RGPD y AI Act: cómo usar la inteligencia artificial con documentos que contienen datos personales
Qué dicen las normas europeas cuando un despacho o una empresa usa ChatGPT, Copilot, Gemini u otros asistentes de IA con contratos, informes médicos, expedientes y documentos del personal. Y qué medidas concretas reducen el riesgo.
- Pegar en una IA un documento con datos personales es un tratamiento en el sentido del RGPD y, a menudo, una comunicación a un proveedor externo.
- El AI Act no sustituye al RGPD: se suma a él. Para quien usa la IA en la empresa, la obligación ya vigente para todos es la alfabetización en materia de IA del personal.
- La medida más eficaz es la minimización: eliminar los datos personales antes de que el texto llegue al modelo, mediante anonimización o seudonimización.
- Un documento seudonimizado sigue siendo un dato personal; uno realmente anónimo queda fuera del ámbito del RGPD.
1. Usar la IA con un documento es un tratamiento de datos personales
Para el Reglamento (UE) 2016/679 (RGPD), «tratamiento» es cualquier operación realizada sobre datos personales, incluida su consulta, comunicación o puesta a disposición (art. 4, apdo. 2). Cuando un empleado pega en un asistente de IA un borrador de contrato con el nombre, el código fiscal y el IBAN del cliente, la organización está tratando esos datos y comunicándolos al proveedor del servicio.
De ahí se derivan preguntas concretas que el responsable del tratamiento debe saber responder:
- Base jurídica (art. 6) y, para las categorías especiales como los datos de salud, una condición del art. 9.
- Papel del proveedor: encargado del tratamiento con un contrato conforme al art. 28, o responsable independiente que puede usar los datos para fines propios.
- Transferencias fuera de la UE (capítulo V): muchos servicios de IA tratan los datos fuera del Espacio Económico Europeo.
- Transparencia hacia los interesados (arts. 13 y 14) y plazos de conservación de los prompts y las respuestas.
- Secreto profesional: para abogados, notarios, asesores y personal sanitario, una obligación que se suma al RGPD.
2. Los riesgos concretos para una organización
El riesgo principal no es teórico: es el uso cotidiano, a menudo no autorizado, de herramientas de IA gratuitas o personales por parte de los empleados. Sin normas, los datos personales salen de la organización de forma invisible y sin rastro.
Pérdida de control
Una vez enviado, un prompt no se puede retirar. El texto puede conservarse, ser examinado por el proveedor o usarse para mejorar los modelos, según el servicio y su configuración.
Infracciones y sanciones
Un tratamiento sin base jurídica o sin garantías adecuadas expone a las sanciones administrativas del art. 83 del RGPD y a reclamaciones de clientes e interesados.
Daño reputacional
Para un despacho profesional, la noticia de que los documentos de los clientes han acabado en un servicio de IA externo puede costar más que cualquier sanción.
Prohibiciones contraproducentes
Prohibir la IA a menudo solo traslada el problema a los dispositivos personales. Hacer seguro su uso es más eficaz que prohibirlo.
3. Anonimización y seudonimización: la diferencia que importa
Los dos términos se confunden a menudo, incluso por parte de los proveedores. Para el RGPD tienen consecuencias muy distintas.
| Seudonimización | Anonimización | |
|---|---|---|
| Definición | Los datos ya no pueden atribuirse a una persona sin información adicional, que se conserva por separado y protegida (art. 4, apdo. 5) | Los datos ya no se refieren a una persona identificada o identificable, teniendo en cuenta los medios que razonablemente puedan utilizarse (considerando 26) |
| ¿Se aplica el RGPD? | Sí: siguen siendo datos personales | No: los datos anónimos quedan fuera del ámbito del Reglamento |
| ¿Reversible? | Sí, con la clave de correspondencia | No |
| Ejemplo | «Mario Rossi» se convierte en [PERSONA_001] y la correspondencia se guarda en un mapa cifrado | Como a la izquierda, pero el mapa se destruye y el resto del texto no permite llegar a la persona |
La seudonimización no saca los datos del RGPD, pero el Reglamento la cita expresamente como medida de protección de datos desde el diseño (art. 25) y de seguridad del tratamiento (art. 32). El Comité Europeo de Protección de Datos (CEPD) le dedicó directrices específicas en 2025 (Directrices 01/2025 sobre la seudonimización).
Para el uso de la IA la ventaja es práctica: el modelo recibe un texto en el que las personas se han sustituido por marcadores coherentes, así que puede seguir razonando sobre quién hizo qué, pero el proveedor no recibe nombres, códigos fiscales, IBAN ni direcciones. Cuando hace falta, la respuesta puede volver a vincularse con los datos reales en el equipo de quien trabaja.
4. Qué exige el AI Act a quien usa la IA
El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de Inteligencia Artificial, entró en vigor el 1 de agosto de 2024 y se aplica por fases. Clasifica los sistemas de IA según el riesgo y distingue entre proveedores, que desarrollan los sistemas, y responsables del despliegue, es decir, las organizaciones que los usan en su actividad. Un despacho o una empresa que usa un asistente de IA para trabajar es, por regla general, responsable del despliegue.
| Desde | Qué se aplica | Relevancia para quien usa la IA |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en materia de IA (art. 4) | El personal que usa la IA debe tener competencias adecuadas: formación y normas internas |
| 2 de agosto de 2025 | Obligaciones para los proveedores de modelos de IA de uso general y régimen sancionador | Más transparencia de los proveedores de los grandes modelos |
| 2 de agosto de 2026 | La mayor parte de las disposiciones restantes, entre ellas las obligaciones de transparencia (art. 50) y las normas para los sistemas de alto riesgo del anexo III | Obligaciones específicas para quien usa sistemas de alto riesgo, por ejemplo en el empleo, el crédito o los servicios esenciales |
| 2 de agosto de 2027 | Sistemas de alto riesgo integrados en productos regulados (anexo I) | Relevante sobre todo para los fabricantes |
Las instituciones europeas han debatido cambios en el calendario de algunos plazos, en particular para los sistemas de alto riesgo. Comprueba siempre la situación actualizada en las fuentes oficiales indicadas al final de la página.
