Registro de actividades (art. 30 RGPD) e IA: la línea para copiar
Última actualización : 2026-10-11
Una línea de registro por finalidad, con la seudonimización local como medida técnica; el modelo de línea está más abajo.
Qué exige el artículo 30
El artículo 30, apartado 1, del RGPD obliga al responsable del tratamiento a llevar un registro escrito, también en formato electrónico, que contenga: su identidad y datos de contacto, los fines, las categorías de interesados y de datos personales, las categorías de destinatarios, las transferencias a un tercer país cuando proceda, los plazos de supresión y una descripción general de las medidas de seguridad (estos dos últimos «cuando sea posible»). El registro se pone a disposición de la autoridad de control cuando lo solicite.
El apartado 5 exime a las organizaciones de menos de 250 empleados, salvo que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos (salud, por ejemplo). Un despacho que somete con regularidad expedientes a un asistente de IA puede, por tanto, estar afectado.
La autoridad francesa, la CNIL, publica un modelo de registro simplificado en formato ODS. Sus campos siguen los del artículo.
Qué debes inscribir
Usar ChatGPT o Claude con documentos de trabajo es un tratamiento de datos personales: los nombres, datos de contacto e identificadores de las personas citadas en el texto se transmiten al proveedor del modelo. Basta una línea por finalidad: «redactar escritos», «resumir expedientes» y «preparar alegaciones» son tres líneas si sus datos o destinatarios difieren.
El modelo de línea
Copia la tabla en tu registro y completa cada celda marcada «Por completar». Las demás celdas describen el comportamiento de ndaact.ai; revísalas y adáptalas a tu uso real.
| Campo | Contenido propuesto |
|---|---|
| Nombre del tratamiento | Uso de una herramienta de ocultación antes del envío a un LLM (ChatGPT, Claude) |
| Responsable y contacto (art. 30.1.a) | Por completar: nombre, datos de contacto, DPD en su caso |
| Finalidad (art. 30.1.b) | Ejemplo por adaptar: redactar, resumir o analizar documentos profesionales con un asistente de IA, sustituyendo por marcadores los datos identificativos detectados antes del envío |
| Base jurídica | Por completar. El artículo 30, apartado 1, no exige este campo, pero tu análisis de licitud debe existir en otro lugar |
| Interesados (art. 30.1.c) | Por completar según tu actividad: clientes, pacientes, contrapartes, empleados, personas citadas en los documentos |
| Categorías de datos (art. 30.1.c) | Datos contenidos en los textos enviados: identidad, datos de contacto, identificadores (número de la seguridad social francesa, IBAN, números de empresa), datos de salud en su caso. Las entidades detectadas se sustituyen por marcadores antes del envío; una entidad no detectada sale en claro. Por completar con tus categorías reales |
| Destinatarios (art. 30.1.d) | El proveedor del modelo utilizado (por nombrar), que recibe el texto con marcadores en lugar de las entidades detectadas. El editor de ndaact.ai no recibe el contenido de los textos |
| Transferencias fuera de la UE (art. 30.1.e) | Por completar según el contrato y los ajustes de tu proveedor. No presumas que no hay transferencia |
| Conservación y supresión (art. 30.1.f) | Por completar. Lado proveedor: plazo definido por los ajustes de tu cuenta y su contrato. Lado equipo: el registro de auditoría local permanece mientras no lo elimines |
| Medidas de seguridad (art. 30.1.g) | Seudonimización local con marcadores antes del envío, en el equipo del usuario. Tabla de correspondencia marcador-valor en una base local cifrada (AES-256). En la extensión, el envío se bloquea si la protección no está disponible, salvo desactivación voluntaria del usuario. Registro de auditoría local encadenado por huella. Límite que conviene indicar: la detección puede dejar escapar entidades |
Qué ofrece el registro de auditoría local
La aplicación de escritorio mantiene un registro local, de solo adición, encadenado con huellas SHA-256. Para cada operación anota la marca de tiempo, el proveedor, el estado de la solicitud, los volúmenes intercambiados y, por cada entidad detectada, su tipo y su posición en el texto. La pantalla «Journal» de la aplicación muestra el número de entidades por categoría. El valor original no aparece en él.
Este registro documenta la medida técnica del último campo: muestra que se detectaron y sustituyeron entidades, en qué fecha y en qué categoría.
Qué no ofrece el registro de auditoría
- No contiene los valores originales ni el texto de los prompts.
- No identifica a la persona que realizó la operación: anota el equipo, sin nombre de usuario.
- No prueba que ninguna entidad haya quedado en claro: solo enumera lo que se detectó.
- No sustituye al registro de actividades. El registro de actividades es un documento que redactas y mantienes al día; el registro de auditoría es una pieza técnica de apoyo.
- En la fecha de esta guía, la aplicación no ofrece un botón para exportar el registro de auditoría en un formato listo para un DPD o una inspección.
Antes de usar la línea
- Copia la tabla en tu registro, una línea por finalidad.
- Completa las celdas «Por completar» y comprueba que el proveedor del modelo figure entre los destinatarios.
- Pide a tu DPD o a un asesor que revise la línea, en particular la base jurídica y las transferencias.
Fuente: RGPD, artículo 30, Reglamento (UE) 2016/679 de 27 de abril de 2016; CNIL, «Le registre des activités de traitement», 13 de abril de 2018.
Esta página es una traducción. Prevalece la versión francesa.