Cómo usar IA en la empresa cumpliendo el RGPD

Lo básico: quién es quién en el RGPD

Cuando tu empresa usa una herramienta de IA con datos personales (de clientes, empleados o proveedores), tu empresa es la responsable del tratamiento: decide para qué se usan los datos. El proveedor de la herramienta es normalmente un encargado del tratamiento: trata los datos por cuenta tuya y siguiendo tus instrucciones.

El artículo 28 del RGPD exige un contrato de encargo (DPA, por sus siglas en inglés) que fije qué puede hacer el proveedor con los datos, qué medidas de seguridad aplica y a qué otros proveedores (subencargados) recurre. Si una herramienta no ofrece este contrato, no la uses con datos personales.

Checklist para elegir una herramienta de IA

Antes de conectar el correo, las reuniones o los documentos de la empresa, comprueba:

• Que ofrece contrato de encargo del tratamiento y lista de subencargados actualizada.
• Dónde se guardan los datos: en la UE o el EEE, o con garantías válidas para transferencias internacionales.
• Si usa tus datos para entrenar sus modelos y si puedes impedirlo.
• Cuánto tiempo guarda los datos y cómo se borran al darte de baja.
• Qué control de accesos tiene: quién de tu empresa puede ver qué.
• Si registra lo que hace la IA, para poder revisarlo.

Minimización: solo los datos que hacen falta

El principio de minimización (art. 5) es el más fácil de olvidar con la IA, porque es tentador pegarlo todo. Algunas reglas prácticas:

• Quita nombres, DNI, teléfonos y direcciones cuando no sean necesarios para la tarea.
• Usa identificadores seudónimos («cliente A», «empleado 3») en análisis y resúmenes.
• No metas categorías especiales de datos (salud, afiliación sindical, ideología) salvo con una base legal clara y garantías reforzadas.
• Limita a quién da acceso cada integración: la IA no necesita ver todo el Drive de la empresa.

Supervisión humana: la IA propone, una persona decide

El artículo 22 del RGPD protege a las personas frente a decisiones basadas únicamente en tratamiento automatizado que les afecten de forma significativa. En la práctica: la IA puede resumir candidaturas, preparar respuestas o sugerir prioridades, pero las decisiones sobre personas (contratar, despedir, conceder o denegar algo) las toma una persona, y lo que se envía en nombre de la empresa conviene revisarlo antes.

Transparencia y documentación

Lo que la ley y el sentido común piden que tengas por escrito:

• Informar a clientes y empleados de que usáis IA y para qué (política de privacidad, aviso interno).
• Añadir el tratamiento a vuestro registro de actividades (art. 30).
• Valorar si hace falta una evaluación de impacto (EIPD, art. 35), por ejemplo si se tratan datos de empleados de forma sistemática o datos sensibles a gran escala.
• Una política interna breve: qué herramientas están aprobadas, qué datos no se pueden introducir y a quién preguntar.
• Formación básica del equipo: el Reglamento europeo de IA pide que el personal que usa estos sistemas tenga conocimientos suficientes sobre ellos.

Lo que conviene no hacer nunca

Usar la IA para vigilar a la plantilla (tiempos, actividad, productividad individual) plantea problemas serios de protección de datos y de derecho laboral. Tampoco uses cuentas personales gratuitas con datos de clientes ni subas documentos con datos de salud a herramientas sin contrato. Si tienes dudas, consulta con tu delegado de protección de datos o un abogado especialista; la Agencia Española de Protección de Datos publica guías útiles sobre IA.

Cómo encaja Tessa

Tessa está diseñada con estas reglas desde el principio: contrato de encargo del tratamiento, lista de subencargados y política de seguridad publicadas; datos guardados cifrados en la UE; opción de procesar el análisis con un modelo europeo; correos y teléfonos enmascarados antes de llegar al modelo; lo que lee de cada persona es privado; nada de métricas individuales para responsables; y aprobación humana para lo que sale de la empresa. El panel de control registra cada acción, y cada persona puede ver y borrar lo que Tessa ha aprendido de ella.

Aun así, la responsabilidad de cómo uses cualquier herramienta es de tu empresa: esta guía es orientativa y no sustituye el asesoramiento legal.