PIPELINEGuías
Protección de datos y cumplimiento de IA: Ejemplos de la práctica
Cómo se usa realmente el cumplimiento de IA en el día a día de pequeños negocios — procesos concretos en lugar de promesas de producto, incluyendo los casos en que no funcionó.
En la práctica, la protección de datos y el cumplimiento de IA casi siempre empiezan con un solo proceso, no con un concepto general. Las obligaciones de transparencia del artículo 50 del EU AI Act rigen desde agosto de 2026 — independientemente del tamaño de la empresa. Solo se amplía cuando el primer paso funciona demostrablemente en operación real.
01 — Práctica
Cómo se ve esto concretamente
Las obligaciones de transparencia del artículo 50 del EU AI Act rigen desde agosto de 2026 — independientemente del tamaño de la empresa.
Un inicio típico se ve así: El negocio nombra el único proceso que más molesta. Qué se utiliza, por quién, con qué datos. Normalmente más de lo que conoce la dirección.
Tras la puesta en marcha no se amplía inmediatamente, sino que se observa. Incorporar identificaciones, documentar formación, archivar documentos.
02 — Adecuación
Cuándo vale la pena
- El proceso afectado ocurre al menos semanalmente.
- Sigue reglas que se pueden escribir — aunque haya excepciones.
- Hoy es trabajo manual que nadie hace con gusto.
- Hay una persona que decide, no tres que tienen que coordinarse.
- Podéis definir cómo sabréis que ha funcionado.
03 — Delimitación
Cuándo desaconsejamos
- El proceso todavía está cambiando. Mientras estés ajustando el proceso mismo, el trabajo manual es más flexible y más barato.
- Las excepciones superan a los casos regulares. Entonces automatizas excepciones, y eso se vuelve caro.
- No hay base de datos. Sin datos de partida disponibles digitalmente, falta la base.
- El volumen es demasiado pequeño. Con cinco operaciones al mes no vale la pena ningún sistema — ni siquiera uno económico.
- El verdadero cuello de botella está en otro lado. Quien tiene muy pocas solicitudes no necesita un procesamiento más rápido.
04 — Preguntas
Preguntas frecuentes
¿Qué exige concretamente el EU AI Act?
Para la mayoría de las empresas se trata de dos cosas: transparencia y competencia. Transparencia significa que las personas deben reconocer cuándo hablan con un sistema de IA o ven contenidos generados por IA — esto rige desde agosto de 2026. Competencia significa que las personas que utilizan estos sistemas están suficientemente formadas para ello. Ambos aspectos son documentables y cumplibles con un esfuerzo razonable.
¿Necesitamos una evaluación de impacto de protección de datos?
No de forma general. Se vuelve necesaria si el tratamiento probablemente supone un alto riesgo para los afectados — por ejemplo, en caso de elaboración extensiva de perfiles. Para un chatbot de preguntas frecuentes en el sitio web normalmente no es necesaria. Lo comprobamos caso por caso y dejamos el resultado por escrito.
¿Esto aplica también a empresas individuales?
Sí. El AI Act no distingue por tamaño de empresa, sino por propósito de uso y riesgo. Quien tiene un chatbot en el sitio web está afectado — independientemente de si trabajan una o cien personas en la empresa.
¿Basta con un acuerdo verbal en el equipo en lugar de una directriz escrita?
No, en caso de conflicto o inspección solo cuenta lo que está documentado. Una breve directriz escrita protege además a los nuevos empleados que nunca escucharon el acuerdo verbal.
¿Podemos introducir datos de clientes en ChatGPT?
En la variante gratuita sin respaldo contractual: no. Con una cuenta empresarial, acuerdo de encargo de tratamiento y exclusión del entrenamiento puede ser lícito — dependiendo de qué datos se trate. Precisamente esta distinción debe estar en la directriz de uso, porque es constantemente relevante en el día a día.
¿Con qué frecuencia debe actualizarse el inventario?
Siempre que se introduzca una nueva herramienta o cambie el propósito de uso de una existente. Una revisión anual como intervalo mínimo tiene sentido, incluso sin motivo concreto.
¿Deben etiquetarse los textos generados por IA?
En contenidos que se publican y han sido generados sintéticamente o modificados sustancialmente, sí. El uso puramente interno — investigación, borradores, resúmenes — por lo general no activa esta obligación.
05 — Continuar
Páginas relacionadas
- Protección de datos y cumplimiento normativo de IA — Visión general
- Protección de datos y cumplimiento de IA — Medir el éxito
- Protección de datos y cumplimiento normativo de IA — Lista de verificación
- Protección de datos y cumplimiento de IA — Pequeños negocios
- Protección de datos y cumplimiento normativo de IA — Alternativas
- Protección de datos y cumplimiento normativo de IA — Comparación de proveedores
- Protección de datos y cumplimiento normativo de IA — Funcionamiento
- Protección de datos y cumplimiento normativo de IA — Hacerlo tú mismo
- Consultoría en IA
- Formación en IA
- Chatbot con IA
- Todas las guías
Protección de datos y cumplimiento normativo de IA por región
Siguiente paso
Hablemos brevemente de si esto vale la pena para vosotros.
Una conversación de veinte minutos suele bastar para aclarar si un proyecto tiene sentido. Si no, lo decimos: es más barato para ambas partes que una oferta que nadie necesita.