IA y GDPR: que debe saber una pyme?

Lo basico

La IA no elimina obligaciones GDPR. Aplican los mismos principios, pero los flujos de datos pueden ser menos visibles.

• Saber que datos personales entran.
• Revisar acuerdos de procesamiento.
• Evitar datos sensibles si no son necesarios.
• Registrar acciones automaticas importantes.

Privacidad en la roadmap

La privacidad debe disenarse en los workflows antes de llevar automatizacion a produccion.

Dibuja el flujo de datos personales

El cumplimiento no comienza con un texto genérico, sino con el tratamiento real. Documenta qué datos entran, con qué finalidad, por qué modelos y proveedores pasan, dónde se guarda el resultado y quién accede. Distingue prompts, documentos fuente, logs, entrenamiento y output. Este mapa permite evaluar roles, base jurídica, transparencia, retención y seguridad para cada uso concreto.

• Origen, categoría y personas afectadas.
• Finalidad y base jurídica por tratamiento.
• Responsable, encargados y subencargados.
• Almacenamiento, acceso, transferencia y borrado.
• Uso de datos para entrenar o mejorar el servicio.

Aplica limitación y minimización con controles

No recojas todo por si acaso. Envía al modelo solo lo necesario y elimina identificadores cuando sea posible. Separa desarrollo y producción y usa datos sintéticos o realmente anónimos cuando encajen. Limita logs, oculta campos sensibles y automatiza plazos de borrado. La seudonimización reduce exposición, pero no convierte automáticamente los datos en anónimos.

• Filtra la entrada antes de llamar al modelo.
• Restringe contexto al cliente o caso pertinente.
• Impide búsquedas libres sobre bases completas.
• Borra archivos temporales y output según política.

Revisa proveedor, contrato y transferencias

Identifica cada parte que trata información, subencargados y configuración de uso para mejora del modelo. El contrato debe cubrir instrucciones, seguridad, eliminación, incidentes, auditoría y derechos. Investiga dónde se procesa y qué garantías existen fuera del EEE. Una licencia empresarial o una marca conocida no sustituyen la evaluación de la operación real.

• Contrato de encargo e instrucciones documentadas.
• Listado y cambios de subencargados.
• Ajustes de entrenamiento, retención y revisión humana.
• Exportación y borrado verificable al terminar.

Diseña supervisión real cuando afecta a personas

Ordenar candidatos, evaluar empleados o influir en servicios implica más riesgo que dar formato a un texto. Valora si procede una evaluación de impacto y suma privacidad, seguridad y expertos del proceso desde el inicio. El revisor necesita fuente, incertidumbre, tiempo y autoridad para discrepar. Un clic obligatorio no es control humano. Prepara también acceso, rectificación, oposición y borrado cuando correspondan.

• Analiza daño, sesgo e identificación errónea.
• Prueba grupos y excepciones relevantes.
• Registra fuentes, resultado e intervención humana.
• Ofrece una vía de explicación y corrección.

Mantén privacidad durante operación y cambios

Una revisión inicial no basta. Modelos, prompts, fuentes y proveedores cambian y pueden alterar el riesgo. Mantén inventario de usos, propietarios, versiones, evaluaciones e incidentes. Prueba permisos y borrado periódicamente y revisa cambios importantes antes de publicar. Coordina este trabajo con seguridad e incidentes. Para datos sensibles, bases jurídicas dudosas o decisiones importantes, incorpora asesoramiento jurídico y de privacidad adecuado.

• Revisión de finalidad, datos y necesidad.
• Versiones de modelos, prompts y evaluaciones.
• Respuesta ante brecha, output dañino o acceso incorrecto.
• Evidencia de formación, decisiones y medidas.