Los datos de tu empresa y la IA: privacidad, LOPD y dónde se guarda la información

Pasar datos de clientes a una herramienta de IA es legal en España si se hace con las mismas reglas que con cualquier otro proveedor que trata datos por cuenta de tu empresa: un contrato de encargado del tratamiento (el DPA), un plan de empresa que no entrene con tus datos, solo los datos imprescindibles y tus clientes informados. Lo que no es defendible es que un empleado pegue la base de clientes en su cuenta personal de un chat. Este artículo explica el marco para un dueño de empresa; no sustituye el consejo de tu asesor o tu delegado de protección de datos.

¿Es legal pasar datos de clientes a la IA?

Sí, es legal pasar datos de clientes a una IA cuando el tratamiento cumple el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (la LOPDGDD, que mucha gente sigue llamando «LOPD»). La IA no tiene un régimen especial para esto: el proveedor de IA es un proveedor más que trata datos por encargo de tu empresa, como la gestoría o el programa de facturación en la nube.

Eso significa cuatro obligaciones prácticas:

• Una finalidad clara: usar los datos para algo que tus clientes puedan esperar, como atender sus pedidos.
• Un contrato con el proveedor: el contrato de encargado del tratamiento, conocido como DPA.
• Minimización: pasar a la IA solo los datos que la tarea necesita.
• Transparencia: que tu información de privacidad refleje que usas ese proveedor.

¿Dónde se guardan los datos que le paso a la IA?

Los datos se guardan en los servidores del proveedor de IA, y dónde estén esos servidores depende del proveedor y del plan. Por defecto, muchos servicios de IA procesan datos fuera de la Unión Europea, lo que supone una transferencia internacional que el contrato con el proveedor tiene que cubrir.

Algunos proveedores ya ofrecen guardar los datos en Europa en sus planes de empresa. OpenAI, por ejemplo, ofrece residencia de datos en Europa para ChatGPT Enterprise, ChatGPT Edu y su API, con condiciones. En cualquier proveedor, la pregunta que hay que hacer es la misma: dónde se guardan los datos, cuánto tiempo y quién puede acceder a ellos.

Cuando un agente de IA se conecta a tus programas, entra en juego un segundo sitio: el propio sistema que construyes. Ahí decides tú dónde se aloja, qué guarda y durante cuánto tiempo.

¿Qué es un DPA y por qué lo necesito?

Un DPA (Data Processing Agreement, o acuerdo de tratamiento de datos) es el contrato que el artículo 28 del RGPD exige entre tu empresa, que es la responsable de los datos, y el proveedor que los trata por tu cuenta, que es el encargado. Fija para qué puede usar el proveedor los datos, qué medidas de seguridad aplica y qué pasa con ellos al terminar el servicio.

La Agencia Española de Protección de Datos explica el contenido mínimo de ese contrato en sus directrices para contratos entre responsables y encargados del tratamiento. Los grandes proveedores de IA ya lo tienen redactado para sus planes de empresa: OpenAI publica su acuerdo de tratamiento de datos, y las condiciones comerciales de Anthropic incorporan el suyo. En las cuentas personales ese marco no es el previsto, y por eso los datos de clientes no deberían pasar por ellas.

¿Qué datos no debería pasar nunca a la IA?

Hay datos que no deberían llegar a una herramienta de IA sin un análisis previo, y otros que no deberían llegar nunca:

• Categorías especiales de datos: salud, origen étnico, ideología, religión, afiliación sindical, vida u orientación sexual, datos genéticos y biométricos. El artículo 9 del RGPD prohíbe tratarlos salvo excepciones concretas, así que necesitan un análisis antes de acercarse a cualquier IA.
• Contraseñas, claves y credenciales: ni las tuyas ni las de tus programas. Un agente se conecta con credenciales propias y limitadas, nunca con las de una persona pegadas en un chat.
• Datos bancarios completos: números de tarjeta o cuentas que la tarea no necesita para funcionar.
• Datos que la tarea no usa: si la IA clasifica pedidos, no necesita el DNI del cliente. Lo que no se pasa no se puede filtrar.

¿Cómo se protegen datos sensibles en un software a medida?

Los datos sensibles se protegen con tres medidas de diseño: cifrado, permisos por perfil y registro de cada acceso. Es lo que aplicamos en RIJ, el Registro de Impagados Judiciales, una base de datos que consultan abogados y proveedores de información financiera y que contiene datos de deudas con resolución judicial.

• Cifrado en reposo y en tránsito: la infraestructura se diseñó en AWS cifrando los datos guardados y los que viajan.
• Control de accesos por tipo de usuario: proveedores y abogados tienen experiencias distintas, y cada perfil ve solo lo que le corresponde.
• Trazabilidad completa: cada consulta queda registrada.

Estas tres medidas valen igual para un agente de IA conectado a tus programas. El agente debe tener su propio usuario, con los permisos mínimos para su tarea, y cada acción que haga debe quedar registrada. Así se puede saber qué hizo, con qué datos y cuándo.

¿Cuál es el checklist mínimo antes de conectar la IA a datos de clientes?

Antes de pasar un dato de cliente a la IA, responde cuatro preguntas. Si alguna sale que no, para y resuélvela primero.

Si todavía estás decidiendo qué herramienta usar, en ChatGPT y Claude en la empresa comparo qué hacen con tus datos según el plan. Y si el siguiente paso es conectar la IA a tus programas, la guía de agentes de IA para empresas explica por dónde empezar. En nuestras integraciones con IA, la protección de datos se decide en el diseño, no al final.

Preguntas frecuentes