, evaluación de candidatos, clasificación de clientes, concesión de determinados servicios o elaboración de perfiles.
El RGPD contiene garantías específicas respecto de determinadas decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre una persona o le afecten significativamente de modo similar.
Por ello, incorporar una revisión humana meramente formal no siempre es suficiente. La persona responsable debería poder comprender el resultado, cuestionarlo y adoptar realmente una decisión propia.
Checklist final: si la empresa no puede responder claramente qué información introduce, quién la recibe, para qué se utiliza, cuánto tiempo se conserva y quién controla el resultado, todavía no tiene suficientemente gobernado ese uso de IA.
| Métrica | Cómo medirla | Umbral orientativo |
|---|---|---|
| Herramientas de IA inventariadas | Comparar herramientas utilizadas con el inventario corporativo | 100 % identificadas |
| Casos de uso documentados | Procesos con ficha de finalidad, datos y responsable | 100 % de los usos autorizados |
| Proveedores revisados | Revisión documental y contractual | 100 % antes de tratar datos personales |
| Usuarios formados | Registro interno de formación | Todo usuario autorizado |
| Incidentes relacionados con IA | Registro de incidentes y análisis de causa | Seguimiento y tendencia descendente |
| Revisiones periódicas realizadas | Auditoría del inventario, políticas y casos de uso | Según calendario interno definido |
Si una empresa utiliza inteligencia artificial para tratar datos personales, debe seguir cumpliendo el RGPD y analizar además las obligaciones que puedan corresponderle conforme al Reglamento Europeo de Inteligencia Artificial.
Las empresas y profesionales españoles deben considerar conjuntamente el Reglamento General de Protección de Datos, la legislación española de protección de datos y, cuando corresponda, el Reglamento Europeo de Inteligencia Artificial.
La Agencia Española de Protección de Datos está desarrollando orientaciones específicas sobre inteligencia artificial, privacidad, calidad de los datos, sistemas agénticos y utilización de IA generativa, por lo que el cumplimiento debe entenderse como un proceso de revisión continua y no como una adaptación realizada una sola vez.
No debe hacerse automáticamente. Primero hay que analizar qué datos se proporcionan, la finalidad, la base jurídica, las condiciones del proveedor, las medidas de seguridad y demás obligaciones aplicables.
No. El RGPD no prohíbe la inteligencia artificial. Exige que los tratamientos de datos personales realizados mediante estas tecnologías respeten sus principios y obligaciones.
No necesariamente. El consentimiento es una de las bases jurídicas contempladas por el RGPD, pero puede existir otra base aplicable. Debe analizarse cada tratamiento.
No por sí sola. Las condiciones empresariales pueden incorporar mayores garantías, pero la organización sigue teniendo que analizar su propio tratamiento y configuración.
Dependerá del tratamiento y del papel que desempeñe la IA. Las obligaciones de transparencia deben analizarse conforme al RGPD y, cuando corresponda, al Reglamento de IA.
No automáticamente. Será necesaria cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas conforme a los criterios aplicables.
Debe analizarse previamente. Además de datos personales pueden existir información confidencial, secretos empresariales o deberes profesionales de reserva.
Las responsabilidades dependerán de las circunstancias concretas. Precisamente por ello es recomendable disponer de herramientas autorizadas, controles de acceso, formación y una política interna clara sobre IA.
La normativa de inteligencia artificial está en plena fase de aplicación y desarrollo interpretativo. Además, las obligaciones cambian considerablemente según el sistema, los datos tratados, la finalidad y el papel de la organización.
Por ello, una checklist general sirve para detectar riesgos, pero no sustituye el análisis jurídico y técnico de cada tratamiento concreto.
Si utilizáis herramientas de IA para trabajar con documentación de clientes, empleados o proveedores, puede ser un buen momento para revisar qué datos se están compartiendo y si existen procedimientos claros de uso.
Si necesitas revisar cómo utiliza tu empresa la inteligencia artificial y comprobar sus implicaciones en protección de datos y cumplimiento normativo, contacta con Consultoría APC para analizar tus casos de uso y detectar los principales riesgos.