En los artículos sobre Docker y sobre APIs seguimos a un agente de IA que genera facturas a partir de los pedidos cerrados. Para hacer su trabajo, ese agente lee nombres de clientes, direcciones, NIF, importes y correos electrónicos. Y cada uno de esos datos sale de tus sistemas, viaja hasta el proveedor de IA y vuelve. La pregunta que casi nadie se hace al montar la automatización es la importante: ¿dónde han estado esos datos mientras tanto, quién ha podido verlos y quién responde si algo sale mal? La respuesta la da el RGPD, y la responsabilidad es de tu empresa, no del proveedor.
Resumen en 3 frases
Si una herramienta de IA procesa datos de personas (clientes, empleados, contactos), el RGPD se aplica exactamente igual que en cualquier otro tratamiento de datos.
El proveedor de IA actúa normalmente como encargado del tratamiento, lo que obliga a firmar un contrato con él y a saber dónde almacena los datos.
Con los agentes de IA, que no solo responden sino que actúan, la clave es limitar a qué datos acceden, supervisar lo que hacen y dejar registro de sus acciones.
Qué datos entran en juego cuando usas IA
El RGPD protege los datos personales: cualquier información sobre una persona física identificada o identificable. Un nombre, un correo, un teléfono, un NIF de un autónomo, una dirección de entrega o el historial de compras de un cliente son datos personales.
Hay un matiz que conviene tener claro. Los datos de una empresa como tal (su razón social, su CIF) no son datos personales. Pero en cuanto aparece una persona concreta, como el contacto de compras de esa empresa con su nombre y su correo, sí lo son. En la práctica, casi cualquier automatización con datos de clientes, proveedores o empleados toca datos personales en algún punto.
RGPD y AI Act: qué regula cada uno
Es habitual mezclarlos, pero son normativas distintas que se aplican a la vez. El AI Act regula los sistemas de IA según el riesgo que suponen para las personas: qué usos están prohibidos, cuáles son de alto riesgo y qué obligaciones tiene cada uno. El RGPD regula los datos personales que esos sistemas procesan.
Dicho de forma directa: el AI Act mira la herramienta y el RGPD mira los datos que le das. Cumplir uno no te exime del otro.
Adónde van los datos cuando usas una herramienta de IA
Cuando conectas una herramienta de IA a tus sistemas, normalmente a través de una API, los datos hacen un recorrido que conviene conocer:
Salen de tus sistemas y viajan hasta los servidores del proveedor, que pueden estar en la Unión Europea o fuera de ella.
Se procesan para generar la respuesta o ejecutar la acción que has pedido.
Pueden quedarse almacenados durante un tiempo en registros del proveedor, según sus condiciones de uso.
Pueden usarse para entrenar sus modelos, algo que ocurre sobre todo en versiones gratuitas o de consumo. Los planes empresariales suelen excluirlo, pero hay que comprobarlo en el contrato, no darlo por hecho.
Cada uno de estos puntos tiene consecuencias legales. Y la mayoría de empresas no los revisa hasta que un cliente pregunta o hay un problema.
Las obligaciones que más se pasan por alto
Firmar el contrato de encargo del tratamiento. Cuando un proveedor trata datos personales por cuenta de tu empresa, el RGPD exige un contrato que regule qué puede hacer con ellos, qué medidas de seguridad aplica y qué pasa con los datos al terminar la relación. Muchos proveedores lo ofrecen como acuerdo de tratamiento de datos (DPA), pero a menudo hay que solicitarlo o aceptarlo expresamente.
Controlar las transferencias fuera de Europa. Si los servidores del proveedor están fuera del Espacio Económico Europeo, la transferencia de datos necesita una garantía prevista en el RGPD, como una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo. Pregunta al proveedor qué mecanismo utiliza y, si puede, que almacene los datos en servidores europeos.
Aplicar la minimización de datos. El RGPD obliga a tratar solo los datos necesarios para cada finalidad. Si el agente de facturas no necesita el teléfono del cliente, no debería tener acceso a él. Es la medida más sencilla y la que más riesgo elimina.
Informar a las personas afectadas. Tu política de privacidad debe reflejar que usas proveedores de IA para tratar ciertos datos. Si la IA toma decisiones exclusivamente automatizadas con efectos significativos sobre alguien, como descartar a un candidato o denegar un servicio, esa persona tiene derecho a que intervenga un humano.
