En el post anterior hablábamos de dónde viven los datos de tu empresa cuando usas IA. De una pregunta que casi nadie te hace: ¿de qué servidor sale la respuesta?, ¿y a quién te la estás entregando?
Esta vez quiero dar el siguiente paso, que es el natural: «vale, y ¿qué me obliga la ley cuando los uso?».
Porque una cosa es preguntarse dónde están tus datos. Y otra muy distinta es saber qué tienes que hacer para que esa IA no acabe metiéndote en un lío.
El punto de partida
Aquí hay un matiz que casi nadie cuenta cuando te vende un asistente de IA. Usar inteligencia artificial no es solo «apretar un botón y listo». Cuando montas una automatización, un agente o una aplicación con IA, entras en un terreno con normas concretas.
Y no son normas de las de «a ver si te pillan». Son obligaciones que ya están en vigor, con multas de verdad detrás.
Las dos normas que se cruzan
La primera es el RGPD. La protección de datos. Probablemente ya la conozcas porque afecta a cualquier empresa que trate datos de personas: clientes, empleados, pacientes.
La segunda es el AI Act. Es nueva o casi nueva, y es la que más se está moviendo. Regula la inteligencia artificial en sí.
Y aquí está lo interesante: cuando juntas las dos —datos personales + IA— el listón sube. No es RGPD por un lado y AI Act por otro. Es que tu proyecto de IA con datos de personas cumple las dos a la vez.
Lo que te obliga, en corto
Según lo que he ido leyendo, esto se ordena por bloques. Y los bloques son bastante lógicos:
- Lo básico de todo: saber qué cuenta como dato personal, y si eres «responsable» o «encargado» del tratamiento. De esto depende quién responde ante la Agencia si algo sale mal.
- RGPD: lo obligatorio. Contrato con quien toca tus datos por ti, registro de actividades, informar antes de recoger datos, notificar una brecha en 72 horas.
- AI Act. Avisar de que hay una IA delante, alfabetización en IA del equipo, y la diferencia entre ser proveedor o responsable del despliegue.
- Proveedores y modelos. ¿Entrenan con lo que les mandas? ¿Dónde acaban los datos? ¿Qué acuerdo tiene cada proveedor?
- Agentes y automatizaciones. Desde la inyección de prompt hasta los permisos mínimos del agente.
- Seguridad técnica. Claves de API fuera del código, control de acceso a los datos.
El dato que debería asustarte (un poco)
Y aquí viene la parte que la mayoría no sabe, y que cuando la lee, se pone seria.
Empecemos por el RGPD, que es el más conocido. Sus sanciones no son pequeñas. Hablamos de hasta 20 millones de euros o el 4 % de la facturación, que es el tope alto. Y hay varios requisitos que ya rematan ahí. Otros van hasta 10 millones o el 2 %.
Ojo, que no quiero asustar por asustar. La mayoría de estos topes son el máximo teórico, y la Agencia no suele ir al máximo por la primera cosa. Pero el punto es otro: no es un riesgo marginal. Es un riesgo real, con cifras de verdad.
Y el AI Act va por su lado, con su propio régimen de sanciones, que en los casos más graves puede llegar a porcentajes altos de la facturación. Ahí es donde conviene no ir de listo y pedir consejo a quien sabe.
Y hay dos puntos que me parecen especialmente de «esto te va a morder» si haces IA para un cliente:
- Avisar de que hay una IA delante. Si tienes un chatbot o generas contenido, esto te obliga hoy.
- Las transferencias fuera de la UE. Casi todo modelo puntero implica que los datos salen de Europa. Y eso tiene su propio régimen.
Por qué esto te importa a ti
Aquí es donde se vuelve de dueño de pyme, no de abogado.
Si tienes una consulta o una clínica —datos de salud, protegidísimos— y montas una IA que toca historiales, no es un detalle. Es una línea roja. Para datos de salud, biometría o menores, lo sensato es consultar con un abogado o con un delegado de protección de datos antes de montar nada.
Si tienes un almacén que gestiona pedidos y stock de clientes, y metes una IA que decide, el tema es el control de acceso y qué sabe y qué no sabe esa IA.
Y si eres una pyme que compra un software con IA, la pregunta clave es una: ¿quién es el responsable si algo sale mal, tú o el proveedor? Porque la respuesta no es la misma.
La conclusión que saco yo
La IA no es solo tecnología. Es tecnología + datos + obligaciones. Y las obligaciones no son un añadido opcional: están en vigor, con multas de verdad, y no dependen del tamaño de tu empresa.
Yo creo que esto es justo lo que separa a los que van a usar la IA bien de los que van a usar la IA con el freno puesto. No por miedo. Porque quien entiende qué le obliga, puede montar la IA con criterio. Y quien no lo entiende, se entera cuando llama la Agencia.
Lo mismo que decíamos en el post anterior: pregunta de dónde salen tus datos. Pero ahora añade la siguiente: ¿y qué me obliga la ley cuando los uso?
Es la diferencia entre apretar un botón, y hacerlo con conciencia.
La pregunta con la que te dejo
Si montaras una IA mañana para tu negocio, ¿sabes cuál de las dos normas te obliga? ¿O cuál es el tope de multa si algo sale mal?
Si la respuesta es «ni idea», esto te interesa. Un diagnóstico inicial, sin coste y sin compromiso, es la forma más rápida de dejarlo claro: miramos cómo trabajas hoy, dónde entran datos personales, y te decimos qué te obliga la ley y cómo hacerlo bien. Sin humo. Y con la tranquilidad de que la IA que montamos para ti no es una caja negra que te va a meter en un problema.