Dos puntos se malinterpretan a menudo:
- El AI Act no sustituye al RGPD. El propio Reglamento precisa que la normativa de protección de datos personales sigue aplicándose (art. 2, apdo. 7). Quien usa la IA con datos personales debe cumplir ambos.
- Usar un asistente genérico no es en sí mismo de «alto riesgo». El nivel de riesgo depende de la finalidad: la misma herramienta puede ser de bajo riesgo para resumir un contrato y entrar en una categoría regulada si se usa, por ejemplo, para seleccionar candidatos.
Para los responsables del despliegue de sistemas de alto riesgo, el AI Act prevé, entre otras cosas, la supervisión humana, el control de los datos de entrada que estén bajo su control y el uso de la información del proveedor para la evaluación de impacto relativa a la protección de datos (art. 26). La lógica es la misma que la del RGPD: cuantos menos datos personales entran en el sistema, menor es el riesgo que hay que gestionar.
5. El marco italiano
En Italia, además del RGPD y del Código de protección de datos personales (Decreto Legislativo 196/2003), se ha aprobado una ley nacional sobre inteligencia artificial (Ley n.º 132, de 23 de septiembre de 2025), coordinada con el AI Act, que contiene disposiciones específicas, entre otras, para las profesiones intelectuales, la sanidad y la administración pública. La autoridad italiana de protección de datos (Garante per la protezione dei dati personali) lleva tiempo activa en materia de IA generativa, con resoluciones e indicaciones dirigidas tanto a proveedores como a usuarios.
Para las profesiones colegiadas se aplican además las normas deontológicas sobre confidencialidad y secreto profesional, que convierten la minimización de los datos compartidos con servicios externos no solo en una buena práctica, sino en un deber.
6. Lista de control para usar la IA de forma conforme
- Mapea el uso real. Qué herramientas de IA usan los empleados, para qué documentos y con qué cuentas.
- Adopta una política interna sobre el uso de la IA: herramientas permitidas, datos prohibidos, quién autoriza.
- Forma al personal (alfabetización en materia de IA, art. 4 AI Act): límites de los modelos, riesgos, uso correcto.
- Minimiza los datos antes de cada uso: anonimiza o seudonimiza los documentos en el equipo, antes de que lleguen al servicio de IA.
- Evalúa al proveedor: contrato conforme al art. 28, lugar de tratamiento, conservación de los datos, uso para entrenamiento.
- Actualiza el registro de actividades de tratamiento y, si el tratamiento entraña un alto riesgo, realiza una evaluación de impacto (art. 35).
- Mantén la supervisión humana: revisa siempre las respuestas de la IA antes de usarlas.
- Documenta las medidas adoptadas, para poder demostrar el cumplimiento (art. 5, apdo. 2).
El punto 4, sin que los documentos salgan
AnonyAI detecta y sustituye nombres, códigos fiscales, IBAN, direcciones y otros datos personales en PDF y documentos Word, íntegramente en el equipo e incluso sin Internet. La IA solo recibe marcadores; el mapa para restaurar los datos queda cifrado en tu ordenador.
7. Preguntas frecuentes
¿Puedo usar ChatGPT o Copilot con documentos que contienen datos personales?
No existe una prohibición general, pero el responsable debe tener una base jurídica, evaluar al proveedor y las transferencias, informar a los interesados y respetar la minimización. La forma más sencilla de reducir el riesgo es no enviar datos personales: anonimizar o seudonimizar el documento antes de usarlo con la IA.
¿Un documento seudonimizado sigue sujeto al RGPD?
Sí. Mientras exista la información que permite volver a vincular los marcadores con las personas, los datos siguen siendo personales. Aun así, la seudonimización reduce el riesgo de forma significativa y el proveedor del servicio de IA no recibe datos identificativos.
¿El AI Act prohíbe usar la IA con datos personales?
No. El AI Act regula los sistemas de IA según el riesgo y solo prohíbe algunas prácticas concretas (art. 5). La protección de los datos personales sigue rigiéndose por el RGPD, que continúa aplicándose.
¿Qué significa alfabetización en materia de IA?
El art. 4 del AI Act exige a proveedores y responsables del despliegue adoptar medidas para garantizar que el personal que usa sistemas de IA tenga un nivel suficiente de competencias, teniendo en cuenta el contexto de uso. En la práctica: formación y normas claras sobre cómo y con qué datos usar la IA.
¿Basta con ocultar los nombres para que un documento sea anónimo?
No siempre. También los códigos fiscales, las direcciones, los números de teléfono, las fechas y las combinaciones de detalles pueden identificar a una persona. Hace falta una detección sistemática de los distintos tipos de datos y una revisión humana del resultado.
8. Fuentes oficiales
- Reglamento (UE) 2016/679 (RGPD), EUR-Lex
- Reglamento (UE) 2024/1689 (AI Act), EUR-Lex
- Comité Europeo de Protección de Datos (CEPD): directrices y dictámenes
- Garante per la protezione dei dati personali (autoridad italiana)
- Comisión Europea: marco regulador de la IA
Esta guía tiene carácter informativo y no constituye asesoramiento jurídico. Para valorar un tratamiento concreto, consulta a tu DPD o a un profesional.