Diagnóstico de Privacidad y Política de Uso de IA

¿Para qué vas a usar la IA?

Marca todos los casos de uso que tengas en mente. Puedes seleccionar varios. El tipo de uso determina el nivel de riesgo de partida antes de considerar qué herramienta o qué datos usarás.

A

Redacción y comunicación

Emails, informes, presentaciones, actas de reunión, comunicados internos o externos.

B

Análisis de documentos

Revisar contratos, informes financieros, propuestas, due diligence, auditorías, expedientes.

C

Análisis de datos y reporting

Interpretar datos de negocio, crear dashboards, analizar KPI, forecast financiero.

D

Automatización de procesos

Flujos automáticos con Make, Zapier u otras herramientas que procesan datos de forma recurrente sin intervención manual.

E

Gestión de personas (RRHH)

Evaluaciones de desempeño, selección de personal, análisis de nóminas, gestión de bajas, comunicaciones con empleados.

F

Atención al cliente o gestión comercial

Responder consultas de clientes, analizar el CRM, generar propuestas personalizadas, gestionar reclamaciones.

G

Investigación y due diligence

Buscar información sobre empresas, mercados, competidores, regulaciones, noticias de sector.

H

Estrategia y toma de decisiones

Análisis estratégico, evaluación de opciones, escenarios de negocio, preparación de comités de dirección.

¿Qué tipo de información vas a introducir en la IA?

Marca todo lo que aplique. Puedes seleccionar varios. Sé honesto: piensa en los casos de uso reales que has marcado antes. La sensibilidad de los datos es el factor más determinante del riesgo legal.

A

Información pública o ya publicada

Noticias, informes de sector, datos de webs públicas, textos sin datos personales ni confidenciales.

B

Documentos internos de la empresa (sin datos personales)

Estrategia, presupuestos, actas de reunión, informes de resultados, propuestas comerciales genéricas.

C

Datos de clientes identificables

Nombres, emails, teléfonos, contratos con datos del cliente, historial de compras, CRM.

D

Datos de empleados identificables

Nóminas, evaluaciones de desempeño, datos de RRHH, expedientes, bajas médicas, datos sindicales.

E

Información financiera confidencial no pública

Resultados antes de publicar, proyecciones, operaciones M&A, datos de auditoría interna, información privilegiada.

F

Secretos comerciales o propiedad intelectual

Fórmulas, patentes, código fuente, algoritmos propietarios, know-how diferencial, planes de producto no publicados.

G

Datos especialmente protegidos (categorías especiales RGPD)

Datos de salud, origen racial o étnico, opiniones políticas, creencias religiosas, orientación sexual, datos biométricos.

¿Los datos que vas a usar son de la empresa o de terceros?

Cuando los datos pertenecen a personas físicas (clientes, empleados, proveedores), esas personas tienen derechos bajo el RGPD: acceso, rectificación, supresión, portabilidad. La empresa debe poder ejercer esos derechos, y el uso de IA puede complicarlo.

A

Solo datos propios de la empresa (sin personas físicas identificables)

Documentos estratégicos, financieros o internos que no contienen datos personales de clientes, empleados ni terceros.

B

Datos de clientes o potenciales clientes

Personas físicas que tienen o han tenido relación comercial con la empresa, o que han mostrado interés.

C

Datos de empleados o candidatos

Personas que trabajan o han trabajado en la empresa, o que están en proceso de selección.

D

Combinación de los anteriores

Los documentos o procesos incluyen datos de varios tipos: empresa + clientes, empresa + empleados, o los tres.

¿Con qué frecuencia y a qué escala vas a usar la IA?

La frecuencia y el volumen determinan si el tratamiento de datos requiere un Registro de Actividades de Tratamiento (RAT) y posiblemente una Evaluación de Impacto (EIPD/DPIA). A mayor escala, mayor obligación de documentar.

A

Uso puntual o esporádico

Pruebas, casos concretos, uso ocasional sin un patrón regular. Menos de una vez por semana.

B

Uso regular por una persona o un equipo pequeño

Varias veces por semana o diariamente, pero solo el directivo o un equipo de menos de 10 personas.

C

Despliegue a nivel de departamento o área

Un departamento completo (10-50 personas) usará la herramienta de forma habitual en sus procesos.

D

Despliegue a nivel de empresa

Toda la organización o la mayoría de empleados usarán la herramienta. Más de 50 personas.

E

Proceso automatizado a escala

Flujo automático que procesa datos de forma continua o recurrente sin intervención manual (Make, Zapier, API, etc.). Puede afectar a cientos o miles de registros.

