¿Se aplica el RGPD también si su empresa utiliza ChatGPT u otras herramientas de IA?
Sí, pero no porque utilice una herramienta de IA en sí. El RGPD se aplica desde el momento en que procesa datos personales, y eso puede ocurrir igual en un procesador de textos que en un chatbot. Por lo tanto, no se trata de qué herramienta utiliza, sino de qué pone en ella y qué hace la herramienta con ello.
Si utiliza IA solo para textos generales, resúmenes de información pública o ayuda de programación sin nombres, direcciones de correo electrónico u otros datos identificables, el RGPD no afecta esa acción específica. Si introduce datos de clientes, candidatos o empleados, por ejemplo para redactar un correo electrónico basado en un expediente de cliente, está procesando datos personales y se aplican las reglas ordinarias.
¿Dónde está exactamente la diferencia
La distinción se basa en el contenido de lo que introduce, no en la etiqueta "IA". Una empresa de instalación que hace reescribir una descripción de presupuesto sin nombre de cliente funciona de manera diferente a un responsable de recursos humanos que resume una carta de solicitud con nombre, dirección y notas de entrevista. En el primer caso, no hay nada identificable con una persona. En el segundo caso, sí, y entonces la entrada cuenta como un tratamiento.
Lo mismo ocurre con el resultado. Una herramienta de IA que genera un perfil o asesoramiento basado en datos de cliente introducidos está tratando esos datos más. Esto es relevante porque el RGPD no solo examina el almacenamiento de datos, sino cualquier acción: recopilación, entrada, procesamiento por un tercero y uso del resultado.
¿Quién es entonces el encargado del tratamiento
La mayoría de las herramientas de IA que utilizan las empresas se ejecutan en servidores de un proveedor externo. Si introduce datos personales allí, ese proveedor es en la práctica a menudo un encargado del tratamiento: una parte que procesa datos en nombre de su empresa. Es la misma figura que en un programa de contabilidad o un sistema CRM, solo que con herramientas de IA es menos visible porque la entrada parece texto suelto en lugar de un archivo de datos estructurado.
El EDPB y la Autoridad para la Protección de Datos dedican atención a esto porque a menudo no está claro para los usuarios si y durante cuánto tiempo se conservan los datos introducidos, y si se utilizan para entrenar el modelo subyacente. Esas preguntas las encontrará en los términos del proveedor, y determinan si es necesario un contrato de tratamiento de datos. Si duda de si un acuerdo que ya ha firmado cubre este tipo de uso, puede hacer que se evalúe en la base de conocimientos en función del texto del RGPD.
Cuándo no le afecta
Si su empresa utiliza IA exclusivamente para tareas sin datos identificables, como generar textos de marketing generales, traducir información de productos públicos o resumir procesos internos propios sin nombres, entonces para esa aplicación específica no hay tratamiento de datos personales y, por lo tanto, tampoco hay obligaciones adicionales bajo el RGPD. Esto no significa que el uso de IA en general esté fuera de alcance; significa que debe examinar por aplicación qué se introduce realmente.
Lo que esto significa en la práctica para su registro
Tan pronto como una herramienta de IA procesa datos personales, ese tratamiento debe incluirse en el registro de tratamientos como cualquier otro: qué propósito, qué datos, qué período de retención y qué parte suministra la herramienta. Muchas empresas lo olvidan porque el uso de IA a menudo surge de manera ad hoc, a través de una cuenta separada de un empleado, sin que se vea como un "sistema". Sin embargo, cuenta igual que un CRM o un sistema salarial.
Ya sea que su empresa se enfrente concretamente a esto depende de cómo se utiliza la IA dentro de su organización y quién la utiliza. Un director que ocasionalmente deja revisar un texto sin datos de clientes se encuentra en una situación diferente a la de un departamento de recursos humanos que deja resumir datos de solicitudes. En caso de duda, no es un paso innecesario discutir esto con un abogado o con la Autoridad de Protección de Datos, especialmente cuando se trata de datos sensibles como información de salud o financiera.
¿Desea entender rápidamente si el uso de IA dentro de su empresa está sujeto al RGPD y qué implica? Realice el análisis rápido gratuito con algunas preguntas e indicación directa, vea cómo se estructuran las fuentes subyacentes a través de una explicación de dónde proviene la información, o lea las preguntas frecuentes si primero desea ver cómo otros empresarios se enfrentan a esto.