Antes de firmar con cualquier proveedor de IA, lee esto.

Por qué el RGPD es especialmente relevante para clínicas y despachos

El Reglamento General de Protección de Datos establece diferentes niveles de protección según el tipo de datos. Los datos personales corrientes, como el nombre o el teléfono, tienen el nivel de protección general. Por encima están las "categorías especiales de datos" del artículo 9.

Entre otros, incluyen:

- Datos de salud (historiales médicos, diagnósticos, tratamientos)
- Datos relativos a la ideología, religión o creencias
- Datos de afiliación sindical
- Datos relativos a la vida sexual o las orientaciones sexuales

Si tu empresa es una clínica, tienes datos de salud. Si eres un despacho de abogados, es fácil que manejes datos de alguna de estas categorías. En los dos casos el nivel de protección que se te exige es más alto.

Con estos datos, lo que el RGPD pide en la práctica es esto:

Una base legal del artículo 9. El consentimiento explícito es una de ellas, aunque no la única: la asistencia sanitaria, por ejemplo, tiene la suya propia. Si te apoyas en el consentimiento, no vale una casilla premarcada; el paciente o cliente tiene que darlo de forma explícita e informada para cada finalidad.

Evaluación de impacto en protección de datos. Es obligatoria cuando el tratamiento puede suponer un riesgo alto para las personas, por ejemplo al tratar datos de salud a gran escala. Aunque en tu caso no lo sea, conviene dejar por escrito qué riesgos has valorado antes de automatizar nada.

Medidas técnicas y organizativas reforzadas. Cifrado, seudonimización, control de accesos o auditorías de seguridad, según el riesgo. Lo que apliques tiene que quedar documentado.

Contrato de encargo de tratamiento. Si un tercero trata estos datos por cuenta tuya, como hace un proveedor de IA, el artículo 28 exige un contrato que fije qué puede hacer con ellos y qué no.

El problema con los servicios de IA "genéricos"

Las versiones gratuitas o de consumo de ChatGPT, Claude o Gemini están pensadas para uso personal. Para trabajar con datos de clientes, estos mismos fabricantes ofrecen versiones de empresa o de API con contrato de encargo de tratamiento y condiciones de datos distintas. Conviene leer las condiciones vigentes de la versión concreta que vayas a usar.

Estos son los riesgos de meter datos de clientes en la versión de consumo:

Los datos pueden salir de la Unión Europea. En las versiones de consumo no eliges dónde se tratan, y lo habitual es que pasen por servidores de Estados Unidos. Una transferencia así puede ser legal (con el Marco de Privacidad de Datos UE-EE. UU. o con cláusulas contractuales tipo), pero tiene que estar cubierta y documentada.

Tus datos se usan para entrenar modelos. En la versión de consumo de ChatGPT, lo que escribes puede usarse para mejorar el modelo salvo que lo desactives en los ajustes. Los datos de tus clientes podrían acabar en el entrenamiento, con el riesgo de que algún fragmento reaparezca en respuestas a otras personas.

No hay contrato de encargo de tratamiento. Con la versión de consumo no firmas el contrato del artículo 28. Quedan sin fijar por escrito las medidas de seguridad, el borrado de los datos y quién responde si algo sale mal.

No puedes auditar el cumplimiento. No tienes forma de saber dónde están exactamente tus datos, quién tiene acceso a ellos, o si se han eliminado cuando lo solicitaste.

Esto no significa que estas herramientas sean malas. Para redactar un email, resumir un artículo público o buscar ideas van bien. Para datos de clientes, y menos aún si son de categorías especiales, no son la herramienta adecuada.

Las 5 preguntas que debes hacer a cualquier proveedor de IA

Antes de contratar cualquier servicio de IA que vaya a procesar datos de tus clientes, haz estas cinco preguntas. Anota las respuestas. Si algo no te cuadra, busca otro proveedor.

1. ¿Dónde se almacenan y procesan los datos?

Lo más sencillo es que la respuesta sea "en servidores de la Unión Europea", con la región concreta. Si hay transferencias fuera, por ejemplo a Estados Unidos, el proveedor tiene que decirte a qué país y con qué garantía legal. "En la nube de Amazon o de Google", sin región, no es una respuesta.

2. ¿Se usan mis datos para entrenar modelos de IA?

La respuesta que buscas es un no claro, y por escrito. Tus datos se usan solo para prestarte el servicio contratado y no se incorporan a modelos generales.

3. ¿Firmáis un contrato de encargo de tratamiento conforme al RGPD?

Lo esperable es que te lo envíen para revisarlo. Puede ir como anexo a las condiciones generales, pero tiene que existir y recoger lo que pide el artículo 28. Si te dicen que "no hace falta", desconfía.

4. ¿Qué medidas de seguridad implementáis?

Una respuesta seria habla de cifrado de los datos en tránsito y en reposo, de control de accesos por roles, de auditorías de seguridad periódicas y de un plan de contingencia. Si te dan una respuesta vaga como "tenemos seguridad de nivel empresarial", pide detalles.

5. ¿Cómo puedo ejercer el derecho al olvido?

