Cada vez más personas usan asistentes de IA generativa para redactar, resumir o analizar información en su día a día laboral. El problema no suele ser el uso de la herramienta, sino no saber distinguir qué tipo de información nunca debería salir de los sistemas de la empresa a través de un prompt. Esa distinción no es una cuestión de sentido común genérico: el RGPD y la LOPDGDD ya clasifican qué datos merecen una protección reforzada, y esa clasificación es la que debe guiar el uso diario de la IA generativa.
Por qué no todos los datos personales pesan igual
El RGPD distingue entre datos personales comunes (nombre, correo electrónico, teléfono) y categorías especiales de datos, reguladas en el art. 9 RGPD, que incluyen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, biométricos, de salud y los relativos a la vida sexual u orientación sexual de una persona. A ello se suma el art. 10 RGPD, que regula con cautelas equivalentes los datos relativos a condenas e infracciones penales. Introducir cualquiera de estos datos en una herramienta de IA generativa sin control equivale a tratarlos sin las garantías reforzadas que la ley exige.
Beneficios de la IA generativa cuando se usa con criterio
Bien utilizada, la IA generativa permite ahorrar tiempo en tareas de redacción, síntesis y análisis documental. El beneficio real no está en introducir cualquier dato para obtener una respuesta más completa, sino en aprender a formular las peticiones de forma que la herramienta ayude sin necesidad de exponer información que no le corresponde ver.
Categorías de datos que nunca deberían introducirse sin control
- Datos de salud: diagnósticos, bajas médicas, tratamientos, informes psicológicos o cualquier información sobre el estado físico o mental de una persona.
- Datos biométricos: huellas dactilares, patrones de voz o de rostro utilizados para identificar de forma unívoca a una persona.
- Datos relativos a la vida sexual, orientación sexual, origen étnico, ideología, religión o afiliación sindical.
- Datos sobre condenas e infracciones penales, expedientes disciplinarios o procesos judiciales en curso.
- Datos de menores de edad, especialmente cuando se combinan con información escolar, familiar o de salud.
- Credenciales de acceso, contraseñas, claves de API o cualquier secreto técnico que permita acceder a sistemas de la organización.
- Información sujeta a secreto profesional o a cláusulas de confidencialidad contractual, como datos de clientes de un despacho de abogados o de una consultora.
- Datos financieros detallados de personas físicas: nóminas, situación patrimonial o histórico bancario, cuando permitan perfilar a una persona concreta.
Marco normativo aplicable
- RGPD: categorías especiales de datos (art. 9), datos relativos a infracciones penales (art. 10), principio de minimización (art. 5.1.c) y protección de datos desde el diseño y por defecto (art. 25).
- LOPDGDD: deber de confidencialidad del personal (art. 5) y garantías reforzadas para el tratamiento de datos de menores y colectivos vulnerables.
- Reglamento (UE) 2024/1689 (Reglamento de IA): la introducción de datos biométricos en sistemas de IA puede activar, según el caso de uso, obligaciones del Anexo III relativas a categorización biométrica, además de las exigencias del RGPD.
- Normativa sectorial de secreto profesional (abogacía, sanidad, servicios financieros) que impone deberes de confidencialidad adicionales a los del RGPD y cuyo incumplimiento puede generar responsabilidad disciplinaria o penal, independiente de la sanción de protección de datos.
Base de legitimación y por qué no basta con el interés legítimo
Para tratar categorías especiales de datos, el art. 9.2 RGPD exige encajar en una excepción concreta: consentimiento explícito, obligación legal en el ámbito laboral o de seguridad social, interés vital, o ejercicio de reclamaciones judiciales, entre otras. El interés legítimo del art. 6.1.f RGPD, que sí puede amparar tareas generales de productividad con IA, no es una base válida para introducir datos de categorías especiales en una herramienta de IA generativa. Si no existe una excepción específica del art. 9.2 claramente aplicable, ese dato sencillamente no debe introducirse.
¿Es obligatoria una evaluación de impacto (EIPD)?
Cuando el uso de IA generativa implica tratar, aunque sea ocasionalmente, categorías especiales de datos a través de prompts, la EIPD conforme al art. 35.3.b RGPD resulta obligatoria, ya que ese artículo exige expresamente una evaluación de impacto cuando el tratamiento a gran escala afecta a categorías especiales de datos. Incluso en tratamientos que no alcancen esa escala, la Agencia Española de Protección de Datos incluye en su listado de tratamientos de riesgo el uso de nuevas tecnologías, por lo que conviene documentar al menos un análisis de riesgo antes de permitir este tipo de uso en la organización.
Medidas de proporcionalidad y buenas prácticas
- Elaborar una política interna clara que enumere qué categorías de datos están expresamente prohibidas en herramientas de IA generativa.
- Anonimizar o seudonimizar la información antes de introducirla, sustituyendo nombres, identificadores o datos de salud por referencias genéricas cuando sea posible.
- Formar a la plantilla para que sepa reconocer qué constituye una categoría especial de datos, no solo qué es un dato personal en general.
- Restringir el uso de IA generativa a versiones corporativas con contrato de encargado del tratamiento (DPA) y sin entrenamiento con los datos introducidos.
- Establecer un canal de consulta rápida (DPO o responsable de seguridad) para resolver dudas puntuales sobre si un dato concreto puede introducirse.
- Auditar periódicamente el uso real de estas herramientas para detectar filtraciones accidentales de categorías especiales de datos.
Conclusión
La IA generativa no cambia la naturaleza de los datos que se introducen en ella: un dato de salud sigue siendo un dato de salud, y un dato biométrico sigue exigiendo las mismas garantías reforzadas que exigía antes de que existieran estas herramientas. La clave no está en desconfiar de la tecnología, sino en enseñar a la plantilla a distinguir qué información nunca debe cruzar la pantalla de un prompt.
Este contenido tiene carácter informativo y divulgativo. La clasificación de un dato concreto como categoría especial y la base jurídica aplicable en cada caso pueden requerir un análisis legal específico adaptado a la actividad de la organización.
#DatosSensibles #InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #sipylopd #SIPY