¿Con quién compartes los resultados generados por la IA?

Los outputs de la IA pueden contener información derivada de los datos que introdujiste. Compartirlos amplía el alcance del tratamiento y puede requerir base legal adicional.

A

Solo yo los uso internamente

Los resultados son para mi uso personal en el trabajo. No los comparto con nadie más.

B

Los comparto con mi equipo o dirección (interno)

Informes, análisis o documentos que circulan internamente dentro de la empresa.

C

Los comparto con clientes o socios externos

Propuestas, informes, comunicaciones que salen de la empresa hacia clientes, proveedores o socios.

D

Se publican o difunden públicamente

Contenido para web, redes sociales, comunicados de prensa, informes públicos.

E

Se usan para tomar decisiones sobre personas (empleados o clientes)

Evaluaciones de desempeño, decisiones de contratación o despido, scoring de crédito, segmentación de clientes para ofertas.

¿Qué herramienta o herramientas vas a usar y con qué plan?

El plan contratado determina si existe un DPA (Data Processing Agreement) — el contrato que obliga al proveedor a no usar tus datos para entrenar sus modelos y a cumplir el RGPD. Sin DPA, los datos que introduces pueden usarse para mejorar el modelo. Puedes seleccionar varias herramientas.

A

ChatGPT Plus / Pro (cuenta personal)

Suscripción individual en chat.openai.com. Sin DPA. OpenAI puede usar conversaciones para mejorar el modelo salvo que lo desactives en Ajustes.

B

ChatGPT Team / Enterprise / API

Cuenta corporativa gestionada por IT o acceso vía API. Incluye DPA. No entrena con tus datos por defecto.

C

Claude Pro / Max (cuenta personal)

Suscripción individual en claude.ai. Sin DPA. Anthropic puede usar conversaciones para mejorar el modelo.

D

Claude Team / Enterprise / API

Cuenta corporativa o API de Anthropic. Incluye DPA. No entrena con tus datos por defecto.

E

Microsoft 365 Copilot

Copilot integrado en Word, Excel, Outlook o Teams con licencia M365. DPA incluido en el contrato M365. No entrena modelos globales con tus datos.

F

Google Gemini Advanced (personal) / NotebookLM gratuito

Suscripción personal de Gemini o NotebookLM gratuito. Sin DPA. Google puede usar datos para mejorar servicios.

G

Google Workspace AI / NotebookLM Plus

Gemini integrado en Google Workspace corporativo o NotebookLM Plus. DPA incluido en el contrato Workspace.

H

Perplexity (Free o Pro)

Herramienta de búsqueda e investigación. Sin DPA corporativo estándar. Diseñada para consultar información pública, no para procesar datos internos.

I

Manus AI

Agente de IA autónomo para tareas complejas. Revisar los términos de servicio vigentes para confirmar el estado del DPA corporativo.

J

Make / Zapier (automatización)

Plataformas de automatización que conectan herramientas. Ofrecen DPA en planes de pago. Actúan como encargados del tratamiento.

¿Has verificado el estado de los contratos con los proveedores de IA?

Más allá de si el proveedor ofrece DPA, lo importante es si tu empresa lo ha firmado y verificado. Un DPA disponible pero no firmado no te protege.

A

Sí — IT o Legal ha verificado y firmado los DPA con los proveedores que usamos

Existe un contrato firmado que incluye cláusula de no entrenamiento y cumplimiento RGPD.

B

No lo sé — Nadie ha revisado los contratos con los proveedores de IA

La empresa usa herramientas de IA pero no se ha verificado el estado contractual con los proveedores.

C

No — Usamos versiones de consumo personal sin contrato corporativo

Suscripciones personales (ChatGPT Plus, Claude Pro, Gemini Advanced, etc.) sin acuerdo corporativo.

Pregunta 8 de 14

¿Has verificado el mecanismo de transferencia internacional de datos del proveedor de IA?

Todas las herramientas de IA líder tienen sede en EE.UU., fuera del Espacio Económico Europeo (EEE). El RGPD exige que cualquier transferencia de datos personales a un país tercero esté amparada por una garantía adecuada: una decisión de adecuación (como el EU-U.S. Data Privacy Framework), unas Cláusulas Contractuales Tipo (CCT/SCCs) firmadas, o una excepción específica del art. 49 RGPD. Sin esta garantía, la transferencia es ilegal aunque el proveedor tenga DPA.

A

Sí — He verificado que el proveedor está certificado en el EU-U.S. DPF o tiene CCT firmadas

El proveedor aparece en el registro público del EU-U.S. Data Privacy Framework (dataprivacyframework.gov) o el DPA incluye Cláusulas Contractuales Tipo (CCT/SCCs) de la Comisión Europea.

