IA generativa en la empresa: qué revisar desde el punto de vista de la protección de datos antes de utilizar una herramienta de un tercero

El uso de herramientas de inteligencia artificial generativa se ha incorporado con enorme rapidez al día a día de muchas empresas. Soluciones como ChatGPT, Claude, Copilot o Gemini ya se utilizan para redactar textos, resumir documentos, preparar presentaciones, analizar información, generar ideas, traducir contenidos o automatizar determinadas tareas internas.

Su utilidad es evidente. Permiten ahorrar tiempo, automatizar procesos y facilitar el trabajo de distintos departamentos. Sin embargo, desde el punto de vista de protección de datos, su uso no debería activarse de forma improvisada ni dejarse a la iniciativa individual de cada trabajador.

Cuando una empresa utiliza una IA generativa proporcionada por un tercero, no está simplemente incorporando una herramienta más. Está permitiendo que determinada información corporativa pueda ser introducida en un entorno tecnológico externo, gestionado por un proveedor que puede estar ubicado fuera del Espacio Económico Europeo, utilizar subproveedores internacionales y aplicar condiciones distintas en función de la versión contratada.

La pregunta relevante no es solo qué puede hacer la herramienta, sino qué datos se van a introducir, quién los va a tratar, con qué finalidad, durante cuánto tiempo, dónde se alojan y qué control conserva la empresa sobre esa información.

La versión utilizada no es una cuestión menor

Uno de los primeros aspectos que debe revisarse es la versión concreta de la herramienta. No es lo mismo utilizar una cuenta gratuita o personal que una versión empresarial o corporativa.

En las versiones de consumo, el usuario acepta unas condiciones generales pensadas para un uso individual. En muchos casos, esas condiciones no están diseñadas para cubrir las necesidades de una organización ni para ofrecer un marco sólido de cumplimiento en protección de datos. Puede que no haya controles de administración suficientes o que la información introducida se someta a reglas de conservación y uso poco compatibles con un entorno corporativo.

Las versiones empresariales suelen ofrecer mayores garantías: gestión centralizada de usuarios, controles de seguridad, configuración de permisos, exclusión del uso de los datos para entrenamiento, acuerdos de tratamiento de datos, información sobre subencargados y opciones de retención o eliminación más claras.

Por este motivo, antes de permitir el uso de una IA generativa, la empresa debería definir qué herramienta se puede utilizar, con qué versión y bajo qué condiciones. Dejar que cada empleado utilice su propia cuenta personal genera un riesgo difícil de controlar.

El contrato de encargo del tratamiento

 El uso de una herramienta de IA generativa por parte de una empresa implicará, con carácter general, un tratamiento de datos personales. Aunque la organización establezca instrucciones internas para no introducir datos personales en los prompts o documentos cargados, el proveedor normalmente tratará, al menos, datos identificativos y profesionales de los usuarios que acceden a la herramienta, información vinculada a la gestión de cuentas, registros de actividad, datos técnicos, logs de uso o información necesaria para prestar soporte y garantizar la seguridad del servicio.

Por ello, una de las primeras cuestiones que debe analizarse es el papel que asume el proveedor. En la mayoría de los casos, cuando la herramienta se presta como un servicio a la empresa, el proveedor actuará como encargado del tratamiento, lo que conlleva contar con un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.

Este contrato, conocido habitualmente como DPA, por sus siglas en inglés Data Processing Agreement, debe regular de forma clara el objeto del tratamiento, su duración, la naturaleza de las operaciones realizadas, las categorías de datos personales tratados, las categorías de interesados afectados, las medidas de seguridad aplicables y las obligaciones del proveedor. También debe concretar cómo se gestionan las brechas de seguridad, las solicitudes de ejercicio de derechos, la devolución o supresión de la información y la posible intervención de terceros.

En este punto resulta especialmente relevante revisar qué subencargados participan en la prestación del servicio. Muchas soluciones de IA se apoyan en proveedores de infraestructura, servicios cloud, herramientas de seguridad, soporte técnico o entidades del propio grupo empresarial. La empresa debe conocer esta cadena de prestación del servicio, sobre todo cuando alguno de esos terceros pueda acceder a datos personales o tratar información fuera del Espacio Económico Europeo.

El DPA no debería revisarse de forma aislada. Debe ponerse en relación con las condiciones del servicio, la documentación de seguridad, la lista de subencargados y las condiciones específicas de la versión contratada. Solo así puede comprobarse si el marco contractual refleja realmente cómo funciona la herramienta y qué garantías ofrece el proveedor.

Entrenamiento de modelos: una cuestión crítica

 Una de las principales cuestiones que debe analizarse es si la información introducida en la herramienta puede utilizarse para entrenar o mejorar modelos de inteligencia artificial.

