Inteligencia artificial en la empresa: cómo usar datos personales con garantías

Utilizar inteligencia artificial en selección, solvencia, atención al cliente o detección de fraude no suspende las obligaciones sobre datos personales. La empresa debe leer conjuntamente el RGPD y el Reglamento europeo de IA: uno regula el tratamiento y los derechos; el otro añade obligaciones según el sistema y el papel de quien lo utiliza.

Definir la finalidad antes de elegir la herramienta

Antes del despliegue hay que concretar qué problema se pretende resolver y qué datos son necesarios. Reutilizar información para otra finalidad, incorporar variables irrelevantes o conservarla indefinidamente puede vulnerar limitación de finalidad y minimización. La calidad también importa: datos antiguos, incompletos o sesgados producen resultados sistemáticamente erróneos.

Decisiones automatizadas y supervisión real

El artículo 22 del RGPD reconoce garantías frente a decisiones basadas únicamente en tratamientos automatizados que generan efectos jurídicos o similares. No toda recomendación entra en ese supuesto, pero añadir una firma humana rutinaria no basta.

La persona revisora debe comprender los factores, disponer de tiempo y tener autoridad para apartarse del resultado. La supervisión de decisiones empresariales automatizadas exige capacidad efectiva para detectar y corregir errores.

Explicar sin revelar todo el código

Informar de que se usa IA es solo el comienzo. Cuando corresponda, la persona debe conocer finalidad, datos principales, lógica general y consecuencias. Una explicación útil permite entender qué factores influyeron y cómo impugnar el resultado; no obliga necesariamente a entregar código fuente o secretos empresariales completos.

IA generativa y agentes autónomos

Los sistemas generativos pueden recibir documentos confidenciales, producir afirmaciones falsas o conservar información fuera del entorno previsto. Deben definirse datos permitidos, contrato, configuración y revisión. Los agentes capaces de ejecutar acciones añaden riesgos de permisos, reversibilidad y auditabilidad.

Cuanta más autonomía se concede, más importantes son los límites, registros y mecanismos de parada. No debe permitirse que una herramienta modifique expedientes, envíe comunicaciones o adopte decisiones relevantes sin trazabilidad.

Gobernanza verificable

Un inventario de usos, responsables, evaluación de riesgos y formación transforma experimentos aislados en un sistema controlable. Algunos tratamientos requerirán evaluación de impacto; otros quedarán sujetos a obligaciones adicionales del Reglamento de IA.

El asesoramiento en protección de datos debe integrarse con seguridad, contratación y cumplimiento. Innovar responsablemente no es impedir todo uso ni aceptar cualquier herramienta por su promesa de eficiencia. Es comprobar su necesidad y conservar capacidad humana para explicar, revisar y rectificar.

Contratos, proveedores y ciclo de vida

La empresa debe conocer si el proveedor usa las entradas para entrenar modelos, dónde se alojan los datos, qué subencargados intervienen y cómo se notifican incidentes. Las cláusulas contractuales no sustituyen las pruebas de funcionamiento, los controles de acceso ni la posibilidad de recuperar o suprimir la información.

La evaluación continúa después del despliegue. Cambios del modelo, nuevas fuentes de datos o usos distintos pueden alterar el riesgo y exigir otra valoración. Registrar versiones, incidencias, correcciones y decisiones humanas permite demostrar que la gobernanza no fue un trámite inicial, sino un proceso mantenido durante todo el ciclo de vida.