B

No lo sé — No he revisado el mecanismo de transferencia del proveedor

No se ha verificado si el proveedor tiene EU-U.S. DPF, CCT u otro mecanismo válido. Es la situación más habitual y requiere acción.

C

No — El proveedor no tiene mecanismo de transferencia válido o no lo puedo confirmar

El proveedor no está certificado en el DPF, no ofrece CCT en su DPA, o directamente no tiene DPA disponible. Situación de riesgo legal elevado para datos personales.

D

No aplica — Uso herramientas con sede o procesamiento en la UE/EEE

El proveedor tiene sede en la UE o procesa los datos exclusivamente en infraestructura europea (p.ej. Claude vía AWS Bedrock en Frankfurt, Microsoft con EU Data Boundary). No hay transferencia internacional.

Pregunta 9 de 14

¿Tu empresa tiene un responsable de protección de datos o cumplimiento normativo?

El RGPD obliga a designar un Delegado de Protección de Datos (DPO) en ciertos casos (sector público, tratamiento a gran escala de datos sensibles, monitorización sistemática). Aunque no sea obligatorio, es buena práctica tener alguien responsable.

A

Sí — Tenemos DPO o responsable de protección de datos designado

Hay una persona (interna o externa) responsable del cumplimiento RGPD en la empresa.

B

No DPO, pero tenemos asesoría legal o departamento de Legal

No hay DPO designado, pero hay acceso a asesoramiento legal para consultas de compliance.

C

No — No tenemos DPO ni asesoría legal de referencia

La empresa no cuenta con recursos de compliance o protección de datos de forma regular.

Pregunta 10 de 14

¿Tu empresa opera en un sector con regulación específica de datos?

Algunos sectores tienen obligaciones adicionales más allá del RGPD general que afectan directamente al uso de IA.

A

Salud y farmacia

Aplica LOPD sanitaria, Reglamento de dispositivos médicos, AI Act (sistemas de alto riesgo), y posiblemente HIPAA si hay operaciones en EE.UU.

B

Banca, seguros y servicios financieros

Aplica DORA (resiliencia operativa digital), PCI-DSS (datos de tarjetas), MiFID II, y el AI Act para sistemas de scoring crediticio.

C

Legal y despachos de abogados

Secreto profesional, confidencialidad del cliente, restricciones del Consejo General de la Abogacía sobre uso de IA con datos de clientes.

D

Sector público o administración

Obligación de DPO, Esquema Nacional de Seguridad (ENS), restricciones sobre soberanía de datos y uso de proveedores cloud extracomunitarios.

E

Educación

Protección reforzada de datos de menores, restricciones sobre perfilado de alumnos, LOPDGDD.

F

Sector general (industria, servicios, retail, consultoría, etc.)

Aplica el RGPD estándar y el AI Act. Sin regulaciones sectoriales adicionales más allá de las generales.

Parte 2 — Política de Uso de IA

Pregunta 11 de 14

¿Quién puede autorizar el uso de nuevas herramientas de IA en tu empresa?

Definir un proceso de autorización es el primer paso para evitar el Shadow AI — el uso de herramientas de IA no aprobadas que la empresa desconoce. Sin un proceso claro, los empleados adoptan herramientas por su cuenta sin evaluación de riesgos.

A

El propio directivo o responsable de área puede autorizar para su equipo

Cada directivo evalúa y aprueba las herramientas de IA para su área sin necesidad de aprobación centralizada. Ágil pero con riesgo de inconsistencia.

B

Requiere aprobación de IT y/o Legal antes de usar cualquier herramienta nueva

Proceso formal de evaluación: IT verifica seguridad y contratos, Legal verifica cumplimiento RGPD. Más lento pero más seguro.

C

Comité de IA o de transformación digital aprueba las herramientas

Existe un comité multidisciplinar (Dirección, IT, Legal, RRHH) que evalúa y aprueba el catálogo de herramientas de IA autorizadas. Modelo de gobierno más maduro.

D

Existe un catálogo de herramientas aprobadas y solo se pueden usar las de la lista

La empresa mantiene una lista oficial de herramientas de IA autorizadas. Cualquier herramienta fuera del catálogo requiere aprobación antes de su uso.

E

No existe un proceso formal de autorización todavía

Cada persona usa las herramientas que considera oportunas. La política que generemos establecerá el proceso de autorización.

Pregunta 12 de 14

¿Qué usos de IA quieres prohibir explícitamente en tu empresa?

