🔐 El error más habitual: “solo se lo he preguntado a la IA”

Copiar y pegar en una herramienta de Inteligencia Artificial el contenido de un correo electrónico, una nómina, un contrato, una historia clínica, un procedimiento judicial o una base de datos de clientes no deja de ser un tratamiento de información.

Si el contenido permite identificar directa o indirectamente a una persona física, estamos ante datos personales.

Y si aparecen datos relativos a salud, orientación sexual, ideología, afiliación sindical, biometría u otras categorías especialmente protegidas, las cautelas deben ser todavía mayores.

El RGPD obliga a que todo tratamiento respete, entre otros, los principios de licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.

📋 Un ejemplo bastante sencillo

Imaginemos una empresa que recibe una reclamación de un trabajador y decide introducirla íntegramente en una herramienta de IA para pedir: “Analiza este documento y dime cómo debemos contestar”.

En ese documento pueden aparecer el nombre del trabajador, DNI, salario, teléfono, dirección, datos médicos, circunstancias familiares o información sobre conflictos laborales.

Desde el punto de vista empresarial, quizá solo se esté buscando ahorrar tiempo.

Desde el punto de vista jurídico, sin embargo, debemos plantearnos:

• ¿A qué plataforma acabamos de enviar todos esos datos?
• ¿Dónde se almacenan?
• ¿Se utilizan para mejorar o entrenar modelos?
• ¿Durante cuánto tiempo se conservan?
• ¿Existen transferencias internacionales de datos?
• ¿Quién puede acceder a ellos?
• ¿Tenemos una base jurídica que legitime ese tratamiento?
• ¿Existe un contrato de encargado del tratamiento cuando resulte necesario?
• ¿Era realmente imprescindible introducir todos esos datos?

Si la empresa no puede responder a estas preguntas, el problema no es la Inteligencia Artificial.

El problema es que está tratando datos personales sin haber analizado previamente cómo lo está haciendo.

⚠️ La IA no crea una excepción al RGPD

No existe una excepción denominada “lo hice con ChatGPT”, “lo hizo una IA” o “el programa lo procesó automáticamente”.

Si una empresa utiliza una solución tecnológica para tratar datos personales continúa siendo responsable del cumplimiento de la normativa que corresponda.

La Agencia Española de Protección de Datos viene prestando una atención creciente precisamente a esta materia y durante 2026 ha publicado, entre otros documentos, orientaciones específicas sobre IA agéntica y sobre exactitud, idoneidad y calidad de los datos en tratamientos de datos personales mediante Inteligencia Artificial.

El asunto ya no es, por tanto, si las empresas van a utilizar IA. La cuestión es cómo van a utilizarla.

🧠 Reglamento Europeo de Inteligencia Artificial

A la normativa de protección de datos se suma el Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act.

Su aplicación se está realizando progresivamente y desde el 2 de agosto de 2026 resulta aplicable con carácter general una parte sustancial de su régimen jurídico, aunque determinadas obligaciones cuentan con calendarios específicos.

Además, el Reglamento fue modificado en julio de 2026 por el Reglamento (UE) 2026/1744, que ha desplazado la aplicación de determinadas obligaciones relativas a sistemas de IA de alto riesgo: hasta el 2 de diciembre de 2027 para determinados sistemas comprendidos en el artículo 6.2 y anexo III y hasta el 2 de agosto de 2028 para determinados sistemas del artículo 6.1 y anexo I.

Esto resulta importante porque una empresa puede encontrarse simultáneamente sometida a obligaciones derivadas del RGPD, la LOPDGDD y el Reglamento de Inteligencia Artificial. Y son normas diferentes. Cumplir una no significa automáticamente cumplir las demás.

🕵️‍♂️ Trabajadores y procesos de selección

Uno de los ámbitos donde el riesgo resulta más evidente es el laboral.

Utilizar Inteligencia Artificial para analizar currículos, clasificar candidatos, elaborar perfiles, controlar productividad, valorar comportamientos o participar en decisiones sobre trabajadores puede implicar tratamientos especialmente sensibles.

