# RGPD e IA generativa: guía de cumplimiento > RGPD e IA generativa: base jurídica, minimización, encargados del tratamiento, transferencias, evaluación de impacto. Pasos para una IA conforme. URL: https://aiorigin.io/es/ressources/insights/rgpd-agents-ia-conformite-pme-france-2026 Insights Cumplimiento # RGPD e IA generativa: la guía de cumplimiento para empresas En cuanto una herramienta de IA trata un dato personal, se aplica el RGPD. No es un freno: es una lista de preguntas concretas que conviene resolver antes del despliegue, no después. ACTUALIZADO · 16 DE OCTUBRE DE 2026 LECTURA · 6 MIN Índice - ¿Se aplica el RGPD a la IA generativa? - Las preguntas que hay que resolver antes del despliegue - Elegir y configurar las herramientas - Cómo hacerlo: el plan de cumplimiento - Los puntos de atención propios de la IA - RGPD y AI Act: cómo se articulan ambos textos - Cómo le acompaña AI Origin EN RESUMEN El RGPD se aplica a la IA generativa en cuanto un dato personal figura en una consulta, un documento o un resultado. La empresa, como responsable del tratamiento, debe definir la finalidad y la base jurídica, limitar los datos transmitidos, regular por contrato la relación con el proveedor, verificar las transferencias fuera de la Unión Europea e informar a las personas afectadas. ## ¿Se aplica el RGPD a la IA generativa? Sí, en cuanto se trata un dato personal. Este puede encontrarse en tres lugares: - En la consulta: el nombre de un cliente pegado en un asistente, un correo electrónico que resumir, un acta de reunión. - En los documentos a los que accede la IA: CRM, expedientes de clientes, contratos, bases documentales. - En el resultado: una síntesis, un borrador de respuesta o una ficha que menciona a personas. En la mayoría de los casos, la empresa que utiliza la herramienta es la responsable del tratamiento: es ella quien decide la finalidad y los medios. El proveedor de la herramienta actúa casi siempre como encargado del tratamiento, en el sentido del artículo 28 del RGPD, y la relación debe regularse mediante un contrato. El riesgo no es teórico. Según KPMG y la Universidad de Melbourne, el 48 % de los empleados que utilizan la IA en el trabajo ya han introducido en ella información de su empresa a través de herramientas públicas. Parte de esa información se refiere a personas: clientes, proveedores, socios. Cuidado también con una idea preconcebida: sustituir un nombre por un código no basta para quedar fuera del RGPD. Los datos seudonimizados siguen siendo datos personales mientras sea posible identificar a la persona. Solo los datos realmente anonimizados quedan fuera del reglamento, y la anonimización de un texto libre es difícil de garantizar. ## Las preguntas que hay que resolver antes del despliegue Para cada uso de la IA que implique datos personales, estos son los puntos que hay que verificar, con los artículos del RGPD correspondientes. PreguntaLo que implicaReferencia ¿Para qué?Una finalidad concreta, por usoArtículo 5 ¿Con qué base?Contrato, obligación legal, interés legítimo o consentimientoArtículo 6 ¿Qué datos?Solo los necesarios; prudencia con los datos sensiblesArtículos 5 y 9 ¿A quién se informa?A las personas cuyos datos se tratanArtículos 13 y 14 ¿Qué proveedor?Un contrato de encargo del tratamiento con garantíasArtículo 28 ¿Adónde van los datos?Fuera de la Unión Europea, garantías para las transferenciasCapítulo V ¿Qué riesgos?Una evaluación de impacto si el tratamiento entraña un alto riesgoArtículo 35 ¿Quién decide?Ninguna decisión con efectos jurídicos basada únicamente en un tratamiento automatizado, salvo excepcionesArtículo 22 ¿Qué registro?La inscripción en el registro de actividades de tratamientoArtículo 30 Estas preguntas no son exclusivas de la IA. Pero la IA las hace más urgentes, porque los usos se multiplican rápido y, a menudo, fuera de cualquier marco. ## Elegir y configurar las herramientas La elección de la herramienta determina buena parte del cumplimiento. Con su departamento de TI y su delegado de protección de datos (DPD), verifique como mínimo: - El uso de sus datos por parte del proveedor: el contrato debe excluir el entrenamiento de modelos con sus datos. - El alojamiento: dónde se tratan y almacenan los datos, y con qué proveedor. Para los datos más sensibles, un alojamiento en Francia o en sus instalaciones. - El plazo de conservación de las consultas y los resultados, y la posibilidad de configurarlo. - Los permisos de acceso: cada equipo solo ve los documentos que le corresponden, también a través de la IA. - La trazabilidad: las acciones de la IA y las validaciones humanas quedan registradas. - La seguridad: autenticación centralizada, cifrado, compartimentación. La ANSSI, la agencia francesa de ciberseguridad, ha publicado recomendaciones de seguridad para los sistemas de IA generativa, útiles para orientar estas decisiones. Una herramienta elegida y configurada de este modo es también la mejor respuesta a la IA en la sombra (shadow AI): cuando existe una solución segura, los usos personales retroceden. ## Cómo hacerlo: el plan de cumplimiento - Inventariar los usos actuales, incluidos los no declarados: qué herramientas, para qué tareas, con qué datos. Un cuestionario anónimo facilita respuestas sinceras. - Clasificar los datos: públicos, internos, confidenciales, personales, sensibles. Cada categoría recibe una regla de uso clara. - Seleccionar las herramientas autorizadas con el departamento de TI y el DPD, y firmar los contratos de encargo del tratamiento adecuados. - Redactar una política de uso breve: datos autorizados, usos excluidos, revisión obligatoria, a quién acudir en caso de duda. Nuestra guía de la política de uso de la IA ofrece su estructura. - Actualizar el registro de actividades de tratamiento y las cláusulas informativas. - Realizar una evaluación de impacto en los usos que la requieran: tratamiento a gran escala, datos sensibles, personas vulnerables, cruce de fuentes. - Formar a los equipos con sus propios casos: lo que se puede confiar a la IA, lo que no, y por qué. - Revisar el dispositivo periódicamente, con cada nueva herramienta o cada nuevo uso. La CNIL, la autoridad francesa de protección de datos, ha publicado unas primeras precisiones sobre el despliegue de la IA generativa: partir de una necesidad identificada, regular los usos, elegir un sistema seguro, formar y establecer una gobernanza. Es la misma lógica. ## Los puntos de atención propios de la IA La exactitud. Una IA puede producir información falsa sobre una persona. El RGPD exige datos exactos: toda información generada debe verificarse antes de registrarse en un expediente o un CRM. Los derechos de las personas. Acceso, rectificación, supresión, oposición: usted debe poder atenderlos también para los datos tratados a través de la IA. Eso supone saber dónde se encuentran; de ahí la importancia de la trazabilidad. Las decisiones. La IA prepara, una persona decide. Este principio le protege: una decisión que produce efectos jurídicos o significativos para una persona no debe basarse únicamente en un tratamiento automatizado. Los datos sensibles. Salud, opiniones, datos relativos a infracciones: están sujetos a un régimen más estricto. Exclúyalos por defecto de los usos de la IA, salvo un marco específico validado por el DPD. Los resultados conservados. Una síntesis o una ficha elaborada por la IA que menciona a personas se convierte a su vez en un dato personal. Sigue las mismas reglas de conservación y de acceso que el expediente del que procede. Los conectores. Un agente conectado al CRM o al ERP amplía el acceso a los datos. Los permisos del agente deben limitarse a lo que el uso necesita y estar validados por el departamento de TI. ## RGPD y AI Act: cómo se articulan ambos textos Los dos reglamentos se aplican conjuntamente: el RGPD, en cuanto se trata un dato personal; el AI Act, según el nivel de riesgo del uso. Desde el 2 de febrero de 2025, el artículo 4 del AI Act exige a las empresas que utilizan la IA que garanticen un nivel suficiente de alfabetización en IA de su personal. Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia: una persona que interactúa directamente con una IA debe ser informada. Los usos clasificados como de alto riesgo conllevan obligaciones reforzadas. Su DPD sigue siendo su primer interlocutor; nuestra guía sobre el AI Act en la empresa detalla el calendario. ## Cómo le acompaña AI Origin Integramos el cumplimiento desde el mapeo de las operaciones: para cada caso de uso, los datos en juego, la herramienta adecuada y la posible necesidad de una evaluación de impacto, con su departamento de TI y su DPD. Ayudamos a redactar la política de uso y formamos a sus equipos con sus casos reales. Nuestras herramientas están diseñadas para la seguridad: SOC 2 Type II, alojamiento en Francia o en sus instalaciones, ningún entrenamiento de modelos con sus datos, acciones registradas. SUS PREGUNTAS ## Preguntas frecuentes. ¿Se puede utilizar ChatGPT en la empresa cumpliendo el RGPD? Sí, con una oferta profesional cuyo contrato regule el encargo del tratamiento y excluya el entrenamiento con sus datos, reglas claras sobre los datos autorizados e información a las personas afectadas. El mismo razonamiento vale para los demás asistentes. ¿Hace falta una evaluación de impacto para utilizar la IA generativa? No siempre. Es obligatoria cuando el tratamiento entraña un alto riesgo para las personas, por ejemplo a gran escala, con datos sensibles o con personas vulnerables. El DPD determina si es el caso. ¿El proveedor de IA es encargado del tratamiento según el RGPD? Casi siempre, sí, cuando trata los datos por cuenta de usted y según sus instrucciones. En ese caso, un contrato conforme al artículo 28 del RGPD debe regular la relación. ¿Se pueden introducir datos de clientes en una herramienta de IA? Solo en una herramienta validada por la empresa, para una finalidad definida y limitando los datos a lo estrictamente necesario. Los servicios de consumo sin un marco contractual deben descartarse para estos datos. ¿Quién es responsable si la IA comete un error sobre una persona? La empresa que utiliza la IA sigue siendo responsable del tratamiento. De ahí la regla de revisión: toda información generada se verifica antes de registrarla o transmitirla. FUENTES ## Textos y estudios citados en este artículo. Cada cifra del sitio tiene su fuente. Ver todas nuestras fuentes. Union européenne, Règlement (UE) 2016/679 relatif à la protection des données (RGPD), 27 de abril de 2016. eur-lex.europa.eu KPMG et Université de Melbourne, Trust, attitudes and use of artificial intelligence: A global study 2025, abril de 2025, 48.340 personas en 47 países. assets.kpmg.com CNIL, Comment déployer une IA générative ? La CNIL apporte de premières précisions, 2024. cnil.fr ANSSI, Recommandations de sécurité pour un système d’IA générative, abril de 2024. cyber.gouv.fr Union européenne, Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act), 13 de junio de 2024. eur-lex.europa.eu Commission européenne, AI literacy – Questions & Answers (article 4 de l’AI Act), 2025. digital-strategy.ec.europa.eu AICPA, SOC 2® – SOC for Service Organizations: Trust Services Criteria. aicpa-cima.com SEGUIR LEYENDO ## Para ir más lejos. - GUIDEPolítica de uso de la IA en la empresa: guía - GUIDELey de IA (AI Act): qué debe hacer una empresa - Seguridad y privacidad: SOC 2 Type II, RGPD HABLEMOS DE SU PROYECTO ## Hablemos de sus operaciones. Treinta minutos para hacer balance de los usos actuales y decirle por dónde empezaríamos. Su interlocutor El equipo de AI Origin que lleva los proyectos Habla directamente con quienes llevarán su proyecto, desde la definición del alcance hasta la puesta en servicio. ¿Aún no tiene un proyecto concreto? Empiece con una sesión práctica: cada persona trae un problema real y se va con el agente de IA que lo resuelve. Ver la etapa 3, Involucrar a sus equipos Gracias, hemos recibido su solicitud. Le responderemos para fijar un horario. ### Escríbanos en dos líneas. Su empresa, los equipos afectados, lo que observa. Le responderemos para fijar un horario. Escribir a contact@aiorigin.io O reserve un horario O escríbanos: contact@aiorigin.io