RGPD e inteligencia artificial: guía práctica para pymes.
Las tres preguntas que importan
- ¿Dónde se procesan los datos? En tu servidor, en la UE, o fuera de la UE. De la respuesta depende todo lo demás.
- ¿Quién es el encargado del tratamiento? Si un proveedor externo procesa datos personales por ti, necesitas un contrato de encargo (art. 28 RGPD).
- ¿Hay transferencia internacional? Enviar datos a servidores en EE. UU. exige garantías adicionales (cláusulas tipo, marcos de adecuación) que conviene tener documentadas.
El atajo honesto: que los datos no salgan
La vía más simple de cumplimiento es estructural: si la IA se ejecuta en tu propia infraestructura, no hay proveedor externo procesando datos personales, no hay transferencia internacional y el acuerdo de tratamiento que ya tienes firmado con tus clientes sigue siendo 100 % válido. Es el planteamiento de la IA privada de AUREA.
No te olvides de las copias
El RGPD también alcanza a las copias de seguridad: si se guardan fuera, deben ir cifradas de forma que el proveedor de respaldo no pueda leerlas. Lo contamos en detalle en la guía de copias cifradas.
Checklist mínima para tu pyme
- Inventario: qué datos personales tocan tus herramientas de IA.
- Ubicación: dónde se procesa cada tratamiento (tu servidor / UE / fuera de la UE).
- Contratos: encargo de tratamiento con cada proveedor que procese datos por ti.
- Copias: cifradas y con la clave bajo tu control.
- Información: tu política de privacidad al día con estos tratamientos.
Este artículo es divulgativo y no sustituye al asesoramiento jurídico profesional para casos concretos.
Preguntas rápidas
Puede hacerse, pero exige trabajo: acuerdos de transferencia internacional, revisión de las condiciones del proveedor y cuidado con qué datos personales se envían. La alternativa estructural es que la IA se ejecute en tu propio servidor y los datos no salgan.
El contrato del artículo 28 del RGPD que debes firmar con cualquier proveedor que procese datos personales por cuenta de tu empresa, fijando qué hace con ellos, con qué medidas y qué pasa al terminar el servicio.
