RGPD e inteligencia artificial: lo que tiene que saber tu pyme

Por qué el RGPD no desaparece por usar IA

Es fácil pensar que, al delegar una tarea en una herramienta de inteligencia artificial, la responsabilidad sobre los datos se delega también. No es así. Si tu pyme usa un chatbot, un asistente de email o un sistema de análisis de datos que trata datos personales de tus clientes o prospectos —nombre, email, historial de conversación, cualquier dato que identifique a una persona—, sigues siendo tú quien decide con qué finalidad y cómo se tratan esos datos. Eso te convierte en responsable del tratamiento según el artículo 4.7 del RGPD, aunque el proveedor de la herramienta de IA sea un tercero.

Esta condición de responsable trae tres consecuencias prácticas, no una lista de miedo sino tres cosas concretas que hay que tener resueltas:

• Necesitas una base legal para ese tratamiento. Normalmente es la ejecución del contrato con tu cliente (artículo 6.1.b) o tu interés legítimo (artículo 6.1.f) — para una tarea como responder consultas básicas de atención al cliente, no siempre hace falta pedir un consentimiento expreso adicional.
• Necesitas un contrato de encargado de tratamiento (artículo 28 RGPD) con cualquier proveedor de IA que procese esos datos por ti. Es el documento que fija qué puede y qué no puede hacer ese proveedor con los datos que le pasas.
• Si el proveedor trata los datos fuera de la UE —como ocurre con la mayoría de proveedores de IA generativa, alojados habitualmente en Estados Unidos— hace falta un mecanismo de transferencia internacional válido, como las Cláusulas Contractuales Tipo de la Comisión Europea.

Ninguna de estas tres cosas es exclusiva de la IA: son las mismas obligaciones que ya existían al contratar cualquier proveedor externo que trate datos por tu cuenta (un CRM, una plataforma de email marketing, un hosting). La IA no crea una categoría legal nueva; simplemente hay que aplicarle las mismas reglas de siempre, con la particularidad de que muchos proveedores de IA generativa operan fuera de la UE.

DPO y EIPD: cuándo hacen falta de verdad

Dos preguntas que surgen casi siempre y que conviene despejar sin dar nada por hecho en ningún sentido:

¿Necesito un delegado de protección de datos (DPO)?

La mayoría de pymes no lo necesitan. Un DPO solo es obligatorio en casos concretos: tratamiento a gran escala de datos sensibles (salud, ideología, origen étnico y categorías similares), observación sistemática a gran escala de personas, o cuando la normativa de tu sector concreto lo exige de forma específica. Usar un chatbot de atención al cliente o un asistente de email no entra, por sí solo, en ninguno de esos supuestos.

¿Necesito una evaluación de impacto (EIPD)?

Tampoco, en la mayoría de los casos, para un chatbot de atención al cliente estándar o una automatización de informes internos. Una EIPD es obligatoria cuando el tratamiento implica un riesgo alto para los derechos de las personas: perfilado a gran escala, tratamiento de datos sensibles, o decisiones automatizadas con efectos legales o significativos sobre la persona (por ejemplo, conceder o denegar un crédito de forma automática). Responder preguntas frecuentes o generar un informe de ventas no suele encajar ahí.

El matiz importante es «en la mayoría de los casos»: la valoración depende de qué datos tratas exactamente, a qué escala y con qué finalidad, y conviene revisarlo caso a caso en lugar de dar por hecho —en ningún sentido— que tu proyecto concreto está exento o que lo necesita.

El AI Act: el calendario real, no "ya está en vigor"

El Reglamento europeo de Inteligencia Artificial (conocido como AI Act) añade obligaciones adicionales según el nivel de riesgo del sistema de IA, con una aplicación escalonada en el tiempo según el tipo de obligación — y es precisamente ese calendario el que más se presta a confusión, porque distintas partes del reglamento entran en vigor en fechas distintas. A fecha de este artículo:

• Artículo 50 (transparencia) — informar de que se interactúa con un sistema de IA, o marcar contenido generado por IA — es firme desde el 2 de agosto de 2026, con un periodo de gracia hasta el 2 de diciembre de 2026 que aplica solo al marcado técnico de sistemas de IA generativa ya desplegados antes de esa fecha.
• Anexo III (sistemas de alto riesgo) y la evaluación de impacto en derechos fundamentales (FRIA) se han acordado en la Unión Europea con aplazamiento al 2 de diciembre de 2027, pero a día de hoy siguen pendientes de publicación formal: no están todavía en vigor.
• Anexo I entra en vigor el 2 de agosto de 2028.

Para un chatbot de atención al cliente o una automatización de informes internos, el nivel de riesgo suele clasificarse como bajo o limitado —más cerca del artículo 50 que del Anexo III—, pero las obligaciones exactas dependen de cómo uses el sistema en la práctica, y este calendario puede haber cambiado desde que se escribió este artículo. Antes de dar nada por hecho, consulta la guía oficial del AI Act o a un asesor especializado para tu caso concreto.

Cómo lo hacemos en Kerallo (un ejemplo, no una receta universal)

Para que esto no se quede en teoría, así es como aplicamos estos mismos principios a nuestro propio negocio — lo detallamos con más profundidad en nuestra política de privacidad:

• Para los prospectos que contactamos por email outreach B2B, usamos como base legal el interés legítimo (artículo 6.1.f RGPD), con purga automática a los 6 meses si no hay interés, y baja de un clic siempre disponible.
• Para los pagos de nuestros clientes usamos Stripe como encargado de tratamiento, con Cláusulas Contractuales Tipo de la Comisión Europea cubriendo la transferencia de datos fuera de la UE.
• No vendemos ni cedemos datos a terceros con fines comerciales ajenos a la prestación del servicio.

Esto es lo que hacemos nosotros, con nuestro volumen de datos y nuestro tipo de tratamiento concreto — no es una plantilla que puedas copiar sin más para tu pyme. Tu base legal, tus plazos de conservación y tus encargados de tratamiento dependen de qué datos tratas tú y cómo.

Qué significa esto si contratas una automatización

Si contratas a Kerallo —o a cualquier otro proveedor— para automatizar algo que toca datos personales de tus propios clientes, ese proveedor pasa a ser tu encargado de tratamiento. Esto aplica de forma directa a tres de nuestros servicios:

• Chatbot / asistente de atención — trata las conversaciones de tus clientes o visitantes en tu web o WhatsApp.
• Automatización de email y comunicaciones — trata el contenido de tu buzón y los datos de tus contactos.
• Informes y dashboards automáticos — si los indicadores incluyen datos personales (por ejemplo, datos de clientes individuales, no solo cifras agregadas), también entra en juego.

En la práctica, esto significa que deberías tener un contrato de encargado de tratamiento con tu proveedor de automatización y reflejarlo en tu propia política de privacidad, igual que nosotros reflejamos el uso de Stripe en la nuestra. No es un trámite exclusivo de Kerallo: es lo que corresponde con cualquier proveedor que trate datos de tus clientes por tu cuenta, sea de IA o no.

Si además tu pyme está valorando el Kit Digital de Inteligencia Artificial para financiar este tipo de proyecto, o quieres entender antes cuánto cuesta automatizar procesos con IA en una pyme, esas dos obligaciones (base legal y contrato de encargado) siguen aplicando igual, consigas o no la subvención.

Preguntas rápidas