En un entorno empresarial, los trabajadores pueden introducir información interna, datos de clientes, documentación financiera o incluso contenidos sujetos a confidencialidad. Que esa información pueda utilizarse para entrenar modelos del proveedor plantea riesgos relevantes tanto desde la perspectiva de protección de datos como desde la protección de secretos empresariales y confidencialidad.

Por ello, la empresa debe verificar si los prompts, documentos cargados, respuestas generadas y comentarios del trabajador pueden ser utilizados para mejorar el servicio o entrenar modelos. Esta revisión debe hacerse sobre la versión concreta que se vaya a contratar, ya que las condiciones pueden variar de forma significativa entre modalidades gratuitas, profesionales y empresariales.

Lo recomendable es optar por soluciones que excluyan por defecto el uso de los datos corporativos para entrenamiento o, en caso contrario, optar por desactivar esta funcionalidad. También conviene revisar el tratamiento del feedback que los usuarios puedan enviar a la herramienta, ya que en algunos servicios puede tener un régimen distinto al contenido ordinario de las conversaciones.

Transferencias internacionales de datos

Muchas herramientas de IA generativa son prestadas por proveedores ubicados en Estados Unidos o por grupos empresariales con infraestructura, soporte o subencargados fuera del Espacio Económico Europeo. Esto obliga a revisar las transferencias internacionales de datos.

La empresa debe conocer dónde se alojan los datos, desde qué países puede accederse a ellos, qué entidades del grupo intervienen y qué subencargados participan en la prestación del servicio. Si existen transferencias internacionales, será necesario identificar el mecanismo jurídico aplicable. En la práctica, esto puede implicar revisar cláusulas contractuales tipo, decisiones de adecuación cuando resulten aplicables o marcos específicos de transferencia reconocidos por la Unión Europea.

En muchos casos también puede resultar necesario realizar una evaluación de impacto de la transferencia, conocida como TIA por sus siglas en inglés Transfer Impact Assessment. Esta evaluación permite valorar si el país de destino ofrece un nivel de protección esencialmente equivalente al europeo y si las medidas contractuales, organizativas y técnicas aplicadas resultan suficientes.

En herramientas de IA generativa, las medidas técnicas tienen especial importancia. El cifrado, la limitación de accesos, la segregación de datos, la ubicación del alojamiento, la gestión de logs y la posibilidad de restringir el tratamiento pueden ser elementos decisivos para valorar el riesgo.

Conservación de la información

Otro aspecto esencial es el plazo durante el cual el proveedor conserva la información. Algunas herramientas guardan las conversaciones para que el usuario pueda consultarlas más adelante. Otras conservan registros técnicos, logs de actividad, datos de uso o copias de seguridad durante determinados periodos.

La empresa debe conocer estos plazos y valorar si son compatibles con sus propias políticas internas de conservación. No todos los usos presentan el mismo riesgo. Una consulta genérica sobre estilo de redacción no es comparable a la carga de un contrato con datos personales, una reclamación de un cliente, documentación laboral o información financiera.

También conviene comprobar si la organización puede borrar conversaciones, desactivar historiales, limitar la carga de archivos, configurar periodos de retención o impedir que determinados usuarios utilicen funciones más sensibles. Si la herramienta no ofrece suficiente control sobre la información, puede no ser adecuada para determinados tratamientos.

Política interna de uso

Contratar una versión empresarial no es suficiente si los usuarios no reciben instrucciones claras. La empresa debería aprobar una política interna de uso de herramientas de IA generativa que indique qué herramientas están autorizadas, qué tipo de información puede introducirse, qué datos deben evitarse y qué medidas de anonimización o seudonimización deben aplicarse.

Esta política debe ser práctica. Los empleados necesitan criterios comprensibles para saber cuándo pueden utilizar la IA y cuándo no. También deben entender que la IA puede generar respuestas incorrectas, incompletas o desactualizadas, por lo que los resultados deben revisarse antes de ser utilizados en un contexto profesional.

Registro, seguridad y responsabilidad

La incorporación de una herramienta de IA generativa debe reflejarse en el sistema de cumplimiento de la organización. La empresa debería incluirla en su inventario de proveedores tecnológicos y, cuando proceda, en su registro de actividades de tratamiento o en la documentación interna vinculada al tratamiento correspondiente.

Si el uso previsto puede implicar un riesgo alto para los derechos y libertades de las personas, será necesario valorar si procede realizar una evaluación de impacto en protección de datos. Esto dependerá del tipo de datos, del volumen tratado, de la finalidad, de los colectivos afectados y del papel que tenga la IA en el proceso.

Conclusión

 La IA generativa puede aportar mucho valor a una empresa, pero su implantación debe hacerse con criterio. No se trata de prohibir su uso, sino de establecer un marco claro que permita aprovechar sus ventajas sin comprometer datos personales, información confidencial o activos estratégicos de la organización.

La clave está en incorporar estas herramientas con una evaluación previa suficiente, reglas claras de uso y un control adecuado sobre la información que se introduce en ellas.