Inventariar las herramientas
Liste todas las herramientas de IA que usa el equipo, incluidas las gratuitas y las que vienen dentro de otros programas, y qué datos se introducen en cada una.
Inicio / Guías / Protección de datos
Guía práctica · Protección de datos · Unas 6 horas para el primer proveedor
Cómo cumplir el RGPD al usar IA con datos de clientes.
Pasos para que un despacho use herramientas de IA con datos de clientes conforme al RGPD y al Reglamento europeo de IA: inventario, contrato, riesgos y formación.
Respuesta rápida
Introducir datos de clientes en una herramienta de IA es un tratamiento de datos personales al que se aplican el RGPD, la Ley Orgánica 3/2018 y el Reglamento europeo de IA. El despacho debe inventariar las herramientas, prohibir las no autorizadas, firmar el contrato de encargo del artículo 28, comprobar las transferencias internacionales y excluir el uso de sus datos para entrenar modelos. También debe analizar los riesgos, actualizar su registro de actividades y formar al equipo, como exige el artículo 4 del Reglamento europeo de IA.
Paso a paso
8 pasos, con fuente.
Cuando un despacho introduce datos de sus clientes en una herramienta de IA realiza un tratamiento de datos personales. Se aplican el RGPD, la Ley Orgánica 3/2018 y, como responsable del despliegue de sistemas de IA, el Reglamento europeo de IA, cuyas obligaciones de alfabetización aplican desde el 2 de febrero de 2025.
Para quién: Despachos que usan o van a usar herramientas de IA.
Necesitará
- Registro de actividades de tratamiento del despacho
- Contratos con los proveedores de IA
- Guía de la AEPD sobre IA
Errores frecuentes
- Usar cuentas personales de herramientas gratuitas con datos de clientes.
- Firmar las condiciones generales sin revisar el uso para entrenamiento.
- No documentar la formación del equipo.
Prohibir lo no autorizado
Establezca por escrito qué herramientas están autorizadas y que no se pueden introducir datos de clientes en ninguna otra.
Firmar el contrato de encargo
Con cada proveedor autorizado, firme el contrato de encargo del tratamiento que exige el artículo 28 del RGPD y revise la lista de subencargados.
Comprobar transferencias internacionales
Verifique dónde se procesan los datos y, si salen del Espacio Económico Europeo, con qué garantías del capítulo V del RGPD.
Excluir el entrenamiento
Confirme por contrato o configuración que el proveedor no usa los datos del despacho para entrenar sus modelos.
Analizar riesgos y, si procede, evaluar el impacto
Documente los riesgos del tratamiento y consulte las listas de la AEPD para saber si se requiere una evaluación de impacto.
Actualizar el registro y la información
Incluya el tratamiento en el registro de actividades y revise la información que se da a los clientes sobre los encargados.
Formar al equipo
Forme a las personas que usan IA en qué datos pueden introducir, cómo revisar los resultados y cómo detectar errores, como exige el artículo 4 del Reglamento europeo de IA.
Fuentes
- Reglamento (UE) 2016/679, RGPDeur-lex.europa.eu/eli/reg/2016/679/oj
- BOE, Ley Orgánica 3/2018 de protección de datoswww.boe.es/buscar/act.php?id=BOE-A-2018-16673
- AEPD, adecuación al RGPD de tratamientos que incorporan IAwww.aepd.es/sites/default/files/2020-02/adecuacion-rgpd-ia.p
- AEPD, listas de tratamientos que requieren evaluación de impactowww.aepd.es/documento/listas-dpia-es-35-4.pdf
- AEPD, evaluaciones de impactowww.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de
- Reglamento (UE) 2024/1689, de inteligencia artificialeur-lex.europa.eu/eli/reg/2024/1689/oj
- Reglamento (UE) 2026/1744, ómnibus digital sobre IAwww.boe.es/buscar/doc.php?id=DOUE-L-2026-81147
Guía divulgativa de Partida Doble IA, actualizada a 16 de octubre de 2026. No sustituye a la normativa ni al asesoramiento profesional.
Más guías
Del procedimiento a la práctica.
Partida Doble IA automatiza la producción recurrente del despacho y la entrega lista para revisar y firmar.