RGPD y herramientas de IA: una lista de comprobación para pequeñas empresas

Antes de empezar: qué es esta lista

Este artículo es información general sobre el RGPD, no asesoramiento jurídico. Lo que se aplica en tu caso depende de tu sector, de los datos que tratas y de las herramientas que usas. Si tratas datos sensibles o tienes dudas, habla con tu delegado de protección de datos o con un abogado especializado en protección de datos.

La mayoría de las preguntas son las mismas que ya deberías hacerte con cualquier software en la nube. Las herramientas de IA añaden algunos puntos propios, que se tratan a continuación.

Contrato de encargo del tratamiento (art. 28 RGPD)

Si un proveedor trata datos personales por cuenta tuya, por ejemplo nombres de clientes, direcciones de correo o facturas almacenadas en una plataforma de IA, por lo general necesitas un contrato de encargo del tratamiento conforme al artículo 28 del RGPD. En él se establece qué puede hacer el proveedor con los datos, qué medidas técnicas y organizativas se aplican y qué subencargados intervienen.

Comprueba: ¿Existe un contrato de encargo del tratamiento y lo has formalizado? ¿Incluye la lista de subencargados? ¿Indica el proveedor si tus datos se usan para entrenar modelos, y puedes excluirlo?

Minimización de datos y finalidad

Dale a una herramienta solo los datos que una tarea necesita de verdad. Un análisis de ventas por producto rara vez necesita nombres de clientes, y un análisis de mercado normalmente no necesita ningún dato personal. Siempre que puedas, trabaja con datos agregados o seudonimizados.

Ten clara también la finalidad. Los datos que recogiste para enviar facturas no pueden utilizarse automáticamente para otros fines. Anota para qué usas la herramienta de IA e inclúyelo en tu registro de actividades de tratamiento.

Adónde van los datos: transferencias a terceros países

Pregunta dónde se almacenan los datos y dónde se tratan; pueden ser lugares distintos. Muchos servicios de IA los operan empresas estadounidenses. Transferir datos personales fuera de la UE requiere una base jurídica, normalmente una decisión de adecuación o las cláusulas contractuales tipo de la UE, a menudo combinadas con garantías adicionales.

Comprueba: ¿En qué país se almacenan los datos? ¿Qué servicios de tratamiento están fuera de la UE y sobre qué base se les transfieren datos? ¿Figura en la política de privacidad y en el contrato de encargo del tratamiento? Por transparencia: NEXUM almacena los datos en una base de datos en Irlanda, dentro de la UE; algunos de los servicios de tratamiento que utilizamos son empresas estadounidenses, con cláusulas contractuales tipo de la UE.

Categorías especiales y secreto profesional

Los datos de salud pertenecen a las categorías especiales de datos personales del artículo 9 del RGPD y están sujetos a normas más estrictas. Una consulta médica o de terapia debería pensarlo bien antes de introducir datos de pacientes en cualquier herramienta de IA; a menudo, la respuesta correcta es usar solo datos anonimizados o agregados.

Médicos, abogados, asesores fiscales y otras profesiones sujetas a secreto profesional tienen obligaciones adicionales, en Alemania en particular según el artículo 203 del Código Penal. Recurrir a un proveedor externo puede estar permitido en determinadas condiciones, pero debe comprobarse y documentarse. Aquí merece la pena contar con asesoramiento profesional.

Derecho de acceso, supresión y accesos internos

Las personas pueden preguntar qué datos tienes sobre ellas (artículo 15 del RGPD) y, en determinadas condiciones, solicitar su supresión (artículo 17 del RGPD). Asegúrate de que también puedes encontrar, exportar y borrar los datos de una persona en la herramienta de IA, no solo en tus sistemas principales.

Define plazos de supresión: ¿cuánto tiempo conservas documentos, borradores y análisis que contienen datos personales? Las obligaciones legales de conservación, por ejemplo de las facturas, siguen aplicándose. Dentro de la empresa, decide quién puede usar la herramienta y con qué datos, y limita los accesos en consecuencia.

Por último, desconfía de las afirmaciones que no puedes verificar. Pide a los proveedores por escrito el contrato de encargo del tratamiento, la lista de subencargados y una descripción de sus medidas de seguridad. Nos aplicamos el mismo criterio y decimos abiertamente que NEXUM no está certificada según normas ISO ni SOC.