IA y protección de datos: cómo usar inteligencia artificial cumpliendo el RGPD.

Actualizado el 29 de septiembre de 2026 · 7 minutos de lectura

Usar inteligencia artificial no está reñido con la protección de datos. Lo que exige es aplicar a los nuevos sistemas los mismos principios que ya rigen cualquier tratamiento: finalidad clara, base jurídica, minimización, seguridad y transparencia.

El marco normativo

• RGPD (Reglamento (UE) 2016/679) y LOPDGDD (Ley Orgánica 3/2018): regulan cualquier tratamiento de datos personales, también cuando lo realiza un sistema de IA.
• Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689): clasifica los sistemas de IA según su riesgo y establece obligaciones de forma escalonada, como la transparencia cuando una persona interactúa con una IA.

1. Identifica qué datos entran en el sistema

Antes de implantar una solución, identifica qué información procesará: consultas de clientes, documentos con datos personales, grabaciones, datos de empleados… Cuantos menos datos personales uses, menor será el riesgo. Aplica el principio de minimización: si el proceso funciona con datos anonimizados o agregados, úsalos.

2. Elige proveedores con garantías

Cuando utilizas un servicio de IA de terceros, ese proveedor suele actuar como encargado del tratamiento. Comprueba:

• Que ofrece un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
• Dónde se procesan y almacenan los datos y si hay transferencias internacionales, y con qué garantías.
• Si utiliza tus datos para entrenar sus modelos y cómo desactivarlo. Las versiones empresariales y las APIs suelen ofrecer esta opción.
• Qué medidas de seguridad y plazos de conservación aplica.

3. Informa y define la base jurídica

Actualiza tu política de privacidad para explicar los nuevos tratamientos. Si un chatbot atiende a clientes, indica claramente que se trata de un sistema automatizado y ofrece la opción de hablar con una persona. Revisa también la base jurídica de cada tratamiento: ejecución de un contrato, interés legítimo, consentimiento u obligación legal.

4. Evita decisiones automatizadas sin supervisión

El RGPD limita las decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o significativos sobre las personas (por ejemplo, denegar un servicio). Diseña los procesos para que una persona revise las decisiones relevantes.

5. Evalúa el riesgo

Si el tratamiento puede suponer un alto riesgo —por ejemplo, datos de salud, evaluación de personas o tratamiento a gran escala—, puede ser obligatoria una evaluación de impacto relativa a la protección de datos (EIPD). Aunque no lo sea, un análisis de riesgos sencillo ayuda a tomar mejores decisiones.

Buenas prácticas para el equipo

• Define qué herramientas de IA están autorizadas y para qué usos.
• No introducir datos personales o confidenciales en herramientas gratuitas o no aprobadas.
• Revisar siempre los resultados antes de enviarlos a clientes.
• Formar al equipo en los riesgos y en el uso responsable.

En nuestros proyectos de integración de ChatGPT y otros modelos y de consultoría de IA tenemos en cuenta la privacidad desde el diseño: qué datos se envían, a qué proveedor y con qué garantías.