PIPELINEGuías
¿Hacer vosotros mismos protección de datos y cumplimiento de IA o encargarla?
Muchas cosas relacionadas con protección de datos y cumplimiento de IA se pueden construir por cuenta propia — la pregunta es si compensa. Cuándo tiene sentido el trabajo propio, dónde está el límite y cuál es el camino más caro.
Construir vosotros mismos protección de datos y cumplimiento de IA compensa si el proyecto se mantiene pequeño, alguien en el negocio tiene tiempo para ello y nadie depende de que funcione en una fecha determinada. En cuanto otros sistemas deban participar o alguien responda si falla, la ejecución externa suele ser más económica — el camino más caro es el medio terminado.
01 — Trabajo propio
¿Hacerlo por cuenta propia o encargarlo?
- Hacerlo por cuenta propia tiene sentido cuando alguien en la empresa tiene el tiempo y el interés, el proyecto se mantiene pequeño y nadie depende de que funcione en una fecha determinada.
- Los kits de construcción listos te llevan rápidamente a un primer resultado, pero alcanzan límites donde entran en juego procesos propios, datos propios o conexiones con sistemas existentes.
- Encargarla compensa en cuanto protección de datos y cumplimiento de IA deba comunicarse con otros sistemas, en cuanto alguien sea responsable si no funciona, o en cuanto el esfuerzo interno resulte más caro que la ejecución externa.
- El camino más caro es el intermedio: construir meses por cuenta propia a medias, luego abandonar y rehacer externamente. Quien decide por trabajo propio debe fijar un presupuesto de tiempo y un punto de abandono.
- Forma mixta: concepto y configuración externos, mantenimiento interno. Este suele ser el camino más económico para protección de datos y cumplimiento de IA — siempre que la transferencia esté documentada.
02 — Requisitos
Qué necesitáis para cumplimiento de IA
- Un motivo claramente definido. No «deberíamos hacer algo con IA», sino un proceso que hoy demostrablemente cuesta tiempo o contratos.
- Contenidos o datos existentes. La protección de datos y el cumplimiento de IA trabajan con lo que hay. Cuanto más completa sea la situación de partida, más breve será la configuración.
- Acceso a los sistemas afectados. Quien gestiona los accesos debe estar involucrado desde el principio: esta es, según la experiencia, la causa más frecuente de retrasos.
- Una persona de contacto con poder de decisión. Una, no tres.
- Disposición a ajustar tras la puesta en marcha. Las primeras semanas de operación real muestran qué faltaba en el concepto. Eso es normal y está previsto.
03 — Cálculo
Así se calcula
Cuatro números bastan: ¿con qué frecuencia ocurre el proceso? ¿Cuánto dura? ¿Cuánto cuesta una hora internamente? ¿Y cuánto cuesta la solución, una vez más el funcionamiento durante tres años?
Un ejemplo: un proceso que ocurre dos veces por semana y dura 40 minutos cada vez ocupa alrededor de 69 horas al año. Con una tarifa interna de 45 euros por hora, son unos 3.100 euros anuales que quedan ahí vinculados. Si una solución reduce este esfuerzo en dos tercios, se amortiza —según la oferta real— a menudo en uno o dos años. El valor exacto para vuestro caso os lo indicamos después de la primera reunión.
Este cálculo es deliberadamente conservador: solo considera el tiempo ahorrado, no los errores evitados ni los pedidos que se consiguen gracias a una reacción más rápida. En la práctica, el beneficio suele ser mayor, pero no conviene contarlo antes de haberlo medido.
04 — Preguntas
Preguntas frecuentes
¿Basta con un acuerdo verbal en el equipo en lugar de una directriz escrita?
No, en caso de conflicto o inspección solo cuenta lo que está documentado. Una breve directriz escrita protege además a los nuevos empleados que nunca escucharon el acuerdo verbal.
¿Podemos introducir datos de clientes en ChatGPT?
En la variante gratuita sin respaldo contractual: no. Con una cuenta empresarial, acuerdo de encargo de tratamiento y exclusión del entrenamiento puede ser lícito — dependiendo de qué datos se trate. Precisamente esta distinción debe estar en la directriz de uso, porque es constantemente relevante en el día a día.
¿Esto aplica también a empresas individuales?
Sí. El AI Act no distingue por tamaño de empresa, sino por propósito de uso y riesgo. Quien tiene un chatbot en el sitio web está afectado — independientemente de si trabajan una o cien personas en la empresa.
¿Necesitamos una evaluación de impacto de protección de datos?
No de forma general. Se vuelve necesaria si el tratamiento probablemente supone un alto riesgo para los afectados — por ejemplo, en caso de elaboración extensiva de perfiles. Para un chatbot de preguntas frecuentes en el sitio web normalmente no es necesaria. Lo comprobamos caso por caso y dejamos el resultado por escrito.
¿Con qué frecuencia debe actualizarse el inventario?
Siempre que se introduzca una nueva herramienta o cambie el propósito de uso de una existente. Una revisión anual como intervalo mínimo tiene sentido, incluso sin motivo concreto.
¿Qué pasa si utilizamos varias herramientas de IA de distintos proveedores?
Cada herramienta se evalúa por separado — proveedor, tratamiento de datos y clase de riesgo difieren. La directriz de uso resume los resultados para que nadie tenga que consultar cada herramienta individualmente.
¿Qué exige concretamente el EU AI Act?
Para la mayoría de las empresas se trata de dos cosas: transparencia y competencia. Transparencia significa que las personas deben reconocer cuándo hablan con un sistema de IA o ven contenidos generados por IA — esto rige desde agosto de 2026. Competencia significa que las personas que utilizan estos sistemas están suficientemente formadas para ello. Ambos aspectos son documentables y cumplibles con un esfuerzo razonable.
05 — Decisión
Cómo seguir adelante
El siguiente paso más económico es una conversación, no un presupuesto. Veinte minutos suelen bastar para aclarar si un proyecto tiene sentido, en qué marco se mueve y si somos los indicados para ello.
Si no es así, lo decimos. Un no honesto cuesta menos que un proyecto que se cancela después de tres meses — para ambas partes.
06 — Continuar
Páginas relacionadas
- Protección de datos y cumplimiento normativo de IA — Visión general
- Protección de datos y cumplimiento normativo de IA — Lista de verificación
- Protección de datos y cumplimiento normativo de IA — Alternativas
- Protección de datos y cumplimiento de IA — Ejemplos prácticos
- Protección de datos y cumplimiento normativo de IA — Introducción
- Protección de datos y cumplimiento normativo de IA — Proceso
- Protección de datos y cumplimiento normativo de IA — Subvención
- Protección de datos y cumplimiento de IA — Pequeños negocios
- Consultoría en IA
- Formación en IA
- Chatbot con IA
- Todas las guías
Protección de datos y cumplimiento normativo de IA por región
Siguiente paso
Hablemos brevemente de si esto vale la pena para vosotros.
Una conversación de veinte minutos suele bastar para aclarar si un proyecto tiene sentido. Si no, lo decimos: es más barato para ambas partes que una oferta que nadie necesita.