Te aviso de entrada: no soy abogado ni experto en protección de datos. Lo que sí soy es alguien que construye estas cosas y que ha visto el lío que se monta cuando una pyme mete IA sin pensar en los datos. De eso te puedo hablar. De lo legal fino, hazme caso, habla con quien sabe.
Dicho esto, vamos al problema, porque es muy real.
El RGPD que creías tener
La mayoría de pymes tienen el RGPD “hecho”. Pagaron en su día a una gestoría o a una empresa, firmaron unos papeles, pusieron los textos en la web, y se quedaron tranquilos. “Eso ya está.”
Y estaba, para cómo trabajabas entonces.
Pero entonces no metías datos de clientes en una IA. Y ahora sí. Y eso cambia el tablero, aunque nadie te haya avisado.
Porque el RGPD, en el fondo, va de una cosa sencilla: los datos de las personas son suyos, no tuyos, y tú respondes de lo que haces con ellos. Da igual la herramienta. Si metes los datos de tus clientes en algo nuevo, tienes que saber qué pasa con ellos ahí dentro. Y con la IA, mucha gente no tiene ni idea.
Dónde está el lío de verdad
El problema no es teórico. Es del día a día.
El comercial pega la lista de clientes en una IA de consumo para redactar algo. Esos datos personales acaban en un servidor de fuera, y nadie decidió que eso pasara. Eso es justo lo que el RGPD te pide evitar: que los datos de la gente acaben donde no controlas, sin base ni motivo.
O conectas una herramienta de IA a tu sistema de clientes para que “te ayude”, y resulta que esa herramienta procesa esos datos en sitios y de formas que no has mirado. ¿Le has preguntado dónde trata esos datos? ¿Tienes algo firmado con quien te la vende? Si la respuesta es no, ahí tienes el agujero, y no es pequeño.
No hace falta mala intención. Hace falta solo que nadie se haya parado a pensarlo.
Lo práctico, sin jerga
Sin meterme en lo que no me toca, esto es lo de sentido común que sí te puedo decir.
No metas datos personales de tus clientes en herramientas de consumo sin garantías. Las versiones de empresa, las serias, suelen darte por escrito qué hacen y qué no hacen con tus datos. Esa diferencia, aquí, no es un detalle: es la línea entre cumplir y no cumplir.
Ten claro quién, dentro de tu empresa, puede usar la IA con qué datos. Si todo el mundo puede meter cualquier cosa en cualquier herramienta, no tienes control, y sin control no hay cumplimiento que valga.
Y antes de montar algo serio con datos de personas (un sistema, una automatización que toque información sensible), habla con un profesional de protección de datos. No por miedo a la multa, que también, sino porque es lo correcto. Esos datos son de tus clientes, que se fían de ti.
La IA no te quita las obligaciones del RGPD. Te las pone más presentes, porque multiplica por dónde pueden salir los datos. Tenerlo en cuenta desde el principio es barato. Arreglarlo cuando ya ha salido mal es caro, y a veces no se arregla.
Menos “eso ya lo tengo hecho”. Más saber por dónde andan los datos de tu gente ahora que ha entrado la IA.
Sigue tirando del hilo: el riesgo de pasarle tus datos a ChatGPT, dónde acaban según uses la IA en la nube o en tu casa y por qué el Excel de clientes que circula es un problema de datos.
¿Has metido IA y no sabes qué pasa con los datos de tus clientes? Empieza por mirarlo: el diagnóstico de 14 días con garantía te dice dónde estás y por dónde seguir. Si no saco mejoras medibles, te devuelvo el dinero.