IA y RGPD: qué datos puedes meter en un modelo

Este artículo explica cómo abordamos la cuestión desde el punto de vista operativo. No es asesoramiento jurídico: para la valoración legal de tu caso concreto, consulta con tu asesor o con tu delegado de protección de datos.

La pregunta llega siempre en la segunda reunión, y suele estar mal formulada: «¿puedo usar IA con datos de clientes?».

La respuesta no es sí ni no. Depende de qué dato, hacia dónde sale y con qué garantías. Y esas tres decisiones se pueden tomar en una tarde si sabes lo que estás decidiendo.

Lo primero: separa tus datos en tres cajas

Antes de mirar proveedores, clasifica. Es el paso que más tiempo ahorra después.

Caja	Qué incluye	Criterio
1. Sin datos personales	Documentación técnica, manuales, procedimientos internos, catálogos, condiciones generales.	Aquí el debate es de confidencialidad comercial, no de protección de datos.
2. Datos personales ordinarios	Nombres, emails, cargos, historial de pedidos, comunicaciones con clientes.	El grueso de lo que maneja una pyme. Aquí se concentran las decisiones reales.
3. Categorías especiales	Salud, datos laborales delicados, información de menores, datos financieros de personas físicas.	El listón sube mucho. Por defecto: fuera de cualquier flujo de IA hasta tener el análisis hecho.

Sorprendentemente, en la mayoría de las pymes el primer caso de uso con mejor retorno vive en la caja 1. Se puede empezar a generar valor sin abrir el melón entero.

Las tres vías de cumplimiento

Vía A: no salgas de la Unión Europea

Usar proveedores con tratamiento y almacenamiento en la UE. Es la vía más sencilla de explicar a un cliente, a un auditor o a un comité, y la que menos documentación exige.

A favor: conversación corta, encaje natural con el RGPD, buen argumento comercial si tus clientes son grandes empresas o sector público. En contra: el abanico de modelos disponibles es más estrecho, y no siempre el mejor modelo para tu tarea está en esa lista.

Vía B: proveedor internacional con las garantías firmadas

Trabajar con proveedores globales apoyándose en el marco de transferencias vigente y en el contrato de encargado de tratamiento, con las cláusulas de no entrenamiento con tus datos y de retención limitada.

A favor: acceso a los modelos más capaces para cada tarea. En contra: hay que leer y firmar de verdad —no aceptar los términos por defecto—, y toca revisarlo cuando el marco regulatorio cambia, que cambia.

Vía C: modelo abierto en tu propia infraestructura

Desplegar un modelo de pesos abiertos en tu servidor o en tu nube privada. El dato no sale de tu perímetro.

A favor: control máximo. Es la respuesta a los casos en los que el dato no puede salir por contrato o por sector. En contra: es la opción más cara en infraestructura y mantenimiento, y el rendimiento por tarea hay que validarlo caso a caso. Para la mayoría de pymes es sobre-ingeniería.

El otro reloj: el Reglamento Europeo de IA

Al RGPD, que ya conoces, se le ha sumado el Reglamento (UE) 2024/1689 —el AI Act—. Y su calendario acaba de cambiar: el Ómnibus Digital de IA, Reglamento (UE) 2026/1744, se publicó en el DOUE el 24 de julio de 2026 y entró en vigor el 27.

La lectura para una pyme es más tranquilizadora de lo que sugieren los titulares, pero tiene un matiz importante:

• Lo que se ha aplazado no es lo tuyo. El retraso a diciembre de 2027 afecta a los sistemas de alto riesgo del Anexo III: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, justicia. Si usas IA para leer facturas o redactar propuestas, no estás ahí.
• Lo que no se ha aplazado sí lo es. Las obligaciones de transparencia del artículo 50 —avisar de que el usuario está interactuando con una IA y marcar el contenido sintético— mantienen la fecha del 2 de agosto de 2026. Si tienes un asistente de atención al cliente o publicas contenido generado, esto te aplica ya.
• Las prohibiciones y la alfabetización llevan tiempo en vigor. Desde febrero de 2025. La obligación de que tu equipo tenga una formación mínima en IA no es futurible.

El Ómnibus refuerza además la proporcionalidad para pymes y empresas de mediana capitalización: la carga documental no es la misma que la de una gran corporación. Pero aplazar no es suspender, y las obligaciones de gobernanza siguen ahí.

Las cinco decisiones que hay que dejar escritas

Independientemente de la vía y del calendario, esto tiene que estar documentado antes de conectar nada:

1. Qué categorías de datos entran en cada flujo de IA, y cuáles están expresamente excluidas.
2. Base jurídica de cada tratamiento y su reflejo en el registro de actividades.
3. Compromiso de no entrenamiento con tus datos, por escrito, en el contrato con el proveedor.
4. Periodo de retención en el proveedor y qué se conserva por tu parte.
5. Quién puede usar la herramienta y con qué datos, con una política interna de una página que el equipo entienda de verdad.

Ese último punto es el que más se salta y el que más incidentes provoca. El riesgo real en una pyme rara vez es el proveedor: es un empleado bienintencionado pegando un documento confidencial en una herramienta gratuita porque nadie le dijo dónde estaba la línea.

No es una hipótesis. El estudio del MIT sobre IA en empresa describe una «economía de IA en la sombra»: en más del 90 % de las organizaciones encuestadas los empleados usan herramientas de IA personales con regularidad, mientras que solo una minoría de las empresas tiene suscripciones corporativas.

La conversación que hay que tener con el equipo

Prohibir no funciona. Si la empresa no da una herramienta aprobada, el equipo usará la suya con su cuenta personal, y ahí no hay contrato, ni trazabilidad, ni control.

La secuencia que funciona es: dar una herramienta buena y clara, decir explícitamente qué se puede y qué no se puede meter en ella, y explicar por qué. Con ejemplos concretos del negocio, no con un PDF de veinte páginas.

Cómo lo hacemos nosotros

En myIA la definición de qué información sale, hacia dónde y con qué garantías se hace antes de conectar nada. No es un anexo del proyecto: es el primer entregable.

Y como trabajamos de forma model-agnostic, la restricción de datos entra en la elección de modelo desde el principio. Si un caso de uso exige que el dato no salga de la UE, ese es un criterio más de selección junto con la precisión y el coste. Lo desarrollamos en qué modelo de IA usar para cada tarea.