La pregunta no será por el modelo. Será por los datos.

La conversación empieza siempre por la herramienta. Qué modelo usamos. Si el proveedor es europeo o si entrena con lo que le mandamos. Casi nunca empieza por la pregunta que de verdad ordena el asunto: qué datos personales hay dentro y por qué están ahí.

Escribo en condicional porque esto es criterio propio y no dictamen. Pero si mañana alguien reclamara por un tratamiento hecho con ayuda de una máquina, la ventanilla previsible no querría hablar de arquitecturas. Querría hablar de datos.

Qué es la AEPD y de qué se ocupa

La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal, que actúa con plena independencia de los poderes públicos y supervisa la aplicación de la normativa de protección de datos. No es la única del país: hay comunidades autónomas con autoridad propia para los tratamientos del sector público de su ámbito. Para un despacho privado, la ventanilla previsible es la estatal. Su materia son los datos personales. No la tecnología con la que se tratan.

La distinción parece menor y no lo es. Un despacho puede tener la conversación de inteligencia artificial impecablemente trabajada y acabar respondiendo ante quien no pregunta por el modelo. Pregunta por el tratamiento.

La propia agencia publica orientación sobre los principios que ordenan cualquier tratamiento de datos Fuente primaria ↗. Ese material es anterior a la moda actual y sigue siendo el sitio por el que yo empezaría a mirar cualquier despliegue nuevo.

Cuando hay datos personales, la IA deja de ser el tema

Aquí es donde se rompe la creencia cómoda. Mucha gente ha ordenado su discurso alrededor del marco europeo de inteligencia artificial, que construye sus obligaciones sobre el papel que ocupa cada uno respecto del sistema y sobre el riesgo del uso concreto Fuente primaria ↗. Es un marco relevante. No es el único que sigue en pie.

Un tratamiento de datos personales continúa sometido a la normativa de protección de datos aunque la ejecución la haga un modelo en lugar de una persona. Nada en el debate sobre inteligencia artificial suspende esa normativa. Y esa normativa lleva años con procedimientos rodados y con una autoridad que no está estrenándose.

El resultado práctico es incómodo. Puedes tener clasificada tu herramienta con mucho esmero y recibir la reclamación por la otra puerta, donde a nadie le interesan los niveles de riesgo.

La primera pregunta es para qué, y con qué amparo

Toda conversación seria sobre un tratamiento empieza por la finalidad. Para qué se recoge esa información. Y en cuanto la finalidad está escrita aparece la siguiente: qué legitima ese tratamiento concreto.

Suena obvio hasta que se aplica a una herramienta que se coló en el despacho sin decisión formal. Nadie declaró una finalidad para el asistente que alguien empezó a usar porque le ahorraba media hora. Se declaró para el expediente, y luego el expediente entró en el asistente.

Yo no daría por hecho que la finalidad declarada para el asunto ampara automáticamente todo lo que la herramienta hace con ese material. Es una pregunta que prefiero contestar en frío.

La segunda es cuánto entra de verdad

La Agencia Española de Protección de Datos recuerda que la minimización obliga a que solo sean objeto de tratamiento los datos que resulten precisos para cada una de las finalidades específicas, y a limitar la extensión del tratamiento, el plazo de conservación y la accesibilidad Fuente primaria ↗. Con un modelo de lenguaje, ese principio choca de frente con la costumbre.

La costumbre es pegar el documento entero. Se pega porque funciona mejor y porque recortar cuesta tiempo. Nadie ha dicho nunca lo contrario. El resultado es que el sistema recibe bastante más de lo que la tarea necesitaba, y esa diferencia es exactamente la que tendría que explicar quien la ordenó.

No propongo una regla nueva. Propongo mirar una sola vez qué se está pegando dentro y si todo eso hacía falta para la pregunta que se le hizo a la máquina.

La tercera es qué se le contó a la persona afectada

Aquí veo el hueco más común. Los textos informativos que usan muchos despachos se escribieron antes de que ninguna de estas herramientas existiera. Describen un tratamiento que ya no coincide del todo con el que ocurre.

No hablo de añadir un párrafo alarmista sobre inteligencia artificial. Hablo de que quien lee esa información pueda hacerse una idea razonable de qué pasa con lo suyo. Si la práctica ha cambiado y el texto no, esa distancia es un problema que uno mismo dejó documentado por escrito.

