Regulación de IA & RGPD

No entraron por un proyecto aprobado. No hubo que comprar ni instalar nada, así que no pasaron por informática, ni por dirección, ni por una revisión de contratos.

El resultado: ningún contrato firmado con el proveedor, nada documentado sobre qué se envía y un equipo que lleva meses pegando texto en un chat sin una norma que diga qué puede pegar. La normativa, en cambio, ya estaba. Para el RGPD, un dato enviado a un proveedor de fuera de la UE es un tratamiento y una transferencia internacional, se llame la herramienta como se llame.

Las cifras máximas —20 millones o el 4 % de la facturación en el RGPD, 35 millones o el 7 % en el Reglamento de IA— son techos para infracciones graves de grandes operadores, no la factura que le llega a una pyme.

El riesgo cotidiano llega antes: la reclamación de un cliente que descubre que su expediente pasó por una herramienta de terceros, una brecha que hay que notificar en 72 horas, o un contrato que exige acreditar cumplimiento antes de firmar.

Y hay uno del que casi no se habla, en dirección contraria: no usarlas. Se oye hablar de multas millonarias, no se sabe qué aplica y se acaba prohibiendo todo. Ese coste no figura en ninguna sanción, pero es igual de real: competidores que entregan en la mitad de tiempo. Desconocer la norma sale caro por incumplirla y también por no atreverse.

Es la confusión más extendida y la más cara. Se parecen en la pantalla y cuestan parecido, pero jurídicamente no tienen nada que ver.

La cuenta personal puede usar lo que escribes para entrenar el modelo salvo que lo desactives, no lleva contrato de encargo de tratamiento y no garantiza dónde se alojan los datos. La de empresa excluye el entrenamiento por defecto y trae ese contrato. Si tu equipo usa cuentas personales, por muy de pago que sean, no puedes acreditar cumplimiento ante nadie.

No se trata de bloquear la herramienta, sino de saber dónde está la línea. Los casos que más se repiten:

Casi todos los proveedores de uso masivo son estadounidenses: salvo que contrates alojamiento europeo, los datos cruzan el Atlántico en cada envío.

No está prohibido, pero necesita base jurídica y un análisis documentado. Y si prometiste por contrato a tus clientes tratamiento dentro de la UE, cada herramienta nueva puede estar convirtiendo esa promesa en un incumplimiento.

La lista es corta: plan de empresa con su contrato de encargo firmado, anotar el tratamiento en el registro de actividades, documentar la transferencia internacional, actualizar las cláusulas informativas y aprobar una política interna de uso.

Que la ejecución sea corta no significa que llegar hasta ahí lo sea. Localizar qué plan incluye el contrato que necesitas, encontrarlo entre la documentación del proveedor y entender qué cambia con el Reglamento de IA es un trabajo disperso y tedioso, lleno de condiciones de servicio en inglés que se actualizan solas.

Esa es la parte que tiene sentido delegar: quien ya la ha recorrido la resuelve en una fracción del tiempo y te entrega la documentación ordenada. Siempre sale más barato que hacerlo después de un incidente.