Cumplimiento
IA y protección de datos en una pyme española
La pregunta que aparece en todas las reuniones, normalmente la última y en voz baja: «¿esto es legal?». La respuesta corta es que sí, casi siempre, y con tres condiciones que casi nadie cumple. Aquí están, con las normas y las fechas que las sostienen.
No soy abogado y esto no es asesoramiento jurídico. Las normas y las fechas están comprobadas contra el BOE, la AEPD y la Comisión Europea, y los enlaces están al final para que lo verifiques. La aplicación a tu caso concreto la tiene que ver un profesional.
¿Puedo meter datos de mis clientes en una inteligencia artificial?
Sí, con tres condiciones: que tengas una base jurídica para ese tratamiento, que el proveedor firme un contrato de encargado de tratamiento y no entrene sus modelos con tus datos, y que se lo cuentes a la gente en tu política de privacidad. Nada de eso es exótico: es lo mismo que ya haces con tu programa de contabilidad o con tu correo.
Lo que no puedes hacer es lo que hace medio mercado: pegar la base de clientes en un chat gratuito con la cuenta personal de alguien de la oficina. Ahí no hay contrato, no sabes dónde acaban los datos, y el responsable de todo eso sigues siendo tú.
¿Qué cambió el 2 de agosto de 2026?
Empezaron a aplicarse las obligaciones de transparencia del Reglamento europeo de inteligencia artificial. La más concreta para una pyme: cuando una persona interactúa con un sistema de IA, tiene que saberlo. Un asistente de WhatsApp que se hace pasar por «Laura de atención al cliente» sin decir que es un programa ya no es una decisión de estilo.
En la misma fecha entró en juego el resto del reglamento salvo el bloque de alto riesgo. Ese bloque se movió: el paquete de simplificación europeo entró en vigor el 27 de julio de 2026 y aplazó las obligaciones de los sistemas de alto riesgo al 2 de diciembre de 2027 para los usos del anexo III —biometría, infraestructuras críticas, educación, empleo, migración— y al 2 de agosto de 2028 para la IA integrada en productos.
Antes ya se aplicaban las prohibiciones y la obligación de alfabetización en IA, desde el 2 de febrero de 2025, y las reglas para los modelos de propósito general, desde el 2 de agosto de 2025.
¿Mi chatbot es un sistema de alto riesgo?
Casi con total seguridad, no. El alto riesgo está definido por uso, no por tecnología: seleccionar candidatos para un puesto, decidir el acceso a educación, evaluar solvencia crediticia, biometría, gestión de infraestructuras críticas. Un asistente que da citas, resuelve dudas de producto o extrae datos de una factura no está en esa lista.
Esto importa porque hay bastante ruido comercial construido sobre lo contrario. Si te están vendiendo una auditoría de alto riesgo para un bot de atención al cliente, pide que te señalen qué punto del anexo III aplica. Normalmente ahí se acaba la conversación.
Lo que sí te aplica siempre, sin excepción, es el RGPD. Y ahí el listón no lo pone la sofisticación del sistema: lo pone el hecho de que estés tratando datos de personas.
¿Tengo que avisar de que es una IA?
Sí, desde el 2 de agosto de 2026, y es barato de cumplir: una línea en el primer mensaje. No hace falta que sea un aviso legal ni que rompa la conversación.
Funciona bien algo así: «Hola, soy el asistente automático de [empresa]. Puedo ayudarte con citas y presupuestos; si prefieres hablar con una persona, dime “persona” y te paso.»
Esa frase hace tres cosas a la vez: cumple, baja las expectativas del usuario —que es lo que evita el enfado cuando el bot falla— y ofrece la salida humana, que es lo que más valora la gente. Que nadie te convenza de esconderlo porque «convierte mejor». Convierte mejor hasta que alguien se da cuenta.
¿Necesito una evaluación de impacto?
Depende, y la AEPD te da un criterio operativo en vez de una opinión. Publica una lista de once tipos de tratamiento de riesgo y dice que hará falta una evaluación de impacto en la mayoría de los casos en los que el tratamiento cumpla dos o más de esos criterios. Cuantos más cumple, más clara está la obligación.
Estos son los que suelen aplicar a una automatización de pyme:
| Criterio de la lista | Cuándo lo cumples sin darte cuenta |
|---|---|
| Perfilado o valoración de personas | Puntúas leads, clasificas clientes por comportamiento |
| Decisiones automatizadas que afectan al acceso a un bien, servicio o contrato | El sistema aprueba, deniega o prioriza sin que nadie lo revise |
| Observación o control sistemático, incluido el uso de identificadores únicos de usuarios de servicios web | Registras y analizas todas las conversaciones de todos los clientes |
| Categorías especiales de datos | Salud, sindicación, ideología. Una clínica lo cumple siempre |
| Tratamiento a gran escala | Depende del volumen y del alcance, no del tamaño de tu empresa |
| Nuevas tecnologías o uso innovador de tecnologías consolidadas | Aquí entra buena parte de lo que se está montando con IA hoy |
| Cruce o combinación de bases de datos con finalidades distintas | Unes el CRM con la centralita y con la web |
| Datos de personas vulnerables, incluidos menores de 14 años | Academias, pediatría, actividades extraescolares |
Mira la tabla con tu caso en la cabeza. Un asistente que atiende pacientes cumple «categorías especiales» y «observación sistemática» sin esfuerzo: dos criterios, evaluación de impacto. Un asistente que responde dudas sobre horarios de una tienda no cumple ninguno.