Valorar si necesitas una evaluación de impacto. Cuando un tratamiento puede suponer un alto riesgo para las personas, algo que ocurre con más facilidad al usar nuevas tecnologías sobre datos sensibles o a gran escala, el RGPD exige una evaluación de impacto antes de ponerlo en marcha.
El incumplimiento del RGPD puede suponer multas de hasta 20 millones de euros o el 4% de la facturación anual global, según cuál sea mayor. Pero en la práctica, el primer coste suele ser otro: perder la confianza de un cliente que descubre que sus datos han pasado por donde no debían.
Qué cambia cuando la IA no solo responde, sino que actúa
Una herramienta que resume un documento procesa datos. Un agente de IA hace algo más: consulta sistemas, toma decisiones y ejecuta acciones por su cuenta. Eso multiplica los puntos donde los datos pueden acabar donde no deben.
La Agencia Española de Protección de Datos publicó en febrero de 2026 unas orientaciones específicas sobre IA agéntica, y sus recomendaciones se pueden aplicar directamente a nuestro agente de facturas:
Protección de datos desde el diseño: pensar qué datos necesita el agente antes de construirlo, no después.
Acceso mínimo: que pueda leer pedidos y generar facturas, pero no consultar el resto de la base de datos de clientes.
Supervisión humana: que alguien revise las facturas antes de enviarlas, al menos al principio y en los casos que se salgan de lo habitual.
Registro de acciones: que quede constancia de qué ha consultado y qué ha hecho el agente, para poder revisarlo si algo falla.
La propia AEPD advierte también de riesgos específicos de estos sistemas, como la manipulación del agente mediante instrucciones maliciosas escondidas en los datos que procesa. Un agente con acceso limitado es un agente que, incluso si falla, hace poco daño.
Qué preguntar al proveedor antes de conectar datos personales
En el artículo sobre APIs cerrábamos con una pregunta: qué pasa con los datos que viajan entre sistemas. Esta es la versión detallada:
- ¿Dónde están físicamente vuestros servidores, y podéis garantizar que los datos se quedan en la Unión Europea?
- ¿Usáis los datos que os enviamos para entrenar vuestros modelos? ¿Puedo desactivarlo?
- ¿Durante cuánto tiempo conserváis los datos y los registros de uso?
- ¿Tenéis un contrato de encargo del tratamiento o DPA que podamos firmar?
- ¿Qué medidas de seguridad aplicáis y qué pasa si sufrís una brecha de datos?
Un proveedor serio responde a todo esto sin rodeos y por escrito. Si las respuestas son vagas, el riesgo lo asume tu empresa.
Preguntas frecuentes sobre RGPD e inteligencia artificial
¿Puedo usar ChatGPT u otras herramientas de IA con datos de clientes? Puedes, siempre que la versión que uses ofrezca garantías suficientes: contrato de encargo del tratamiento, control sobre el uso de datos para entrenamiento y claridad sobre dónde se almacenan. Las versiones gratuitas o personales normalmente no las ofrecen. Lo explicamos en detalle en cómo usar ChatGPT en tu empresa de forma segura.
¿Los datos de otras empresas están protegidos por el RGPD? Los datos de la empresa como entidad no, pero los de las personas que trabajan en ella sí. El nombre, el correo y el teléfono de tu contacto en un cliente son datos personales.
¿Tengo que avisar a mis clientes de que uso IA? Tienes que informarles de cómo tratas sus datos y con qué proveedores, y eso incluye a los proveedores de IA. Revisa que tu política de privacidad lo refleje.
¿Es más seguro instalar la IA en servidores propios? Instalar un modelo en tus propios servidores o en una nube europea controlada reduce la dependencia de terceros y simplifica las transferencias internacionales, pero traslada a tu empresa toda la responsabilidad de seguridad y mantenimiento. No hay una opción mejor en abstracto: depende del volumen y la sensibilidad de los datos.
*Este artículo tiene carácter informativo y no sustituye el asesoramiento jurídico sobre el caso concreto de tu empresa. * ¿Quieres saber si tu empresa está usando la IA con las garantías adecuadas? Haz el diagnóstico gratuito de IA.