Una política de uso de IA sin prohibiciones explícitas es incompleta. Selecciona todos los usos que quieres que queden expresamente prohibidos. Puedes seleccionar varios.

A

Introducir datos personales de clientes o empleados en herramientas sin DPA

Prohibición básica de compliance RGPD. Datos personales solo en herramientas con contrato de encargo de tratamiento firmado.

B

Introducir secretos comerciales, código fuente propietario o información estratégica no pública

Protege el know-how y la propiedad intelectual de la empresa. Incluye planes de negocio, fórmulas, algoritmos propietarios, M&A en curso.

C

Usar IA para tomar decisiones sobre personas sin revisión humana

Evaluaciones de desempeño, contratación, despido, scoring de crédito o cualquier decisión que afecte significativamente a una persona sin que un humano revise y apruebe el resultado.

D

Usar herramientas de IA no aprobadas por la empresa (Shadow AI)

Cualquier herramienta de IA que no esté en el catálogo aprobado o que no haya pasado el proceso de autorización establecido.

E

Generar contenido engañoso, deepfakes o hacerse pasar por otra persona

Uso de IA para crear contenido falso, manipulado o que suplante la identidad de personas reales. Incluye generación de documentos falsos.

F

Procesar datos de categorías especiales (salud, biométricos, ideología, etc.) sin autorización expresa

Datos especialmente protegidos por el art. 9 RGPD. Su uso con IA requiere base legal explícita, DPA y en muchos casos DPIA previa.

G

Usar IA para vigilar o monitorizar a empleados sin su conocimiento

Análisis de productividad, seguimiento de comunicaciones o monitorización de comportamiento de empleados sin transparencia ni base legal.

Pregunta 13 de 14

¿Qué obligaciones de transparencia quieres establecer sobre el uso de IA?

La transparencia sobre el uso de IA es una obligación ética y, en algunos casos, legal (AI Act). Selecciona las obligaciones que quieres incluir en tu política. Puedes seleccionar varias.

A

Avisar a los clientes cuando un documento, propuesta o comunicación ha sido generado o asistido por IA

Incluir una nota de transparencia en propuestas, informes o comunicaciones relevantes cuando la IA ha tenido un papel significativo en su elaboración.

B

Informar a los empleados cuando se usa IA en procesos que les afectan (RRHH, evaluación, formación)

Los empleados tienen derecho a saber si la IA participa en decisiones o procesos que les afectan directamente. Obligatorio bajo el AI Act para sistemas de alto riesgo en RRHH.

C

Registrar internamente los usos de IA en procesos críticos o que afecten a personas

Mantener un log o registro de cuándo y cómo se ha usado IA en decisiones importantes. Facilita auditorías y respuesta a reclamaciones.

D

Establecer revisión humana obligatoria antes de usar outputs de IA en decisiones importantes

Ningún output de IA se usa directamente sin que una persona competente lo revise y valide. Especialmente importante para análisis financieros, legales o de RRHH.

E

Obligación de verificar datos, cifras y referencias generados por IA antes de usarlos

Los modelos de IA pueden "alucinar" datos, citas o referencias que no existen. Establecer la obligación de verificar cualquier dato factual antes de usarlo en documentos oficiales.

F

Formación obligatoria en uso responsable de IA para quienes la usen en su trabajo

Cualquier empleado que use herramientas de IA en su trabajo debe completar una formación básica sobre uso responsable, privacidad y limitaciones de la tecnología.

Pregunta 14 de 14

¿Con qué frecuencia revisaréis y actualizaréis esta política?

El entorno regulatorio de la IA cambia rápidamente. El AI Act europeo entró en vigor en 2024 con plazos escalonados hasta 2027. Una política que no se revisa queda obsoleta en meses.

A

Cada 3 meses — Revisión trimestral

Recomendado para empresas en sectores regulados o con uso intensivo de IA. Permite adaptarse rápidamente a cambios regulatorios o de negocio.

B

Cada 6 meses — Revisión semestral

Equilibrio entre agilidad y carga administrativa. Adecuado para la mayoría de empresas con uso moderado de IA.

C

Anualmente — Revisión anual

Mínimo recomendable. Coincide con los ciclos de auditoría y planificación estratégica. Puede ser insuficiente en un entorno de cambio acelerado.

D

Cuando haya cambios regulatorios relevantes o incidentes de seguridad

Revisión reactiva: se actualiza la política cuando cambia la normativa (AI Act, RGPD, sectorial) o cuando ocurre un incidente que lo requiera.

Diagnóstico de privacidad y política de uso de IA