PIPELINEGuías
Protección de datos y cumplimiento de IA: comparar proveedores — en qué fijarse realmente
Las ofertas sobre protección de datos y cumplimiento de IA son difíciles de comparar, porque cada uno incluye algo diferente. Las preguntas que hacen visibles las diferencias — y las señales de alarma.
Al comparar proveedores para protección de datos y cumplimiento de IA, cuenta menos el precio indicado que la pregunta de qué pasa después: quién mantiene el sistema tras la puesta en marcha, y qué cuesta una adaptación posterior. Esa es la diferencia que solo se ve después de unos meses.
01 — Criterios
En qué se diferencian los presupuestos
- Qué incluye exactamente. Dos presupuestos con la misma suma pueden incluir servicios completamente diferentes. Haz que te den el alcance como lista, no como texto corrido.
- Quién entrega qué. Contenidos, imágenes, datos, accesos — si no está escrito, se convertirá en punto de conflicto después.
- Qué cuesta la operación. Calculado a tres años, incluidas licencias, hosting y soporte.
- Qué pasa si quieres cambiar. ¿Recibes accesos, datos y documentación? La respuesta a esta pregunta dice más sobre un proveedor que cualquier referencia.
- Quién trabaja realmente. En proveedores pequeños es relevante: quién está en la conversación y quién lo hace después.
02 — Preguntas
Preguntas que deberías hacer
- ¿Qué pasa si el proyecto se vuelve más caro de lo estimado — quién lo asume?
- ¿A quién pertenecen los datos, los accesos y, si se desarrolla, el código fuente?
- ¿Qué cuesta la operación en el segundo y tercer año?
- ¿Cómo es la documentación que recibimos al final?
- ¿Con qué medirían si el proyecto fue exitoso?
- ¿Hay algún caso en el que nos desaconsejarían esto?
03 — Señales de alerta
Cuándo deberías ser escéptico
- Resultados garantizados. Quien promete el primer lugar en Google o un aumento de facturación específico está vendiendo algo que no puede entregar.
- Ningún no. Un proveedor que considera buena idea cada proyecto o no ha escuchado o solo vende.
- Presión de tiempo. Descuentos limitados en precios de proyecto son una herramienta de ventas, no una oferta.
- Relaciones de propiedad poco claras. Quien no dice claramente a quién pertenecen datos y accesos no tiene buenas intenciones.
- Ninguna persona de contacto con conocimientos técnicos. Si en la primera conversación solo hay ventas, los malentendidos surgen ahí.
04 — Alcance
Qué incluye
- Inventario: qué herramientas de IA se utilizan realmente en la empresa
- Clasificación según EU AI Act — clase de riesgo y obligaciones derivadas
- Comprobación de la situación de protección de datos por herramienta, incluido encargo de tratamiento
- Directriz de uso aplicable en el día a día en lugar de solo formalmente correcta
- Implementar obligaciones de etiquetado para chatbots y contenidos generados por IA
- Demostración de competencia en IA mediante formación documentada
05 — Preguntas
Preguntas frecuentes
¿Con qué frecuencia debe actualizarse el inventario?
Siempre que se introduzca una nueva herramienta o cambie el propósito de uso de una existente. Una revisión anual como intervalo mínimo tiene sentido, incluso sin motivo concreto.
¿Deben etiquetarse los textos generados por IA?
En contenidos que se publican y han sido generados sintéticamente o modificados sustancialmente, sí. El uso puramente interno — investigación, borradores, resúmenes — por lo general no activa esta obligación.
¿Podemos introducir datos de clientes en ChatGPT?
En la variante gratuita sin respaldo contractual: no. Con una cuenta empresarial, acuerdo de encargo de tratamiento y exclusión del entrenamiento puede ser lícito — dependiendo de qué datos se trate. Precisamente esta distinción debe estar en la directriz de uso, porque es constantemente relevante en el día a día.
¿Qué pasa si utilizamos varias herramientas de IA de distintos proveedores?
Cada herramienta se evalúa por separado — proveedor, tratamiento de datos y clase de riesgo difieren. La directriz de uso resume los resultados para que nadie tenga que consultar cada herramienta individualmente.
¿Basta con un acuerdo verbal en el equipo en lugar de una directriz escrita?
No, en caso de conflicto o inspección solo cuenta lo que está documentado. Una breve directriz escrita protege además a los nuevos empleados que nunca escucharon el acuerdo verbal.
¿Necesitamos una evaluación de impacto de protección de datos?
No de forma general. Se vuelve necesaria si el tratamiento probablemente supone un alto riesgo para los afectados — por ejemplo, en caso de elaboración extensiva de perfiles. Para un chatbot de preguntas frecuentes en el sitio web normalmente no es necesaria. Lo comprobamos caso por caso y dejamos el resultado por escrito.
¿Esto aplica también a empresas individuales?
Sí. El AI Act no distingue por tamaño de empresa, sino por propósito de uso y riesgo. Quien tiene un chatbot en el sitio web está afectado — independientemente de si trabajan una o cien personas en la empresa.
06 — Continuar
Páginas relacionadas
- Protección de datos y cumplimiento normativo de IA — Visión general
- Protección de datos y cumplimiento de IA — Requisitos previos
- Protección de datos y cumplimiento de IA — Por dónde empezar
- Protección de datos y cumplimiento de IA — Medir el éxito
- Protección de datos y cumplimiento normativo de IA — Funcionamiento
- Protección de datos y cumplimiento de IA — Integración
- Protección de datos y cumplimiento de IA — Errores típicos
- Protección de datos y cumplimiento normativo de IA — Duración
- Consultoría en IA
- Formación en IA
- Chatbot con IA
- Todas las guías
Protección de datos y cumplimiento normativo de IA por región
Siguiente paso
Primera evaluación, sin compromiso.
Describid brevemente de qué se trata. Recibiréis una respuesta honesta sobre qué es realista y cuánto cuesta aproximadamente.