IA y RGPD: dónde acaban realmente tus datos
Pegar el acta de una entrevista en una IA generativa parece un gesto inocuo. Jurídicamente es un tratamiento de datos personales, a menudo acompañado de una transferencia fuera de la Unión Europea. Este artículo describe las obligaciones que realmente se activan, y por qué la ejecución local cambia la naturaleza del problema.
Una consulta a una IA es un tratamiento
En cuanto una consulta contiene datos que permiten identificar a una persona, directa o indirectamente, constituye un tratamiento en el sentido del RGPD. Un nombre de cliente, un número de expediente, el acta de una entrevista, un currículum, un correo: todo ello entra en el ámbito.
En consecuencia, debes poder identificar una base jurídica, informar a las personas afectadas, inscribir el tratamiento en tu registro y garantizar el ejercicio de sus derechos. Este último punto suele ser el más incómodo: ¿puedes responder a una solicitud de supresión sobre lo que se envió a un servicio de terceros el año pasado?
La cuestión de las transferencias fuera de la Unión Europea
El capítulo V del RGPD regula las transferencias a terceros países. Usar una API cuyos servidores están fuera de la Unión, o cuyo operador está sometido a un derecho extranjero, constituye una transferencia de ese tipo.
Este terreno lleva una década siendo inestable. El Tribunal de Justicia de la Unión Europea anuló el Safe Harbor en 2015 y después el Privacy Shield en 2020, en la sentencia conocida como Schrems II. Cada anulación obligó a miles de organizaciones a rehacer sus contratos con urgencia. Construir una dependencia duradera sobre un marco que ya ha caído dos veces es una apuesta.
La ejecución local elimina la cuestión. No hay transferencia que regular si el dato no sale de tus instalaciones.
Encargados del tratamiento y confidencialidad real
Un proveedor de IA que trata tus datos por tu cuenta es un encargado del tratamiento en el sentido del artículo 28. Eso exige un contrato preciso, una lista de subencargados y una obligación de información en caso de cambio.
Dos puntos merecen una lectura atenta en esos contratos. Primero, la duración de conservación de las consultas, fijada a menudo en varias semanas por motivos declarados de seguridad. Segundo, el uso de los datos para la mejora de los modelos, a veces desactivado por defecto en las ofertas de empresa y a veces no.
Para las profesiones sometidas a un secreto específico, abogados, profesionales sanitarios, sector bancario, el RGPD no es además la única restricción. El secreto profesional se aplica de forma independiente y no se delega por contrato.
Cuándo es necesaria una evaluación de impacto
El artículo 35 exige una evaluación de impacto relativa a la protección de datos cuando el tratamiento puede entrañar un riesgo alto. Varias situaciones frecuentes en IA activan esa obligación.
- Tratamiento a gran escala de datos sensibles, en particular de salud.
- Evaluación o puntuación sistemática de personas, incluido en un contexto de selección de personal.
- Cruce de conjuntos de datos de procedencias distintas.
- Uso de tecnologías nuevas cuyos efectos están mal documentados.
Lo que simplifica la ejecución en local
Alojar la IA dentro de tus paredes no te exime de ninguna obligación: sigues siendo responsable del tratamiento. Pero varios asuntos desaparecen sin más.
Ya no hay transferencia fuera de la Unión Europea que justificar. Ya no hay encargado que auditar en la parte de inferencia. La duración de conservación pasa a ser la tuya. Responder a una solicitud de supresión vuelve a ser una operación que controlas de principio a fin.
Es el modelo de DIWY. Devana OS ejecuta Suite 366 y Devana íntegramente en la box, en tus instalaciones. Las consultas de tus equipos no salen de la red y la gestión de permisos se aplica a nivel de plataforma.
Para recordar
- Una consulta que contiene un dato identificativo es un tratamiento, con todas las obligaciones asociadas.
- El marco de transferencias hacia Estados Unidos ha sido anulado dos veces por el TJUE. Depender de él es un riesgo asumido.
- El secreto profesional se suma al RGPD y no se delega por contrato.
- La ejecución en local no elimina tu responsabilidad, pero sí la transferencia y el encargado de la inferencia.
Preguntas frecuentes
¿Basta con anonimizar los datos antes de enviarlos?
Rara vez. Una anonimización verdadera debe hacer imposible la reidentificación, incluso por cruce de datos. Quitar los nombres de un documento detallado deja casi siempre elementos suficientes para identificar a las personas. Eso es seudonimización, que sigue sometida al RGPD.
¿Es conforme una oferta alojada en Europa?
Es un avance, no una garantía. Lo que cuenta es el derecho al que está sometida la entidad que explota el servicio, y no solo la ubicación del centro de datos. Una filial europea de un grupo sujeto a una legislación extraterritorial sigue expuesta.
¿El Reglamento de IA sustituye al RGPD?
No, ambos textos se acumulan. El RGPD regula los datos personales, el Reglamento de IA regula los sistemas de IA según su nivel de riesgo. Una misma aplicación puede quedar sujeta a los dos.
¿Hay que llevar registro igualmente con una IA local?
Sí. Sigues siendo responsable del tratamiento. La IA local simplifica la cadena de encargados y elimina las transferencias, pero la obligación documental permanece.
Tu IA, dentro de tus paredes.
DIWY está disponible ya, con entrega en 72 h y preconfigurada con tus aplicaciones.
Pedir una DIWY