La evaluación no es un trámite decorativo: es el documento que te salva si algún día hay una reclamación, porque demuestra que pensaste el riesgo antes y no después.
¿Qué base jurídica uso?
Casi siempre una de estas tres, y conviene tenerlo escrito antes de encender nada:
- Ejecución de un contrato. Es la más sólida y la que cubre la mayoría de automatizaciones internas: gestionar el pedido de un cliente, emitir su factura, avisarle del estado de su reparación.
- Interés legítimo. Sirve para mejorar la atención o prevenir el fraude, pero exige que hagas y guardes una ponderación: qué ganas tú, qué pierde la persona, y por qué gana lo primero.
- Consentimiento. Necesario para marketing. Es la más frágil: se puede retirar en cualquier momento y entonces tienes que dejar de tratar los datos de verdad, no solo dejar de enviar.
El error clásico es apoyarse en el consentimiento para todo porque suena a lo más seguro. No lo es: te obliga a poder demostrar que lo obtuviste bien y te deja sin base en cuanto alguien lo retira.
¿Puedo usar ChatGPT, Claude o Gemini con datos de clientes?
Sí, si contratas la modalidad de empresa o la API, firmas el contrato de encargado de tratamiento que ofrecen y compruebas dos cosas: que no usan tus datos para entrenar y dónde se procesan. Los tres lo permiten hoy; ninguna de esas garantías viene por defecto en una cuenta personal gratuita.
Con la cuenta gratuita, no. Y aquí va el matiz que evita la mitad de los sustos: el problema no es que el modelo «se aprenda» a tu cliente. El problema es que no hay contrato, así que estás cediendo datos personales a un tercero sin base para hacerlo, y eso es sancionable aunque el modelo no aprenda absolutamente nada.
Si los datos salen de la Unión Europea, hace falta además un mecanismo de transferencia internacional válido, y decirlo en la política de privacidad. No es difícil. Es que hay que hacerlo.
Los cinco fallos que me encuentro en pymes
- La política de privacidad no menciona la IA. Se añadió una herramienta nueva y nadie tocó el documento. Es el fallo más común y el más fácil de arreglar.
- Nadie sabe qué proveedores hay debajo. Si no puedes nombrar a tus subencargados, no puedes informar de ellos, y estás obligado a informar de ellos.
- Se guarda todo para siempre. Las conversaciones de un asistente son datos personales y tienen que tener un plazo de conservación escrito. «Por si acaso» no es un plazo.
- No hay salida humana. Si el sistema toma decisiones sobre personas sin revisión, entras en el terreno del artículo 22 del RGPD, que es mucho más exigente. Poner a una persona a revisar de verdad —no en el organigrama— cambia la naturaleza legal del tratamiento.
- Las claves están en el ordenador de alguien. Sin control de accesos, cualquier persona con ese portátil es el sistema entero. Esto no lo dice el RGPD con esas palabras, pero es lo primero que aparece cuando algo va mal.
El mínimo que yo dejaría hecho antes de encender nada
Seis documentos o decisiones. No es un proyecto de meses; es una tarde bien invertida:
- El registro de actividades de tratamiento actualizado con la automatización nueva.
- El contrato de encargado firmado con cada proveedor de IA y de infraestructura.
- La base jurídica de cada tratamiento, escrita en una línea cada una.
- La política de privacidad actualizada, nombrando a los proveedores y diciendo si hay transferencias fuera de la UE.
- El plazo de conservación de las conversaciones y de los documentos procesados.
- La evaluación de impacto, si al mirar la tabla de arriba te salen dos criterios.
Quién supervisa qué, por si te lo preguntan: la AEPD vigila el uso de datos personales y la AESIA es la autoridad española de supervisión de la inteligencia artificial. Se coordinan, pero no son lo mismo, y a un chatbot de pyme le va a mirar primero la AEPD.
Lo que yo haría en tu lugar
Tratar el cumplimiento como parte del proyecto y no como el papeleo del final. Sale más barato: decidir dónde viven los datos antes de construir cuesta una conversación; decidirlo después cuesta rehacer la integración.
Y usarlo como argumento comercial, porque lo es. Poder decirle a tu cliente dónde están sus datos, quién los toca y cuánto tiempo se guardan te distingue del 90 % de tu competencia, que no lo sabe. En esta web tienes la versión larga de eso mismo aplicada a mi propio negocio, en dónde viven tus datos, que es exactamente el documento que yo pediría a un proveedor antes de contratarlo.
Fuentes
Todo lo que se afirma arriba con una cifra o una fecha sale de aquí. Si alguna de estas páginas cambia y esta nota no, escríbeme y la corrijo.
- Comisión Europea — Marco regulatorio europeo de la inteligencia artificial
- AEPD — Listas de tipos de tratamientos que requieren evaluación de impacto (art. 35.4 RGPD)
- EUR-Lex — Reglamento (UE) 2016/679, Reglamento General de Protección de Datos
- BOE — Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales
¿Tienes este problema ahora mismo?
Cuéntame en dos líneas a qué os dedicáis y qué proceso os come más horas. Te digo en la llamada si hay algo que hacer, o si la respuesta honesta es esperar.
Se abre WhatsApp con el mensaje ya escrito. Lo lees, lo cambias y lo envías. Lo leo yo, no un bot — el día que conteste un bot, te lo diré. Respondo en menos de 4 horas laborables.