RGPD
RGPD aplicado a sistemas de inteligencia artificial
Si la IA trata datos personales —selección de personal, atención al cliente, perfilado, decisiones— el RGPD se aplica con plenitud. Ordenamos el encaje: bases jurídicas, información, límites y evaluación de impacto.
Qué recibes
- 01
Inventario de tratamientos con IA integrado en el Registro de Actividades de Tratamiento.
- 02
Análisis de bases jurídicas y de garantías del art. 22 RGPD por tratamiento.
- 03
Evaluaciones de impacto para los tratamientos que las requieran.
- 04
Revisión de los contratos con proveedores de sistemas de IA.
- 05
Información a interesados adaptada a los tratamientos con IA.
No incluye: No incluye la auditoría técnica de los modelos (sesgos, rendimiento, seguridad), que corresponde a perfiles técnicos.; No incluye la clasificación completa de los sistemas en el AI Act ni la gobernanza de IA, que se trabajan en la familia de inteligencia artificial.; No incluye el desarrollo ni el ajuste técnico de los sistemas..
Cómo funciona
- 01
Analizamos
Inventario de los usos de IA con datos personales, incluidos los no formalizados (herramientas usadas por las áreas).
- 02
Clasificamos
Cada tratamiento por finalidad, datos y efectos sobre las personas, y detección de decisiones automatizadas.
- 03
Evaluamos
Análisis de necesidad de EIPD conforme al art. 35 RGPD y a las listas de la AEPD para los tratamientos de riesgo.
- 04
Documentamos
Bases jurídicas, información, garantías del art. 22, contratos con proveedores y registro en el RAT.
- 05
Mantenemos
Revisión ante nuevos usos de IA, cambios de proveedor o evolución de los criterios de la AEPD.
Si te aplica
Afecta a cualquier organización que utilice sistemas de IA con datos personales: selección y evaluación de personal, atención al cliente automatizada, perfilado comercial, scoring, análisis de comportamiento, asistentes internos entrenados o alimentados con datos de la organización. El análisis RGPD es previo y complementario al régimen del AI Act: una cosa es la clasificación del sistema en el Reglamento europeo de IA y otra el encaje del tratamiento de datos personales que el sistema realiza.
Qué necesitamos de tu organización
- Relación de herramientas de IA en uso, oficiales y de uso espontáneo por las áreas.
- Acceso a las personas responsables de los procesos que usan IA (RRHH, marketing, atención al cliente).
- Contratos y condiciones de los proveedores de IA.
- Información sobre decisiones que los sistemas apoyan o adoptan respecto de personas.
Preguntas frecuentes
Lo que suele preguntarse
- Sí: lo relevante es el tratamiento de datos personales, no quién programó el sistema. Si tu organización usa la herramienta para sus finalidades, es responsable del tratamiento y el proveedor suele actuar como encargado, con el contrato correspondiente. El análisis cubre ambos lados: el tratamiento propio y la relación con el proveedor.
Fuentes: Reglamento (UE) 2016/679 · AEPD — EIPD · BOE-A-2018-16673
Empecemos por tu caso.
Confirmamos el alcance y el precio antes de formalizar el encargo.