La pregunta que más nos hacen antes de un proyecto de IA es qué pasa con los datos. La respuesta corta: se puede usar IA generativa cumpliendo el RGPD, siempre que se elijan bien los servicios y se diseñe el proceso con cabeza.
No es lo mismo un chat de consumo que un servicio empresarial
Las versiones gratuitas de los asistentes de IA pueden usar lo que escribes para mejorar sus modelos. Los servicios empresariales, como Azure OpenAI, Amazon Bedrock o Vertex AI, se contratan con condiciones distintas: tus datos no se usan para entrenar, se procesan en la región que elijas y hay un contrato de encargo de tratamiento.
Dónde se procesan los datos
Siempre que es posible desplegamos los modelos en regiones europeas y dentro de la nube del propio cliente. Así los datos no salen de la UE y quedan bajo las mismas políticas de seguridad que el resto de sistemas de la empresa.
Envía solo lo necesario
- Si el modelo solo necesita el importe y la fecha de una factura, no le envíes el documento completo.
- Seudonimiza nombres, DNI o datos de salud cuando la tarea lo permita.
- Define cuánto tiempo se guardan las conversaciones y los registros, y bórralos después.
Base legal, información y evaluación de impacto
El uso de IA no cambia las reglas básicas: cada tratamiento necesita una base legal, hay que informar a las personas afectadas y, si se tratan datos sensibles o a gran escala, hacer una evaluación de impacto. Conviene revisarlo con tu delegado de protección de datos antes de poner nada en producción.
Decisiones automatizadas
El RGPD da derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados con efectos importantes. Por eso, en procesos como la criba de candidatos o el análisis de riesgo, la IA propone y una persona decide.
