Usar inteligencia artificial en tu empresa no es solo una decisión tecnológica: es también una decisión legal. El RGPD (Reglamento General de Protección de Datos) y su transposición española en la LOPDGDD establecen obligaciones específicas cuando tratas datos personales con sistemas de IA. Incumplirlas puede suponer multas de hasta el 4% de la facturación global.

Aviso legal: Este artículo es orientativo y no constituye asesoramiento jurídico. Para situaciones específicas de tu empresa, consulta con un abogado especializado en protección de datos o un Delegado de Protección de Datos (DPO).

Bases legales para usar datos con IA

Bajo el RGPD, siempre necesitas una base legal para tratar datos personales. Cuando usas IA con esos datos, la base legal debe cubrir también ese tratamiento:

Las bases legales más comunes en contexto de IA

  • Consentimiento (Art. 6.1.a): El usuario acepta explícitamente. En IA, el consentimiento debe ser específico para el uso en sistemas automatizados. El consentimiento genérico para "marketing" no cubre el uso en modelos predictivos de comportamiento
  • Ejecución de contrato (Art. 6.1.b): El tratamiento es necesario para ejecutar el contrato con el cliente. Por ejemplo, usar IA para optimizar la logística de entrega de un pedido
  • Interés legítimo (Art. 6.1.f): El más usado pero también el más problemático. Requiere una ponderación entre el interés del responsable y los derechos del interesado. No es un comodín: hay que documentar la evaluación
  • Obligación legal (Art. 6.1.c): Cuando la ley te obliga a tratar los datos (ej: conservar ciertos registros por obligaciones fiscales)

Categorías especiales de datos

Si tu sistema de IA procesa datos de salud, origen racial, opiniones políticas, datos biométricos u otras categorías especiales (Art. 9), las restricciones son mucho más estrictas. El consentimiento explícito o una obligación legal específica son prácticamente obligatorios.

Derechos de los usuarios ante decisiones de IA

El Art. 22 del RGPD establece el derecho de los usuarios a no ser objeto de decisiones individuales basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente:

Cuándo aplica el Art. 22

  • Denegación automática de crédito o seguro basada en IA
  • Precios dinámicos que aplican tarifas significativamente diferentes a distintos usuarios
  • Decisiones de contratación o despido basadas en IA sin revisión humana
  • Segmentación que tenga efectos legales sobre los usuarios

Obligaciones cuando aplica Art. 22

  • Informar al usuario de que está siendo objeto de decisión automatizada
  • Explicar la lógica aplicada (derecho de explicación)
  • Permitir al usuario solicitar revisión humana de la decisión
  • Permitir al usuario expresar su punto de vista

Contratos con proveedores de IA

Cuando usas herramientas de IA de terceros (ChatGPT, Gemini, herramientas de análisis de clientes con IA, etc.) y les envías datos personales de tus clientes, necesitas un contrato de encargado de tratamiento (DPA - Data Processing Agreement):

Qué debe incluir el DPA con proveedores de IA

  • Descripción de los datos tratados y la finalidad
  • Si el proveedor usa tus datos para entrenar sus modelos (muchos tienen esta opción activada por defecto en los planes gratuitos)
  • Ubicación del tratamiento de los datos y si hay transferencias a terceros países
  • Medidas de seguridad implementadas
  • Procedimiento de notificación en caso de brecha de seguridad
Importante: OpenAI, Anthropic y Google ofrecen DPAs para sus planes de empresa (Teams/Enterprise). En los planes gratuitos o básicos, los términos de servicio suelen indicar que pueden usar los datos para mejorar los modelos. Si vas a usar IA con datos de clientes, necesitas el plan de empresa con DPA firmado.

Evaluación de Impacto (EIPD)

El Art. 35 del RGPD obliga a realizar una Evaluación de Impacto en la Protección de Datos (EIPD) cuando el tratamiento "entrañe un alto riesgo para los derechos y libertades de las personas físicas". Los sistemas de IA son especialmente relevantes aquí:

Cuándo es obligatoria la EIPD en IA

  • Tratamiento a gran escala de categorías especiales de datos
  • Evaluación sistemática de personas basada en elaboración de perfiles
  • Monitorización sistemática a gran escala de zonas de acceso público
  • Decisiones automatizadas que afectan significativamente a personas

Transferencias internacionales de datos

La mayoría de los grandes proveedores de IA (OpenAI, Anthropic, Google, Microsoft) son estadounidenses. Si les envías datos de ciudadanos europeos, esto constituye una transferencia internacional que requiere salvaguardas específicas:

  • Marco UE-EE.UU. de Privacidad de Datos: Desde julio 2023 existe un nuevo mecanismo de transferencia para empresas certificadas en EE.UU. Verifica si tu proveedor está certificado
  • Cláusulas Contractuales Tipo (CCT): La alternativa más común. Los DPAs de los grandes proveedores suelen incluirlas
  • Binding Corporate Rules: Para grupos multinacionales con transferencias internas

Checklist de cumplimiento RGPD + IA

  • ☐ Identificar todos los sistemas de IA que tratan datos personales en tu empresa
  • ☐ Documentar la base legal para cada tratamiento
  • ☐ Actualizar el Registro de Actividades de Tratamiento con los tratamientos de IA
  • ☐ Revisar y actualizar la política de privacidad para mencionar el uso de IA
  • ☐ Firmar DPA con todos los proveedores de IA que reciban datos personales
  • ☐ Verificar que los DPAs cubren transferencias internacionales (CCT o equivalente)
  • ☐ Evaluar si algún tratamiento requiere EIPD y realizarla si procede
  • ☐ Implementar mecanismos para atender derechos ARCO de los afectados
  • ☐ Si hay decisiones automatizadas con efectos significativos, implementar revisión humana

Preguntas frecuentes

¿Necesito el consentimiento del cliente para usar IA con sus datos?

No siempre. El RGPD permite varias bases legales además del consentimiento, como el interés legítimo o la ejecución de un contrato. Lo importante es documentar qué base legal aplicas a cada tratamiento con IA, no asumir que el consentimiento es la única vía posible.

¿Qué es una EIPD y cuándo tengo que hacerla?

Una Evaluación de Impacto relativa a la Protección de Datos (EIPD) es un análisis obligatorio antes de implementar un tratamiento que suponga un alto riesgo para los derechos de las personas — por ejemplo, un sistema de IA que haga perfilado o puntuación automática de clientes o candidatos. La selección de personal con IA es uno de los casos más habituales que la exige.

¿Puedo usar cualquier proveedor de IA si firmo un contrato con ellos?

No basta con firmar cualquier contrato: necesitas un Acuerdo de Encargado de Tratamiento (DPA) que cubra específicamente el tratamiento de datos personales, y si el proveedor transfiere datos fuera del Espacio Económico Europeo, ese DPA debe incluir garantías adicionales como las Cláusulas Contractuales Tipo.

¿Tengo derecho a saber si una decisión sobre mí la ha tomado una IA?

Sí. El artículo 22 del RGPD da derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que te afecte significativamente, y a exigir intervención humana, expresar tu punto de vista e impugnar la decisión.