La inteligencia artificial generativa ha llegado para quedarse. Cada vez son más las organizaciones que utilizan herramientas de IA para redactar correos electrónicos, resumir documentos, elaborar informes, analizar información o mejorar la atención al cliente.
Sin embargo, junto con estas ventajas surge una cuestión fundamental desde la perspectiva de la privacidad y la protección de datos:
¿Puede una empresa introducir datos personales en una herramienta de inteligencia artificial?
La respuesta corta es que sí puede hacerlo, pero no en cualquier circunstancia ni de cualquier manera.
La legalidad del uso de estas herramientas dependerá, entre otros factores, del tipo de información utilizada, de las garantías ofrecidas por el proveedor, de la configuración del servicio y de las medidas implantadas por la propia organización.
La IA y el tratamiento de los datos personales
Cuando una empresa introduce en una herramienta de IA información que permite identificar directa o indirectamente a una persona física, se está produciendo un tratamiento de datos personales en los términos definidos por el Reglamento General de Protección de Datos (RGPD).
Esto incluye, entre otros:
- Nombre y apellidos.
- Correo electrónico.
- DNI o documento identificativo.
- Dirección postal.
- Número de teléfono.
- Historial de incidencias.
- Datos contractuales.
- Cualquier otra información vinculada a una persona identificada o identificable.
Por tanto, el hecho de utilizar inteligencia artificial no elimina las obligaciones legales existentes en materia de protección de datos. Al contrario, puede introducir nuevos riesgos que deben ser evaluados previamente.
¿Qué exige exactamente el RGPD?
Como ocurre con cualquier otro proveedor tecnológico, el uso de una herramienta de inteligencia artificial debe respetar los siguientes principios básicos:
- Contar con una base jurídica que legitime el tratamiento.
- Aplicar el principio de minimización de datos, compartiendo únicamente la información estrictamente necesaria.
- Garantizar la confidencialidad y seguridad de la información.
- Informar adecuadamente a las personas afectadas cuando corresponda.
- Elegir proveedores que ofrezcan garantías suficientes para proteger los datos personales.
El hecho de utilizar inteligencia artificial no exime del cumplimiento de la normativa de protección de datos.
Nuestra recomendación: cuantos menos datos personales se utilicen, mejor
Siempre que sea posible, conviene anonimizar o, al menos, seudonimizar la información antes de introducirla en una herramienta de IA. Por ejemplo, en lugar de escribir:
«María López, con DNI XXX, reclama un error en la factura del contrato número 5487.»
Sería preferible:
«Un cliente reclama un error en una factura correspondiente a un contrato de suministro.»
Si la IA puede realizar la misma tarea sin conocer la identidad de la persona, no existe motivo para facilitar esa información.
La seudonimización reduce riesgos, pero los datos siguen considerándose datos personales a efectos del RGPD. Solo una anonimización efectiva deja la información fuera del ámbito de aplicación de la normativa.
¿Cuenta personal o entorno corporativo?
Uno de los aspectos más importantes y que con frecuencia pasa desapercibido es la diferencia entre utilizar una herramienta con una cuenta personal o hacerlo dentro de un entorno corporativo gestionado por la organización.
Las soluciones empresariales suelen ofrecer mayores capacidades de:
- Administración centralizada.
- Control de accesos.
- Trazabilidad y auditoría.
- Gestión de identidades.
- Configuración de privacidad.
- Retención y control de la información.
- Integración con las políticas corporativas de seguridad.
Estas capacidades facilitan significativamente el cumplimiento normativo y la implantación de las medidas de gobernanza adecuadas.
Advertencia: no todas las herramientas ni todas las versiones ofrecen las mismas garantías
Antes de incorporar cualquier solución de inteligencia artificial a los procesos de una organización, resulta imprescindible analizar aspectos como:
- Las condiciones de uso del servicio.
- Las medidas de seguridad ofrecidas por el proveedor.
- El tratamiento realizado sobre la información introducida.
- La utilización de los datos para entrenamiento de modelos.
- Las posibles transferencias internacionales de datos.
- Los acuerdos de tratamiento disponibles.
- Las certificaciones y estándares de seguridad aplicables.
La evaluación debe hacerse sobre el producto concreto utilizado por la empresa y su configuración específica, no únicamente sobre la organización que desarrolla la tecnología.
La protección de datos no es el único riesgo
En muchas ocasiones, el principal riesgo no deriva exclusivamente de la introducción de datos personales. Las organizaciones también deben valorar si la información utilizada contiene:
- Secretos empresariales.
- Información estratégica.
- Información financiera sensible.
- Propiedad intelectual.
- Información confidencial de clientes o proveedores.
- Datos sujetos a obligaciones contractuales de confidencialidad.
Incluso cuando la información no constituya un dato personal, puede existir un riesgo relevante desde la perspectiva de la seguridad de la información y la protección de los activos de la organización.
La IA también requiere gobernanza
La protección de datos no consiste únicamente en elegir correctamente una herramienta. Implica, además, establecer normas internas claras para regular su uso.
Además del RGPD, las empresas deben tener en cuenta las obligaciones derivadas del Reglamento de Inteligencia Artificial de la Unión Europea (AI Act), que refuerza la necesidad de adoptar mecanismos de gobernanza, supervisión y formación relacionados con el uso de sistemas de inteligencia artificial.
La ausencia de una política interna específica sobre IA es actualmente uno de los principales riesgos cuando estas herramientas comienzan a utilizarse de forma generalizada dentro de una organización. Por ello, resulta aconsejable definir aspectos como:
- Qué tipo de información puede introducirse en herramientas de IA.
- Qué información no debe compartirse nunca.
- Qué empleados están autorizados para utilizarlas.
- Para qué finalidades pueden emplearse.
- Cómo supervisar y documentar estos tratamientos.
- Qué medidas de formación deben implantarse.
- Qué procedimientos deben seguirse para evaluar nuevas herramientas.
La gobernanza de la inteligencia artificial se ha convertido en un elemento esencial para cualquier organización que quiera aprovechar estas tecnologías de forma responsable.
Conclusión
No basta con preguntarse si las empresas pueden utilizar una determinada herramienta de inteligencia artificial. Hay que comprobar si dispone de las medidas jurídicas, técnicas y organizativas necesarias para utilizarla de forma segura y conforme a la normativa aplicable.
El cumplimiento del RGPD sigue siendo esencial cuando se tratan datos personales, pero cada vez resulta más importante incorporar mecanismos de gobernanza alineados con las exigencias del AI Act.
La evaluación del proveedor, la utilización de entornos corporativos adecuadamente configurados, la minimización de datos, la supervisión de los tratamientos y la existencia de políticas internas específicas permiten reducir significativamente los riesgos asociados al uso de la inteligencia artificial.
La IA puede aportar importantes beneficios en términos de productividad, eficiencia e innovación. Sin embargo, su incorporación debe realizarse desde una perspectiva de cumplimiento normativo, seguridad de la información y buena gobernanza.
