Evaluación de impacto en IA y datos personales: cuándo conviene hacerla y qué debe cubrir
Muchas empresas empiezan a usar inteligencia artificial con una pregunta demasiado simple: “¿podemos usar esta herramienta?”. La pregunta útil suele ser más incómoda: “¿qué impacto tiene este uso sobre personas, datos y decisiones?”.
Cuando una herramienta de IA trata datos personales, ayuda a tomar decisiones, analiza perfiles, automatiza tareas sensibles o se integra en procesos de negocio, puede no bastar con una revisión rápida de privacidad. Puede ser necesario hacer una evaluación más profunda del riesgo.
En el lenguaje del RGPD, esa evaluación puede adoptar la forma de una evaluación de impacto relativa a la protección de datos, especialmente cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.
No se trata de llenar un documento defensivo. Una buena evaluación de impacto debería servir para decidir si el uso de IA es aceptable, condicionado, limitado o directamente descartable.
Cuándo una empresa debería plantearse una evaluación de impacto
No todo uso de IA exige una evaluación de impacto formal. Usar una herramienta para corregir estilo, resumir un texto ya anonimizado o generar una idea comercial no tiene el mismo riesgo que usar IA para valorar candidatos, segmentar clientes, detectar fraude o priorizar expedientes.
Conviene plantearse una evaluación más profunda cuando concurran factores como estos:
- Tratamiento de datos personales a gran escala.
- Uso de datos sensibles o especialmente protegidos.
- Decisiones automatizadas o semiautomatizadas con efectos relevantes.
- Elaboración de perfiles de clientes, trabajadores o usuarios.
- Integración de IA en procesos de recursos humanos, crédito, salud, educación, seguros o seguridad.
- Uso de herramientas externas donde no está claro qué hace el proveedor con los datos.
- Combinación de fuentes de información que antes estaban separadas.
- Monitorización, scoring, predicción de comportamiento o priorización de personas.
- Dificultad para explicar el resultado o corregir errores.
La clave no es solo la tecnología. Es el efecto del tratamiento sobre personas concretas.
Qué debe cubrir la evaluación
Una evaluación de impacto no debería quedarse en “la herramienta usa IA”. Debe describir el tratamiento real: qué datos entran, qué hace el sistema, quién interviene, qué decisiones se apoyan en el resultado y qué consecuencias puede tener.
Como mínimo, debería cubrir estas piezas:
- Finalidad del uso de IA.
- Tipos de datos tratados.
- Personas afectadas: clientes, empleados, candidatos, usuarios, proveedores u otros colectivos.
- Base jurídica del tratamiento.
- Necesidad y proporcionalidad del uso.
- Proveedor utilizado y papel que ocupa en protección de datos.
- Transferencias internacionales, subencargados y conservación.
- Riesgos para derechos y libertades.
- Medidas técnicas, organizativas y jurídicas para reducir esos riesgos.
- Supervisión humana y posibilidad de intervención.
- Evidencias que se conservarán y responsables internos.
Esta revisión conecta directamente con una <a href="/auditoria-rgpd-zaragoza/">auditoría RGPD</a>, pero añade una capa específica: cómo funciona la IA dentro del proceso y qué riesgos nuevos introduce.
Riesgos habituales en IA con datos personales
Los riesgos no siempre son evidentes al principio. Una empresa puede pensar que solo está “automatizando una tarea”, cuando en realidad está creando un nuevo tratamiento con consecuencias relevantes.
Algunos riesgos habituales son:
- Introducir más datos de los necesarios.
- Usar datos personales para una finalidad distinta a la comunicada.
- Enviar información sensible a proveedores sin garantías suficientes.
- Generar resultados erróneos que afecten a clientes o trabajadores.
- Reproducir sesgos en decisiones o recomendaciones.
- Conservar prompts, documentos o salidas durante más tiempo del necesario.
- No poder explicar cómo se ha obtenido una recomendación.
- No tener una vía real de revisión humana.
- No saber qué hacer cuando la herramienta falla o produce una salida problemática.
La evaluación debe identificar estos riesgos antes de escalar el uso, no después del incidente.
Proveedor, contrato y uso de datos
Uno de los puntos más importantes es revisar al proveedor de IA. No basta con que la herramienta sea conocida o tenga una interfaz atractiva.