Lo revisaría con calma antes de que lo revise otro.

La cuarta es hasta cuándo

Los plazos de conservación son la parte que más gente se salta, porque contestarla exige saber dónde vive el material de verdad. Y ahí casi siempre aparece algo que nadie había inventariado.

El expediente tiene su plazo, discutido y escrito. La copia que quedó dentro de la herramienta no suele tener ninguno. Nadie decidió conservarla. Nadie decidió borrarla, que a efectos prácticos se parece bastante.

Los registros de los sistemas con IA guardan más de lo que crees

Un sistema con inteligencia artificial escribe registros. Se activan por una razón sensata, que es poder demostrar después qué hizo. El problema es que un registro fiel del funcionamiento incluye aquello que se le entregó, y lo que se le entregó era el material del asunto.

El marco europeo impone deberes de registro y documentación a determinados sistemas según su clasificación Fuente primaria ↗. Ese deber justifica conservar evidencia del funcionamiento. Yo no leería ahí una autorización para almacenar cualquier contenido que el sistema sea capaz de escribir, y esa lectura conviene tenerla resuelta antes de que la pregunte alguien de fuera.

Porque la pregunta incómoda no es qué contiene el registro. Es quién puede abrirlo y con qué justificación. Un equipo de soporte que diagnostica una incidencia no entró por la misma puerta que el profesional responsable del asunto.

Lo que yo tendría preparado antes de que la AEPD pregunte

Nada ceremonial. Una página corta por cada herramienta que el despacho use de verdad, no por cada una que alguien probó una tarde.

En esa página escribiría para qué sirve la herramienta y qué información se le entrega. Debajo, hasta cuándo sobrevive ese material y quién más puede llegar a verlo. Si alguno de esos huecos no se puede rellenar hoy, ya no estamos ante un problema normativo. Estamos ante uno más simple, que es no saber qué se está usando.

Lo formulo así, en condicional, porque el criterio de cualquier autoridad se acredita leyendo lo que publica y no adivinando. Pero la parte que depende de ti no necesita esperar a nada. Saber qué herramienta trata qué información dentro de tu casa es trabajo interno y no admite excusa normativa.

Por qué esto se mira tarde

Mientras todo va bien, nadie abre esta carpeta. Se abre cuando llega la reclamación de alguien que no quedó contento. Entonces la conversación deja de ser sobre lo que hacías y pasa a ser sobre lo que puedes enseñar.

Ese día, explicar que la herramienta era muy buena no sirve de gran cosa. Sirve poder decir qué recogiste y para qué. Y poder enseñar dónde estaba escrito antes de que nadie preguntara.

Preguntan por la inteligencia artificial. Responde el expediente de siempre.

Lo que me preguntan cuando cierro el portátil.

¿Qué es la AEPD?

La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal que supervisa la aplicación de la normativa de protección de datos. Atiende reclamaciones y dispone de potestades de investigación y de sanción. Hay además comunidades autónomas con autoridad propia sobre los tratamientos del sector público de su ámbito. No es una autoridad de inteligencia artificial: su materia son los datos personales, con independencia de la tecnología que los trate.

¿Puede intervenir la AEPD si mi despacho usa inteligencia artificial?

Yo no lo descartaría. La cuestión no es si la herramienta es un modelo de lenguaje sino si el tratamiento afecta a datos personales. Si los afecta, la normativa de protección de datos sigue viva. Y esa normativa tiene su propia autoridad, con procedimientos que existían mucho antes de esta discusión.

¿Qué documentación tendría preparada un despacho que usa IA?

Empezaría por lo más elemental. Qué finalidad tiene cada herramienta que se usa de verdad y qué información se le entrega para cumplirla. Después llegan las otras dos. Qué se le ha contado a la persona afectada y cuánto tiempo sobrevive ese material dentro del sistema. Si esas respuestas no se pueden escribir hoy en una página, tampoco se improvisarán el día de la reclamación.

El expediente detrás del artículo.

Principios de protección de datos ↗Agencia Española de Protección de Datos · Guía
Orientación institucionalReglamento europeo de inteligencia artificial ↗EUR-Lex · Reglamento (UE) 2024/1689 · 2024
Normativa UE; comprobar versión y calendario

Fuentes consultadas el 9 de septiembre de 2026. Las recomendaciones y ejemplos son elaboración editorial: no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.