RGPD e IA en España: guía práctica para no meterte en un lío

Por qué esto te importa aunque seas pyme

La AEPD ha aumentado las inspecciones a pymes que usan IA. Las multas van desde 900€ hasta cifras que hunden un negocio. La buena noticia: cumplir es más sencillo de lo que parece.

Además, el cumplimiento bien planteado no solo evita sanciones: mejora la confianza del cliente, facilita entrar en licitaciones y da tranquilidad al equipo. Es un activo, no una carga administrativa.

En sectores regulados (salud, legal, educación, servicios financieros) el cumplimiento demostrable es directamente un requisito para operar. Cada vez más contratos B2B incluyen cláusulas específicas sobre uso de IA y tratamiento de datos, y no poder responder a ellas descarta a la empresa del proceso de compra.

Los 5 principios básicos aplicados a IA

1. Licitud: base legal clara (consentimiento, contrato, interés legítimo).
2. Minimización: solo los datos imprescindibles.
3. Transparencia: el usuario sabe que habla con una IA.
4. Seguridad: cifrado, control de accesos, logs.
5. Responsabilidad: puedes demostrar cómo cumples.

Aplicados a un agente de WhatsApp, por ejemplo: la base legal es el interés legítimo o el consentimiento explícito según el caso, el agente solo recibe el mínimo dato necesario para responder, el primer mensaje advierte de que hay IA, las conversaciones se cifran en tránsito y en reposo, y guardas un registro de tratamiento con quién accede a qué.

Checklist rápido antes de lanzar un agente

• ¿Informas al usuario de que hay IA en el proceso?
• ¿Tienes registro de actividades de tratamiento?
• ¿Has firmado un DPA con tu proveedor de IA?
• ¿Los datos salen fuera de la UE? Si sí, ¿hay cláusulas contractuales tipo?
• ¿Tienes política de retención (borrado a X meses)?
• ¿El usuario puede pedir explicación de una decisión automatizada?
• ¿Tienes proceso claro para atender solicitudes de acceso, rectificación y borrado?
• ¿Has hecho un análisis de riesgos básico del caso de uso?

Con esos ocho puntos cubiertos, el 90% de los casos típicos de una pyme quedan resueltos. Documenta las respuestas en un documento vivo, no en un PDF de un cajón: los auditores valoran la actualización más que la extensión.

Casos típicos y cómo resolverlos

Agente de WhatsApp

Añade un mensaje inicial: "Este canal está atendido por una IA supervisada. Puedes pedir hablar con una persona en cualquier momento.". Guarda ese aviso en el histórico y revísalo si cambias de proveedor o de finalidad.

Análisis de CV

Si usas IA para filtrar candidatos, el candidato tiene derecho a revisión humana. Documenta el proceso, los criterios usados y ofrece un canal claro para pedir revisión. Nunca uses variables sensibles (edad, origen, salud) como criterios de scoring.

Grabación de llamadas

Aviso claro al inicio ("esta llamada se graba y puede ser analizada"). Sin aviso, no vale. Define retención (por ejemplo 6 meses) y cifra las grabaciones. Si transcribes con IA, aplica el mismo criterio a las transcripciones.

E-commerce con recomendador

Si usas IA para recomendar productos según historial, es un tratamiento perfectamente lícito con interés legítimo, pero informa en la política de privacidad y ofrece opción de no personalización.

AI Act europea: lo mínimo que debes saber

Desde 2026 aplica el Reglamento Europeo de IA. Para pymes con casos típicos (chatbots, marketing, atención), las obligaciones principales son:

• Transparencia con el usuario.
• Marcado de contenido generado ("watermark").
• Prohibición de usos de "riesgo inaceptable" (scoring social, reconocimiento emocional en el trabajo, etc.).

Si usas IA para recursos humanos, evaluación educativa o servicios esenciales, tu caso puede considerarse "alto riesgo" y las obligaciones aumentan. En esos supuestos, asesórate antes de desplegar.

Ten en cuenta también que las autoridades europeas armonizarán progresivamente sus criterios: lo que hoy funciona con una interpretación laxa puede endurecerse en revisiones futuras. Planifica el cumplimiento con margen para adaptarte sin rehacer todo el sistema.

Errores frecuentes

• Copiar la política de privacidad de otra web.
• No revisar los subencargados de tu proveedor.
• No borrar logs de conversaciones antiguas.
• Enviar datos personales a modelos gratuitos sin acuerdo.

Otro error muy común: no formar al equipo. La primera brecha suele venir del empleado que pega un Excel con datos de clientes en un modelo público para "resumir". Con una política clara y 30 minutos de formación, la mayoría de estos incidentes desaparecen.

Cómo lo abordamos en NEXO

Todo despliegue incluye:

• DPA firmado con proveedores.
• Datos alojados en la UE cuando es posible.
• Logs con retención configurable.
• Textos legales adaptados a tu caso.
• Formación básica al equipo sobre uso responsable.

Puedes leer nuestra política de privacidad o pedir revisión en contacto.

Preguntas frecuentes

¿Puedo usar OpenAI cumpliendo RGPD?
Sí, con el acuerdo de tratamiento de datos y activando la opción de no entrenamiento con tus datos. Verifica también dónde se procesan tus datos y ajusta la política de privacidad para incluir a OpenAI como subencargado.

¿Necesito DPO?
Solo si tratas datos a gran escala o categorías especiales. La mayoría de pymes no lo necesita, pero conviene asesoramiento puntual, sobre todo antes de lanzar un caso de uso nuevo con datos sensibles.

¿Qué pasa si un cliente pide borrar sus datos?
Debes borrarlos de todos los sistemas (CRM, backups, logs del agente) en un plazo razonable (normalmente 30 días) y responder por escrito. Automatiza el proceso: es mucho más barato que hacerlo manualmente cada vez.