RGPD e IA: qué datos personales salen en sus prompts
Última actualización : 2026-11-04
En cuanto un texto enviado a una IA contiene datos personales, el RGPD se aplica y la organización que decide enviar el texto y fija su finalidad sigue siendo, en principio, responsable del tratamiento; esta guía enumera los puntos que examinar y muestra dónde ayuda ndaact.ai.
Qué sale realmente en un prompt
Un prompt (el texto que pega o escribe en un asistente) suele contener más que la pregunta. Una carta que resumir, un expediente que analizar o un correo que reformular transmiten al proveedor del modelo los nombres, datos de contacto e identificadores de las personas citadas. Un nombre en un texto es un dato personal; enviarlo a un proveedor es un tratamiento.
Los puntos que examinar
La tabla recoge los artículos del RGPD que aparecen con más frecuencia en el uso de un asistente de IA. Cada fila indica en qué puede ayudar ndaact.ai y qué queda a su cargo.
| Punto que examinar | Qué dice el RGPD | Qué queda a su cargo | En qué puede ayudar ndaact.ai |
|---|---|---|---|
| Minimización | Los datos deben limitarse a lo necesario (art. 5, apartado 1, letra c) | Decidir qué datos son necesarios para la finalidad | Sustituir por marcadores las entidades detectadas antes del envío |
| Protección desde el diseño | Prever medidas técnicas adecuadas desde el principio (art. 25) | Elegir y documentar las medidas | Aportar una medida técnica local, en su PC |
| Proveedor de la IA | Un contrato regula al encargado del tratamiento (art. 28) | Examinar el contrato y los ajustes de su cuenta | Nada: depende de su proveedor |
| Transferencias fuera de la UE | Las transferencias a un tercer país están reguladas (art. 44 a 46) | Comprobar dónde trata los datos el proveedor | Reducir los datos identificativos que salen, sin suprimir la transferencia |
| Seguridad | Medidas técnicas y organizativas apropiadas (art. 32) | Evaluar el nivel de riesgo de su actividad | Seudonimización local con una tabla de correspondencia cifrada en su PC |
| Registro | Llevar un registro de las actividades de tratamiento (art. 30). Las organizaciones de menos de 250 empleados están exentas, salvo si el tratamiento puede entrañar un riesgo, no es ocasional o incluye datos sensibles (art. 30, apartado 5) | Redactar el registro y mantenerlo al día | Aportar una línea modelo: véase la guía sobre el registro |
| Evaluación de impacto | Obligatoria, antes del tratamiento, cuando este puede entrañar un alto riesgo (art. 35) | Decidir si es necesaria y llevarla a cabo | Nada: la decisión es suya |
Seudonimizar antes del envío: qué cambia
El RGPD define la seudonimización en el artículo 4, punto 5: un tratamiento tal que los datos ya no pueden atribuirse a una persona concreta sin información adicional, conservada por separado. ndaact.ai aplica esta idea antes del envío: las entidades detectadas se sustituyen por marcadores y la correspondencia permanece en su PC. El proveedor del modelo recibe el texto con marcadores en lugar de las entidades detectadas.
Para la diferencia con la anonimización y el estado de la jurisprudencia europea, véanse la guía sobre las definiciones y la guía sobre la sentencia C-413/23 P. Un dato seudonimizado sigue siendo, en principio, un dato personal: el RGPD sigue aplicándose.
Los límites que conviene conocer
- Solo se sustituyen las entidades detectadas. Una entidad no detectada sale en claro: relea el texto antes de enviarlo cuando haya mucho en juego.
- ndaact.ai no evalúa su base jurídica, su contrato con el proveedor ni la conveniencia de una evaluación de impacto.
- Un texto puede identificar a una persona sin nombrarla (una situación poco común, un contexto preciso). Ninguna herramienta de detección cubre este caso de forma fiable.
- El cumplimiento de un uso depende del conjunto: finalidad, base jurídica, contrato, información a las personas, seguridad. La medida técnica es solo una parte.
Antes de empezar
- Escriba la finalidad del uso de la IA en una frase.
- Recorra la tabla y anote, para cada fila, quién decide en su organización.
- Añada el uso a su registro, con el modelo de la guía específica.
- Pida a su DPO o a un asesor que lo revise, en particular las transferencias y la evaluación de impacto.
Fuente: RGPD, Reglamento (UE) 2016/679 de 27 de abril de 2016.