Consultoría de IA en Murcia

Guía práctica, no asesoramiento jurídico

IA y RGPD para pymes: lo mínimo antes de empezar

Meter una IA en un proceso con datos personales no es ilegal, pero sí te obliga a tener unas cuantas cosas en orden. Esta lista está organizada en tres cajones: qué datos no deben entrar, qué papeles hacen falta y qué reglas de uso fijar.

Última revisión: 5 de noviembre de 2026.

Qué es esta página y qué no

Es un orden de ideas para preparar una conversación con tu asesor o tu delegado de protección de datos. No es asesoramiento jurídico ni garantiza que cumplas la ley. Las normas citadas y sus fechas son las que pudimos leer el 5-11-2026.

Primer cajón: qué datos no deben entrar

  • Datos de categorías especiales (salud, ideología, afiliación sindical, origen étnico, datos biométricos, orientación sexual): su tratamiento está en principio prohibido y solo se permite en los supuestos del art. 9 del RGPD. Si tu proceso toca datos de salud, no lo pruebes con una herramienta de uso general sin asesoramiento previo.
  • Datos de clientes o empleados en cuentas personales de IA. Aunque «lo haga todo el mundo», es una cesión de datos a un tercero sin base clara. El test marca este punto como aviso porque es el riesgo más frecuente y el más barato de cortar.
  • Datos que no necesitas. Un proyecto de IA no debe empezar por «vamos a darle todo». Pregunta qué campos hacen falta para la tarea y quita el resto (minimización, art. 5.1.c).
  • Documentos con datos de terceros sin permiso para usarlos con IA. Contratos con clientes, por ejemplo, pueden tener cláusulas de confidencialidad que lo impidan.

Una excepción útil: los datos de contacto de empresarios individuales y profesionales liberales tienen un tratamiento específico en el art. 19 de la Ley Orgánica 3/2018 (LOPDGDD), siempre que se traten solo para localizarlos en su condición de profesionales. No cubre cualquier uso.

Segundo cajón: qué papeles hacen falta

  1. Base jurídica para cada tratamiento (art. 6)

    Para cada cosa que hace el sistema con datos personales, debe constar por qué puedes hacerlo: contrato, consentimiento, obligación legal, interés legítimo... Si no sabes cuál es, es la primera pregunta para tu asesor.

  2. Información a las personas (arts. 13 y 14)

    Quien se ve afectado debe saber que sus datos se tratan, con qué fin y con quién se comparten. Si hay decisiones automatizadas con efectos significativos, la información debe incluir su lógica (art. 13.2.f y art. 22; la guía de la AEPD sobre IA lo desarrolla).

  3. Contrato con cada proveedor que toque datos (art. 28; LOPDGDD art. 33)

    El consultor, la plataforma de IA, el alojamiento: si tratan datos por tu cuenta, son encargados del tratamiento y debe haber un contrato por escrito con el contenido que fija el artículo. Pídele a tu consultor su modelo y la lista de subencargados.

  4. Registro de actividades de tratamiento

    Documento donde constan los tratamientos que haces, para qué y con qué datos. La AEPD tiene un generador gratuito en Facilita RGPD, válido para tratamientos de bajo riesgo.

  5. Seguridad (art. 32)

    Medidas técnicas y organizativas proporcionadas al riesgo: accesos, contraseñas, copias, registro de lo que hace el sistema. Pregunta al consultor qué medidas concretas aplica.

  6. Evaluación de impacto cuando proceda (art. 35)

    Si el tratamiento puede suponer un alto riesgo, hay que hacerla antes de empezar. La AEPD tiene una herramienta para ello (Gestiona EIPD, según nuestra búsqueda; no hemos revisado su ficha oficial en esta versión). Si dudas, trátalo como obligatorio hasta que alguien con criterio diga lo contrario.

  7. Transferencias fuera del Espacio Económico Europeo

    Si algún proveedor procesa datos fuera de la UE, el capítulo V del RGPD establece condiciones. Pide por escrito dónde se tratan los datos y con qué garantías.

Tercer cajón: reglas de uso dentro de la empresa

  • Una política corta, por escrito: qué herramientas de IA están permitidas, para qué, y qué datos nunca se pegan en ellas. Una página basta.
  • Una persona responsable de resolver dudas y de autorizar herramientas nuevas.
  • Revisión humana de lo que la IA produce antes de que llegue a un cliente, y un registro de errores.
  • Formación básica para quien use las herramientas. El Reglamento de IA incluye una obligación de alfabetización en IA en su art. 4, aplicable desde el 2-2-2025 según la Comisión Europea; su redacción actual tras el ómnibus de IA no la hemos podido comprobar y conviene mirarla en la fuente oficial.
  • Un modo de parar el sistema si algo sale mal.