La empresa debería comprobar, entre otras cosas:
- Si el proveedor actúa como encargado, responsable independiente o con un modelo mixto.
- Qué contrato o condiciones aplican.
- Si los datos se usan para entrenar modelos.
- Qué subencargados intervienen.
- Dónde se tratan y almacenan los datos.
- Qué medidas de seguridad existen.
- Qué ocurre con los datos al terminar el servicio.
- Si hay opciones empresariales que permiten limitar el uso de la información.
Este análisis se relaciona con la <a href="/evaluacion-proveedores-ia-rgpd-ai-act/">evaluación de proveedores de IA</a>. Si el proveedor no ofrece garantías suficientes, la conclusión puede ser limitar el uso, anonimizar datos, buscar otra solución o prohibir determinados casos de uso.
Medidas para reducir el riesgo
Una evaluación de impacto no termina al detectar riesgos. Debe concretar medidas.
Algunas medidas habituales son:
- Prohibir introducir determinadas categorías de datos.
- Anonimizar o seudonimizar información antes del uso.
- Limitar quién puede utilizar la herramienta.
- Definir prompts o instrucciones internas permitidas.
- Activar opciones empresariales de privacidad y seguridad.
- Establecer revisión humana en decisiones relevantes.
- Registrar evidencias proporcionadas del uso.
- Formar a usuarios autorizados.
- Revisar periódicamente proveedores, permisos y casos de uso.
- Crear un procedimiento interno ante incidentes con IA.
La medida adecuada depende del caso. No es lo mismo usar IA para redactar borradores comerciales que para analizar reclamaciones, evaluar candidatos o priorizar expedientes.
Relación con AI Act y gobierno interno de IA
El RGPD no vive aislado. El AI Act añade obligaciones y criterios de gobierno según el tipo de sistema, el rol de la empresa y el nivel de riesgo. Además, muchas empresas tendrán que organizar inventarios, políticas internas, formación, supervisión humana y evidencias.
Por eso conviene que la evaluación de impacto no sea un documento separado del resto del sistema. Debería conectarse con:
- El <a href="/inventario-herramientas-ia-empresa-ai-act-rgpd/">inventario de herramientas de IA</a>.
- La política interna de uso de IA generativa.
- La revisión de proveedores.
- La formación y alfabetización en IA.
- La supervisión humana.
- El registro de evidencias.
- El procedimiento de incidentes.
Así la empresa evita un problema frecuente: tener documentos jurídicos correctos pero desconectados del uso real que hacen los equipos.
Cuándo revisar de nuevo la evaluación
La evaluación no debería guardarse en una carpeta y olvidarse. Debe revisarse cuando cambie el uso, el proveedor, los datos o el impacto del sistema.
Por ejemplo:
- Se amplía el uso a nuevos departamentos.
- Se empiezan a tratar datos más sensibles.
- Se conecta la IA con otras aplicaciones internas.
- Se automatiza una decisión que antes revisaba una persona.
- Cambian las condiciones del proveedor.
- Aparece un incidente, error relevante o queja.
- Se detecta un sesgo o una salida difícil de justificar.
En IA, el riesgo no depende solo de la herramienta inicial. Depende de cómo evoluciona el uso dentro de la empresa.
Recomendación práctica
Antes de implantar o escalar un uso de IA con datos personales, la empresa debería hacerse cuatro preguntas:
- ¿Qué personas pueden verse afectadas?
- ¿Qué datos entran y qué resultados salen?
- ¿Qué decisión o proceso se apoya en la IA?
- ¿Qué podemos demostrar si mañana alguien pregunta por este uso?
Si las respuestas son vagas, la evaluación no es burocracia. Es una herramienta para tomar mejores decisiones.
Y si el uso afecta a personas, datos sensibles o decisiones relevantes, conviene revisarlo antes de ponerlo en producción. Corregir un flujo de IA antes de escalarlo suele ser mucho más barato que explicar después por qué nadie evaluó el riesgo.
En Javier Ferrando Abogado ayudamos a empresas a revisar usos de IA con datos personales, proveedores, bases jurídicas, medidas de control y documentación interna. Si quieres ordenar un caso concreto, puedes contactar desde la página de <a href="/contacto/">contacto</a>.