El error más común al utilizar herramientas de IA en el lugar de trabajo es que los empleados introducen datos personales en una herramienta como ChatGPT, Copilot o un chatbot similar, sin que la empresa sepa que esto ocurre. Un currículum, un expediente de cliente o un intercambio de correo electrónico se resumen o se reescriben rápidamente, mientras que nadie ha comprobado dónde terminan esos datos, quién puede verlos y si existe un contrato de procesamiento con el proveedor de esa herramienta.
Eso no es un detalle menor. Una vez que una herramienta procesa datos personales, se aplican los mismos principios que para cualquier otra aplicación SaaS: debe haber una base legal, el procesamiento debe figurar en el registro de actividades de tratamiento, y si el proveedor actúa como procesador, debe existir un contrato de procesamiento. En muchas herramientas de IA gratuitas falta esto último, o en las condiciones consta que los datos introducidos pueden utilizarse para entrenar el modelo. Esto varía considerablemente según el proveedor y la forma de suscripción, y es precisamente por eso que es necesario un control previo.
Cómo sale mal en la práctica
En la mayoría de los casos, el problema no surge por negligencia, sino por falta de conocimiento. Un empleado de recursos humanos pega una carta de solicitud en un chatbot para mejorar un texto de oferta de empleo. Un jefe de proyecto solicita que se resuma un correo de cliente. Ninguno de ellos piensa en el RGPD, porque parece una herramienta de ayuda y no un tratamiento de datos personales. La propia empresa a menudo no tiene una visión general de qué herramientas de IA se utilizan a diario, y mucho menos si esas herramientas figuran en el registro de actividades de tratamiento o en alguna lista de software aprobado.
Un segundo error recurrente es que las empresas que sí tienen una política de IA no la alinean con su registro de actividades de tratamiento y contratos de procesamiento existentes. La herramienta de IA se trata entonces al margen del resto de la administración del RGPD, cuando en esencia se trata de la misma cuestión que también se plantea con cualquier otra herramienta SaaS: quién procesa qué datos, con qué propósito y sobre qué base. la base de conocimientos con explicaciones por tema también aborda esa cuestión para otro software muy utilizado y demuestra que las herramientas de IA no son una excepción a la sistemática que ya se aplica a otros proveedores.
Por qué puede tratarse de datos personales, aunque no sea la intención
El RGPD adopta una definición amplia de datos personales: toda información que sea identificable y se refiera a una persona física identificada o identificable. Un nombre, un número de cliente, una foto, una nota telefónica o una combinación de datos que identifiquen conjuntamente a una persona se incluyen en esta definición. Al utilizar herramientas de IA, por tanto, no se trata solo de datos personales explícitos como un currículum, sino también de fragmentos que se encuentran ocultos en un documento más grande, como un nombre en un archivo adjunto que se copia accidentalmente.
La Autoridad Holandesa de Protección de Datos y la AEPD publican directrices sobre el tratamiento de la IA y los datos personales, y estas evolucionan; lo que hoy se considera una interpretación común puede precisarse en algunos aspectos. Esta es una de las razones por las que un procedimiento fijo dentro de la empresa ofrece más orientación que acuerdos puntuales por empleado.
Cómo evitar este error
El núcleo de la solución es simple de formular, aunque su aplicación requiera tiempo: identificar qué herramientas de IA se utilizan dentro de la empresa y determinar para cada herramienta si se introducen datos personales. Si es así, esa herramienta debe figurar en el registro de actividades de tratamiento y debe comprobarse, al igual que con otros proveedores de SaaS, si el proveedor actúa como procesador y si hay disponible un contrato de procesamiento. cómo se protegen los datos en poder de los procesadores ofrece una visión general de los puntos relevantes al respecto.
Además, una instrucción breve y concreta para los empleados es más eficaz que un documento de política extenso que nadie lee: qué herramientas están permitidas, qué datos pueden introducirse en ellas y qué no, y a quién debe avisar un empleado si tiene dudas. Este último paso es quizás el más importante, porque la mayoría de los errores no surgen de la mala voluntad sino de la falta de un punto de contacto claro.
Si ya ha ocurrido
Si una gran cantidad de datos personales se han introducido sin querer en una herramienta de IA sin que exista un acuerdo de tratamiento de datos para ello, es conveniente evaluar si se trata de un incidente que requiere una respuesta, por ejemplo, en el marco de la obligación de notificación en caso de infracción de seguridad. obtener una primera indicación con unas pocas preguntas puede proporcionar una primera orientación a este respecto, independientemente de si la notificación es necesaria en un caso concreto; esta evaluación corresponde al responsable del tratamiento o a un asesor jurídico.
¿Desea hacer un inventario de qué herramientas, incluidas las aplicaciones de IA, requieren atención en su propia empresa? Realice nuestro análisis rápido gratuito o lea los temas en las preguntas frecuentes sobre RGPD y software para ver qué requiere su situación.