RGPD e IA en España: guía práctica para no meterte en un lío

Por qué esto te importa aunque seas pyme

Las multas del RGPD pueden llegar a 20 millones de euros o al 4 % de la facturación anual (art. 83 del RGPD): cifras que hunden un negocio. La buena noticia: cumplir es más sencillo de lo que parece.

Además, el cumplimiento bien planteado no solo evita sanciones: mejora la confianza del cliente, facilita entrar en licitaciones y da tranquilidad al equipo. Es un activo, no una carga administrativa.

En sectores regulados (salud, legal, educación, servicios financieros) el cumplimiento demostrable es directamente un requisito para operar. Cada vez más contratos B2B incluyen cláusulas específicas sobre uso de IA y tratamiento de datos, y no poder responder a ellas descarta a la empresa del proceso de compra.

Los 5 principios básicos aplicados a IA

1. Licitud: base legal clara (consentimiento, contrato, interés legítimo).
2. Minimización: solo los datos imprescindibles.
3. Transparencia: el usuario sabe que habla con una IA.
4. Seguridad: cifrado, control de accesos, logs.
5. Responsabilidad: puedes demostrar cómo cumples.

Aplicados a un agente de WhatsApp, por ejemplo: la base legal es el interés legítimo o el consentimiento explícito según el caso, el agente solo recibe el mínimo dato necesario para responder, el primer mensaje advierte de que hay IA, las conversaciones se cifran en tránsito y en reposo, y guardas un registro de tratamiento con quién accede a qué.

Checklist rápido antes de lanzar un agente

• ¿Informas al usuario de que hay IA en el proceso?
• ¿Tienes registro de actividades de tratamiento?
• ¿Has firmado un DPA con tu proveedor de IA?
• ¿Los datos salen fuera de la UE? Si sí, ¿hay cláusulas contractuales tipo?
• ¿Tienes política de retención (borrado a X meses)?
• ¿El usuario puede pedir explicación de una decisión automatizada?
• ¿Tienes proceso claro para atender solicitudes de acceso, rectificación y borrado?
• ¿Has hecho un análisis de riesgos básico del caso de uso?

Con esos ocho puntos cubiertos, la mayoría de los casos típicos de una pyme quedan resueltos. Documenta las respuestas en un documento vivo, no en un PDF de un cajón: los auditores valoran la actualización más que la extensión.

Casos típicos y cómo resolverlos

Agente de WhatsApp

Añade un mensaje inicial: "Este canal está atendido por una IA supervisada. Puedes pedir hablar con una persona en cualquier momento.". Guarda ese aviso en el histórico y revísalo si cambias de proveedor o de finalidad.

Análisis de CV

Si usas IA para filtrar candidatos, el candidato tiene derecho a revisión humana. Documenta el proceso, los criterios usados y ofrece un canal claro para pedir revisión. Nunca uses variables sensibles (edad, origen, salud) como criterios de scoring.

Grabación de llamadas

Aviso claro al inicio ("esta llamada se graba y puede ser analizada"). Sin aviso, no vale. Define retención (por ejemplo 6 meses) y cifra las grabaciones. Si transcribes con IA, aplica el mismo criterio a las transcripciones.

E-commerce con recomendador

Si usas IA para recomendar productos según historial, es un tratamiento perfectamente lícito con interés legítimo, pero informa en la política de privacidad y ofrece opción de no personalización.

Así planteamos las automatizaciones diseñadas para cumplir el RGPD: qué datos entran, dónde se tratan y quién los ve.

AI Act europea: lo mínimo que debes saber

El Reglamento Europeo de IA (Reglamento (UE) 2024/1689) se aplica por fases, y el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744, DOUE del 24 de julio de 2026) cambió parte del calendario. Para pymes con casos típicos (chatbots, marketing, atención), lo principal es:

• Prohibición de usos de "riesgo inaceptable" (scoring social, reconocimiento emocional en el trabajo, etc.): se aplica desde el 2 de febrero de 2025.
• Formación del equipo en IA: desde esa misma fecha, quien usa IA en su empresa debe tomar medidas para ayudar a que su personal sepa usarla; tras el Ómnibus no se exige un nivel concreto.
• Transparencia con el usuario (que sepa que habla con una IA): desde el 2 de agosto de 2026.
• Marcado del contenido generado ("watermark"): obligación de los proveedores de IA generativa desde el 2 de agosto de 2026; los sistemas que ya estaban en el mercado antes tienen hasta el 2 de diciembre de 2026.

Si usas IA para recursos humanos, evaluación educativa o servicios esenciales, tu caso puede considerarse "alto riesgo" y las obligaciones aumentan; tras el Ómnibus, se aplican desde el 2 de diciembre de 2027. En esos supuestos, asesórate antes de desplegar.

Ten en cuenta también que las autoridades europeas armonizarán progresivamente sus criterios: lo que hoy funciona con una interpretación laxa puede endurecerse en revisiones futuras. Planifica el cumplimiento con margen para adaptarte sin rehacer todo el sistema.

Errores frecuentes

• Copiar la política de privacidad de otra web.
• No revisar los subencargados de tu proveedor.
• No borrar logs de conversaciones antiguas.
• Enviar datos personales a modelos gratuitos sin acuerdo.

Otro error muy común: no formar al equipo. La primera brecha suele venir del empleado que pega un Excel con datos de clientes en un modelo público para "resumir". Con una política clara y 30 minutos de formación, la mayoría de estos incidentes desaparecen.

Cómo lo abordamos en NEXO

Todo despliegue incluye:

• DPA firmado con proveedores.
• Datos alojados en la UE cuando es posible.
• Logs con retención configurable.
• Textos legales adaptados a tu caso.
• Formación básica al equipo sobre uso responsable.

Puedes leer nuestra política de privacidad o pedir revisión en contacto.

Preguntas frecuentes

¿Puedo usar OpenAI cumpliendo RGPD?
Sí, con el acuerdo de tratamiento de datos y activando la opción de no entrenamiento con tus datos. Verifica también dónde se procesan tus datos y ajusta la política de privacidad para incluir a OpenAI como subencargado.

¿Necesito DPO?
Solo si tratas datos a gran escala o categorías especiales. La mayoría de pymes no lo necesita, pero conviene asesoramiento puntual, sobre todo antes de lanzar un caso de uso nuevo con datos sensibles.

¿Qué pasa si un cliente pide borrar sus datos?
Debes borrarlos de todos los sistemas (CRM, backups, logs del agente) en un plazo razonable (normalmente 30 días) y responder por escrito. Automatiza el proceso: es mucho más barato que hacerlo manualmente cada vez.

Si quieres ver qué puede hacer la inteligencia artificial en tu despacho más allá de un chat genérico, lo explicamos en IA para abogados.

Para ver dónde encaja esto dentro del conjunto, tenemos una guía general de IA aplicada a empresas con ejemplos por área.