Qué dice la AEPD: lo que sí hemos leído

  • Guía «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción». Febrero de 2020, 53 páginas. Cita, entre otros, los arts. 6, 9, 13.2.f, 22, 28 y 35 del RGPD. Atención: figura marcada como en revisión en la web de la AEPD, así que puede no reflejar criterios posteriores. Documento de la AEPD.
  • Facilita RGPD. Herramienta gratuita para tratamientos de bajo riesgo. Genera cláusulas informativas, cláusulas de encargado de tratamiento, registro de actividades y un anexo de seguridad. No es para tratamientos de alto riesgo (por ejemplo, datos de salud o tratamientos masivos) y sus documentos son un punto de partida. Ficha en la AEPD.
  • Página para pymes. Reúne Facilita, una hoja de ruta de adaptación y un canal de consultas llamado INFORMA_RGPD. AEPD, pymes.

Consulta del 5-11-2026. La LOPDGDD (BOE n.º 294, 6-12-2018) se consultó en el texto consolidado del BOE: el art. 33 regula al encargado del tratamiento y el art. 19 los datos de contacto de empresarios individuales y profesionales.

El Reglamento de IA, en lo que afecta a una pyme

El Reglamento (UE) 2024/1689 es la norma europea específica de IA. Según la Comisión Europea (consulta del 5-11-2026):

  • Las prohibiciones y la obligación de alfabetización en IA son aplicables desde el 2 de febrero de 2025.
  • Las obligaciones de transparencia (art. 50, por ejemplo, avisar de que se interactúa con una IA) se aplican desde agosto de 2026.
  • La aplicación general es desde el 2 de agosto de 2026.
  • Un paquete de simplificación, el «ómnibus de IA», está en vigor desde el 27-7-2026 y aplaza las obligaciones de los sistemas de alto riesgo al 2-12-2027 y al 2-8-2028, según el caso.

Qué significa para ti, en la práctica y como opinión nuestra: si pones un asistente que habla con tus clientes, avísales de que es una IA; y si lo que automatizas es contratación, evaluación de personas, crédito o seguros, probablemente entres en la zona de alto riesgo y necesitarás asesoramiento específico.

Lo que no hemos podido verificar

  • El texto vigente del RGPD en EUR-Lex: el sitio no respondió a nuestras consultas automáticas. Los números de artículo los hemos cruzado con la guía de la AEPD.
  • La redacción exacta del art. 4 y del art. 50 del Reglamento de IA tras el ómnibus. Nos basamos en el resumen de la Comisión Europea.
  • Si la guía de la AEPD de 2020 está ya sustituida por otra versión: figura «en revisión» pero no hemos encontrado una nueva.
  • La ficha oficial de Gestiona EIPD.
  • Las circunstancias de tu empresa: sector, tamaño y tipo de datos cambian las obligaciones. Para eso, un profesional.

Preguntas frecuentes

¿Puedo pegar datos de mis clientes en ChatGPT u otra IA?

Depende de qué datos, con qué cuenta y con qué contrato. Con una cuenta personal y sin acuerdo de tratamiento, lo prudente es no hacerlo. Si el proveedor actúa como encargado del tratamiento, el art. 28 del RGPD exige un contrato por escrito con condiciones concretas. Esta página no sustituye la revisión de tu caso por un profesional.

¿Necesito una evaluación de impacto (EIPD) por usar IA?

No siempre. El art. 35 del RGPD la exige cuando es probable un alto riesgo para los derechos de las personas, y la AEPD publica listas de supuestos y una herramienta para hacerla. Si tratas datos de salud o haces perfiles a gran escala, empieza por mirarlo con un especialista.

¿La AEPD tiene una herramienta gratuita para pymes?

Sí: Facilita RGPD, para tratamientos de bajo riesgo. Genera cláusulas informativas, contratos de encargado, registro de actividades y un anexo de seguridad. La propia AEPD advierte de que no es para tratamientos de alto riesgo y de que los documentos son un punto de partida, no un cumplimiento automático.

¿Hay una norma específica de IA?

Sí, el Reglamento (UE) 2024/1689. Sus plazos han cambiado y, según la Comisión Europea, un paquete de simplificación («ómnibus de IA») aplaza parte de las obligaciones de alto riesgo. Comprueba las fechas vigentes en la fuente oficial antes de actuar.