El RGPD reconoce además una protección específica frente a determinadas decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre una persona o le afecten significativamente de forma similar (art. 22 del Reglamento 2016/679).

Por ello, incorporar herramientas de IA a Recursos Humanos simplemente porque “ahorran tiempo” puede convertirse rápidamente en un problema si nadie ha evaluado previamente su funcionamiento.

🏥 Historias clínicas, expedientes judiciales y documentación confidencial

Hay sectores en los que introducir información sin filtrar en herramientas de IA puede resultar especialmente delicado.

Despachos de abogados, clínicas, gestorías, departamentos financieros, aseguradoras o empresas que gestionen expedientes de trabajadores manejan diariamente información que puede estar sometida no solamente al RGPD, sino también a obligaciones legales de confidencialidad o secreto profesional.

Utilizar IA puede ser perfectamente posible.

Lo que resulta mucho más discutible es introducir indiscriminadamente documentos completos con todos sus datos identificativos cuando el objetivo podría alcanzarse utilizando información anonimizada, seudonimizada o simplemente eliminando datos innecesarios.

Ahí entra en juego uno de los principios esenciales del RGPD: la minimización de datos.

Si para realizar una consulta jurídica a una IA no resulta necesario indicar que determinada persona se llama Juan Pérez, tiene DNI XXXXXXXX-X y vive en determinada dirección, esos datos sencillamente no deberían introducirse.

🌍 ¿Dónde terminan nuestros datos?

Otra cuestión fundamental es conocer qué ocurre técnicamente con la información introducida.

Muchas herramientas funcionan mediante infraestructuras internacionales y pueden intervenir diferentes proveedores, subencargados o centros de procesamiento.

Por ello, una empresa no debería contratar una solución de Inteligencia Artificial del mismo modo en que descarga una aplicación gratuita en su teléfono.

Antes de implantarla deberían analizarse, entre otras cuestiones:

• Quién presta realmente el servicio
• Qué tratamiento realiza de la información
• Dónde se alojan los datos
• Si existen transferencias internacionales
• Qué condiciones contractuales resultan aplicables
• Cuánto tiempo conserva la información
• Qué medidas de seguridad ofrece
• Si utiliza las entradas realizadas por los usuarios para entrenar o mejorar sus sistemas.

La AEPD insiste precisamente en la necesidad de establecer políticas internas, identificar responsabilidades y aprobar previamente los casos de uso de IA generativa dentro de las organizaciones.

✅ Entonces, ¿se puede utilizar Inteligencia Artificial en una empresa?

Por supuesto. El objetivo de la normativa no es impedir la utilización de Inteligencia Artificial.

El objetivo es impedir que la innovación tecnológica convierta la información personal en una especie de materia prima sin control.

Una política razonable de utilización de IA debería comenzar, como mínimo, por establecer qué herramientas pueden utilizarse, para qué finalidades, qué tipo de información puede introducirse, qué información debe anonimizarse previamente y qué usos requieren autorización o evaluación específica.

También debería determinarse quién supervisa estos tratamientos y cómo se actúa ante posibles incidencias o brechas de seguridad.

⚖️ Como siempre, la solución no es prohibir, es utilizarla correctamente.

La Inteligencia Artificial probablemente será una de las mayores herramientas de productividad de los próximos años.

Pero precisamente por eso conviene integrarla correctamente desde el principio.

Una empresa que permite utilizar libremente cualquier herramienta de Inteligencia Artificial sin establecer reglas internas puede descubrir demasiado tarde que empleados, colaboradores o proveedores llevan meses introduciendo en plataformas externas contratos, datos de clientes, expedientes laborales, estrategias comerciales o documentación confidencial.

Y cuando eso ocurre, redactar apresuradamente una política de privacidad ya no soluciona lo que se hizo anteriormente.

La protección jurídica eficaz funciona mejor antes de que aparezca el problema.