Debería existir un procedimiento por escrito para borrar los datos en un plazo concreto, y una persona o un canal de contacto para estos temas. En algunos casos la ley obliga además a nombrar un delegado de protección de datos (artículo 37 del RGPD y artículo 34 de la LOPDGDD).

Señales de alerta: cuándo un proveedor no cumple (aunque diga que sí)

Algunos comportamientos indican que un proveedor no se toma en serio la protección de datos. Si ves alguno, piénsatelo antes de contratar:

No sabe explicar dónde están los servidores. Si te dan respuestas evasivas como "estamos en la nube" o "usamos infraestructura de terceros", es mala señal. Un proveedor serio sabe exactamente dónde están sus servidores.

No sabe decirte con quién hablar de protección de datos. No todas las empresas están obligadas a nombrar un delegado, pero quien trata datos de terceros debe tener a alguien que responda de ello. "Todos en el equipo saben de RGPD" no cuenta.

Te ofrecen probar el sistema con datos reales. Si en la fase de prueba te piden que subas documentos reales de clientes para "ver cómo funciona", huye. Las pruebas deben hacerse con datos ficticios o anonimizados.

Su precio es sospechosamente bajo. Hacer bien la parte de protección de datos cuesta dinero: servidores en la región adecuada, cifrado, auditorías y gente que sepa del tema. Si un proveedor es mucho más barato que la competencia, pregúntate qué es lo que están recortando.

No te dejan auditar. El RGPD te da derecho a auditar a tus encargados de tratamiento. Si un proveedor se niega a responder preguntas sobre su cumplimiento o no te deja revisar sus medidas de seguridad, es una señal de alerta.

Tiene sede en un país con poca protección de datos. El RGPD se aplica igual cuando se tratan datos de personas que están en la UE, esté donde esté el proveedor. Aun así, reclamarle a una empresa de fuera es bastante más difícil.

Cómo auditar el cumplimiento RGPD de un sistema de IA ya implantado

Si ya tienes un sistema de IA funcionando y no estás seguro de si cumple el RGPD, puedes hacer una auditoría básica:

Paso 1: Inventario de datos. Haz una lista de qué datos de clientes se procesan en el sistema. ¿Nombres? ¿Teléfonos? ¿Emails? ¿Datos de salud? ¿Información financiera?

Paso 2: Localización de servidores. Pide al proveedor una declaración por escrito de dónde se almacenan esos datos. Debe especificar países, no continentes.

Paso 3: Revisión de contratos. Busca el contrato de encargo de tratamiento. Si no existe, o si es una cláusula genérica que no recoge lo que pide el artículo 28, tienes un problema que resolver.

Paso 4: Prueba de derecho al olvido. Solicita la eliminación de datos de prueba y verifica que realmente se hayan borrado. Pide una certificación de eliminación.

Paso 5: Evaluación de riesgos. Si procesas datos especialmente protegidos, ¿hiciste una evaluación de impacto antes de implementar el sistema? Si era obligatoria y no se hizo, hay un incumplimiento que corregir.

Si salen problemas, muchos tienen arreglo: cambiar de proveedor, firmar el contrato que falta o añadir medidas de seguridad. Lo importante es corregirlos antes de que lo detecte la Agencia Española de Protección de Datos o lo denuncie un cliente.

Cómo lo planteamos en HorkIA

En nuestros proyectos repasamos con el cliente estas mismas preguntas antes de tocar un dato real:

Dónde se tratan los datos. Te decimos qué proveedores de modelos intervienen (OpenAI, Google u otros), en qué región trabajan y con qué garantía legal se hace cada transferencia, para que lo valores con tu asesor.

Nada de entrenar con tus datos. Trabajamos con las versiones de API o de empresa de los modelos, cuyas condiciones excluyen el uso de los datos para entrenar.

Contrato de encargo de tratamiento. Cuando tratamos datos personales por cuenta del cliente, firmamos el contrato del artículo 28.

Evaluación de impacto. Si tu proyecto la necesita, te damos la información técnica que pide (qué datos, dónde, con qué medidas). La valoración jurídica corresponde a tu asesor o a tu delegado de protección de datos.

Pruebas con datos ficticios. Las demos y las pruebas se hacen con datos inventados o anonimizados, nunca con documentos reales de tus clientes.

Borrado al terminar. Cuando acaba el servicio, te devolvemos los datos y los borramos de nuestros sistemas.

Nada de esto sustituye una revisión jurídica. HorkIA no emite certificados de cumplimiento: cada caso tiene que validarlo tu asesor legal o tu delegado de protección de datos.

Conclusión

La IA puede quitarle a una empresa mucho trabajo repetitivo, pero no a costa de la privacidad de sus clientes. El RGPD marca las condiciones para usarla con datos personales, y cumplirlas es perfectamente compatible con automatizar.

Antes de contratar cualquier servicio de IA, haz las cinco preguntas que hemos visto. Pide los contratos por escrito y no aceptes respuestas vagas. Si un proveedor no sabe explicarte cómo trata tus datos, tómalo como una mala señal.

Si quieres usar IA en tu empresa y tener claro desde el principio qué pasa con los datos, podemos hablarlo en una primera reunión gratuita.