RGPD y asistentes IA: las claves de la conformidad

1. Calificar los roles: quién es responsable de qué

Primer reflejo: identificar quién hace qué.

• Usted es responsable del tratamiento (decide qué documentos se ingieren, con qué finalidad, para quién).
• El proveedor del asistente es encargado del tratamiento según el artículo 28 RGPD (trata datos personales por su cuenta).
• El alojador del proveedor es subencargado (encargado de segundo nivel).

Esta calificación activa todo lo demás — contratos, garantías, auditoría, registro.

2. El DPA (Data Processing Agreement) artículo 28

Antes de la primera ingesta, firme un DPA conforme al artículo 28 RGPD. Seis cláusulas no negociables:

1. El objeto, la duración, la naturaleza y la finalidad del tratamiento.
2. Los tipos de datos y categorías de personas afectadas.
3. Las obligaciones del encargado (instrucción documentada, confidencialidad, seguridad, auditoría).
4. La autorización y la lista de subencargados.
5. Las modalidades de fin de contrato (restitución o destrucción de los datos).
6. Las modalidades de auditoría (su derecho a auditar al encargado).

Si su proveedor no facilita este documento de forma espontánea, es mala señal. Nuestro DPA está disponible en nuestra página de seguridad.

3. La EIPD: cuándo es obligatoria, cómo hacerla

La evaluación de impacto (EIPD) es obligatoria si el tratamiento presenta un riesgo alto para los derechos y libertades. Para un asistente IA, se considera obligatoria en cuanto:

• Trata datos sensibles (salud, judiciales, opiniones).
• Trata datos de menores o personas vulnerables.
• El tratamiento es masivo y sistemático de datos personales.

En los demás casos (FAQ de producto, búsqueda documental interna sin datos personales sensibles), la EIPD no es obligatoria pero sigue siendo recomendable.

Una EIPD básica se hace en dos semanas con su DPO o un despacho asociado. Calcule entre 2.000 y 5.000 € según la complejidad.

4. Los derechos de las personas: lo que debe poder hacer su asistente

Una persona cuyos datos hayan sido ingeridos debe poder ejercer cinco derechos:

1. Acceso: conocer qué datos suyos están almacenados.
2. Rectificación: corregir un dato inexacto.
3. Supresión: que se eliminen sus datos.
4. Limitación: que se congele el tratamiento de sus datos.
5. Portabilidad: recuperar sus datos en un formato utilizable.

Compruebe que su proveedor cuenta con un procedimiento documentado para tratar estas solicitudes en menos de un mes. Si no, usted estará en infracción.

5. Los plazos de conservación

Defina, y documente, el plazo de conservación de cada tipo de dato:

• Documentos ingeridos (duración de la misión o uso legítimo, normalmente entre 1 y 10 años).
• Conversaciones de usuarios (normalmente de 6 a 12 meses).
• Registros de auditoría (normalmente de 12 meses a 3 años según la criticidad).

Pasado ese plazo, supresión automática. Es un parámetro del lado del proveedor, hay que verificarlo explícitamente.

6. Las transferencias fuera de la UE: evitarlas, o encuadrarlas

El RGPD solo autoriza las transferencias fuera de la UE con garantías específicas (cláusulas contractuales tipo, decisión de adecuación, BCR). Mejor todavía: ninguna transferencia. Ese es el sentido de la IA soberana: alojamiento en Francia, bajo jurisdicción francesa, operador francés.

7. El registro de actividades: lo que debe contener

Añada el asistente IA a su registro de actividades de tratamiento (artículo 30 RGPD), con:

• Finalidad del tratamiento.
• Categorías de personas y de datos.
• Destinatarios (internos, encargados).
• Plazo de conservación.
• Medidas de seguridad.
• Transferencias eventuales.

Es un documento interno, pero será requerido en caso de control de la CNIL — calcule dos horas para redactar una ficha correcta.

Para el detalle de los compromisos Forgeron3 en estos siete puntos, vea nuestra página seguridad y RGPD.