LA INTELIGENCIA ARTIFICIAL. No la gran IA de los laboratorios tecnológicos, sino la que hoy utilizan nuestros empleados para redactar informes, resumir contratos, analizar datos comerciales o preparar propuestas a clientes.
La pregunta ya no es si debemos usar inteligencia artificial. La pregunta correcta es: ¿la estamos utilizando con control jurídico?
Porque la primera idea que quiero dejar clara es esta: la IA no es el problema; el problema es usarla sin reglas internas claras.
Cada prompt puede ser un tratamiento de datos
Cada vez que un trabajador introduce información en una herramienta de IA está realizando, técnicamente, un tratamiento de datos personales si esos datos identifican o pueden identificar a clientes, empleados o proveedores.
Y si existe tratamiento de datos personales, estamos automáticamente dentro del ámbito de aplicación del Reglamento (UE) 2016/679 (RGPD), norma que regula cualquier operación realizada sobre datos personales, ya sea automatizada o no.
No se trata de una cuestión técnica, sino jurídica. No es “una simple prueba”. Es una actuación con consecuencias legales.
La responsabilidad es de la empresa, aunque no haya orden expresa
Segunda idea clave: la empresa es responsable, aunque no haya dado instrucciones formales para usar IA.
El principio de responsabilidad proactiva del artículo 5.2 del RGPD exige que el responsable del tratamiento no solo cumpla la norma, sino que pueda demostrarlo. Decir “yo no sabía que lo estaban usando” no es una estrategia defensiva válida.
Si la herramienta se utiliza en el marco de la actividad empresarial, la responsabilidad es corporativa.
Aquí es donde muchas pymes están en una situación de riesgo silencioso: No han prohibido la IA, pero tampoco la han regulado.
Y regular no significa bloquear la innovación. Significa establecer reglas claras.
Principios jurídicos básicos para un uso responsable de IA
Desde nuestra experiencia como consultores, estos son los pilares que debería contener cualquier política interna de uso de inteligencia artificial:
-
Uso ético y proporcional
No todo lo técnicamente posible es jurídicamente aceptable.
Si una empresa utiliza IA para analizar currículums o evaluar candidatos, debe preguntarse: ¿Es necesario ese tratamiento? ¿Es adecuado al fin perseguido? ¿Puede generar discriminación?
El principio de proporcionalidad exige que el tratamiento sea idóneo, necesario y equilibrado.
-
Supervisión humana significativa
El artículo 22 del Reglamento (UE) 2016/679 establece que:
“El interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.”
Esto implica que ninguna decisión relevante debería adoptarse exclusivamente por un sistema automático sin posibilidad real de revisión humana.
No es solo una buena práctica. Es una exigencia normativa.
-
Minimización y protección de datos
Una pregunta sencilla que casi nadie se hace:
¿Es necesario introducir datos reales en la herramienta? En muchos casos se podría: anonimizar, pseudonimizar, y/o utilizar datos ficticios
El principio de minimización obliga a limitar el tratamiento a lo estrictamente necesario. El riesgo muchas veces no está en la herramienta, sino en el exceso de información que volcamos en ella.
-
Prevención de sesgos y discriminación
Los sistemas de IA pueden reproducir patrones discriminatorios si no se supervisan adecuadamente.
En procesos de selección, scoring financiero o evaluación del desempeño, esto puede generar responsabilidad directa para la empresa.
Por ello es recomendable: Revisiones periódicas, auditorías internas, evaluación de criterios de entrenamiento del sistema y controles documentados
La ausencia de control puede convertirse en prueba en contra.
-
Transparencia
Si el uso de IA impacta en clientes, trabajadores o proveedores, debe informarse de manera clara y comprensible.
La opacidad genera desconfianza. La desconfianza genera conflicto. Y el conflicto genera reclamaciones ante la autoridad de control.
Requisitos operativos que muchas empresas están ignorando
Más allá de los principios, existen obligaciones concretas:
Evaluación previa de riesgos
Antes de implantar una herramienta basada en IA debemos preguntarnos: ¿Se tratan datos sensibles? ¿Hay transferencias internacionales? ¿Se adoptan decisiones automatizadas? ¿Existe alto riesgo para los derechos y libertades?
En determinados supuestos puede ser obligatoria una Evaluación de Impacto en Protección de Datos (EIPD) conforme a los artículos 35 y siguientes del RGPD.
Control de proveedores
No todas las herramientas de IA ofrecen las mismas garantías. Es imprescindible analizar: las condiciones contractuales, un encargo de tratamiento, la ubicación de servidores, si hay transferencias internacionales y las medidas de seguridad
La responsabilidad del proveedor no sustituye la del responsable del tratamiento.
Formación interna
No sirve de nada tener una política si el personal no entiende sus implicaciones.
La IA debe utilizarse con criterio profesional, conocimiento jurídico básico y conciencia de riesgo.
La improvisación tecnológica es incompatible con la diligencia debida.
Conductas que deberían estar expresamente prohibidas
Una política interna de IA debería prohibir claramente: Introducir datos personales sin análisis previo, utilizar IA para suplantar identidades, manipular información mediante sistemas automáticos, adoptar decisiones automáticas sin base jurídica e integrar nuevas herramientas sin evaluación de riesgos.
La ausencia de reglas genera improvisación. La improvisación genera riesgo.
La reflexión estratégica para 2026
El riesgo en protección de datos ya no vendrá por no tener un cartel informativo. Vendrá por no haber regulado el uso interno de la inteligencia artificial.
El problema no será que alguien use IA.El problema será que lo haga sin: Supervisión, minimización, trazabilidad y documentación
Innovación con cumplimiento: ventaja competitiva
Igual que las empresas implantaron políticas de desconexión digital en aplicación de la Ley Orgánica 3/2018, hoy es necesario implantar una política interna de uso responsable de inteligencia artificial.
No para frenar la innovación. Sino para protegerla.
Porque la innovación sin cumplimiento es vulnerabilidad. Pero la innovación con cumplimiento es ventaja competitiva.
En QUICK LOPD no somos adaptadores que entregan un aviso legal estándar. Somos consultores que diseñamos soluciones jurídicas reales para empresas que quieren crecer con seguridad.
La pregunta que dejo hoy es muy sencilla:
¿Tienen ustedes regulado el uso de la inteligencia artificial dentro de su empresa?
Si la respuesta es no, probablemente ya la estén utilizando…pero sin protección jurídica.
No te pierdas la entrevista completa con Javier Nogueroles, que podrás escuchar cada semana en el programa TIC TAC DATOS de ONDA NARANJA COPE.