Una auditoría de protección de datos —ya la convoque un cliente corporativo dentro de un proceso de compra, la propia empresa como revisión interna, o la autoridad de control tras una reclamación— casi nunca empieza preguntando si el sistema de IA funciona bien. Empieza preguntando si la empresa puede demostrar cómo funciona, con qué datos, bajo qué base legal y con qué garantías. Y ahí es donde muchas empresas que usan IA a diario descubren que la información existe, pero está repartida entre la cabeza de dos personas, un contrato mal archivado y ninguna carpeta que lo reúna todo.
Este artículo no explica qué es cada documento legal en profundidad —eso ya lo hacemos en qué es el RAT en un proyecto de IA y en qué es una auditoría de un sistema de IA— sino cómo montar, con lo que probablemente ya tienes, el dosier concreto que un auditor va a pedir ver cuando llegue el momento. Como siempre que se trata de cumplimiento normativo: esta es una guía divulgativa y operativa, no asesoría legal. Ante un caso concreto, especialmente si hay una inspección real en marcha, consulta con un abogado especializado en protección de datos o con tu delegado de protección de datos (DPO).
Por qué la documentación, y no la tecnología, es lo primero que se revisa
Un auditor de protección de datos rara vez empieza inspeccionando el código o los prompts del sistema. Empieza pidiendo papel: el registro de actividades de tratamiento, los contratos con proveedores, las evaluaciones de riesgo si las hay. La razón es práctica: es mucho más rápido detectar un incumplimiento comprobando si existe la documentación exigida que auditando el comportamiento técnico completo de cada sistema. Si la documentación no existe o está incompleta, el auditor razonablemente asume que el resto del cumplimiento tampoco está bajo control, aunque el sistema en sí funcione correctamente.
El inventario: un listado de cada uso de IA que trata datos personales
El primer bloque del dosier es sencillo de enunciar y laborioso de montar la primera vez: una lista de todos los sistemas de IA que tu empresa usa y que en algún momento tocan datos de clientes, candidatos o empleados. No solo el agente de IA "oficial" del departamento comercial; también la herramienta de transcripción de reuniones, el asistente que redacta respuestas de soporte, el sistema que filtra currículums. Es habitual que este inventario, hecho con honestidad, revele dos o tres herramientas que nadie había registrado formalmente porque "las probamos hace unos meses y se quedaron".
Para cada sistema del inventario conviene anotar: qué datos personales procesa, con qué finalidad, quién de la empresa lo usa y desde cuándo está en marcha. Este inventario es, en la práctica, la materia prima que después alimenta el registro de actividades de tratamiento.
Actualiza el registro de actividades de tratamiento antes de que lo pida nadie
Si el inventario anterior revela un uso de IA que no está reflejado en el RAT de tu empresa, esa es la primera corrección que hay que hacer, y conviene hacerla antes de que llegue la auditoría, no durante ella. Un RAT desactualizado que no incluye el uso real de IA es, para muchos auditores, la señal más clara de que el cumplimiento se ha gestionado de forma reactiva y no proactiva.
La cadena de proveedores: qué debe constar sobre quién trata los datos por ti
La mayoría de agentes de IA que usa una pyme no corren en servidores propios, sino sobre la infraestructura de un proveedor externo (el fabricante del modelo, la plataforma que lo orquesta, a veces un tercero adicional). Cada uno de estos eslabones es, a efectos de protección de datos, un encargado o subencargado del tratamiento, y el dosier debe recoger, para cada uno: el contrato o acuerdo de tratamiento de datos (DPA) firmado, dónde se alojan los datos, cuánto tiempo se conservan y si existen subencargados adicionales que el proveedor principal contrata a su vez. Este es, casi siempre, el punto donde más huecos aparecen, porque muchas empresas aceptan los términos de servicio de una herramienta de IA sin revisar ni guardar constancia de esta cadena completa.
La evaluación de impacto: cuándo hace falta y qué debe recoger
No todo uso de IA con datos personales requiere una evaluación de impacto (EIPD) formal, pero cuando el sistema participa en decisiones que afectan de forma significativa a personas —selección de personal, scoring de clientes, decisiones automatizadas sin intervención humana relevante— sí suele ser exigible. Si tu empresa no tiene claro si su caso concreto requiere una EIPD, esa es exactamente la pregunta que debe resolver el DPO o un asesor legal antes de la auditoría, porque la ausencia de una evaluación de impacto en un caso que sí la requería es una de las carencias más difíciles de justificar a posteriori.
Evidencias del día a día que conviene guardar desde ya
Más allá de los documentos formales, un auditor valora encontrar evidencia de que el cumplimiento se practica, no solo se declara. Algunas evidencias sencillas de mantener: capturas o registros de las configuraciones de retención de datos activadas en cada herramienta, un histórico de las revisiones humanas realizadas sobre decisiones del sistema, y constancia de la formación dada al personal que supervisa el sistema. Ninguna de estas evidencias exige un sistema sofisticado; una carpeta compartida bien organizada y actualizada mes a mes suele ser suficiente para la mayoría de pymes.
Cómo organizar el dosier para que sea útil el día de la auditoría
Un dosier disperso en correos y carpetas personales no sirve de nada aunque toda la información exista. La forma más práctica de organizarlo es una carpeta única por sistema de IA, con subcarpetas para: inventario y finalidad, contrato y DPA con el proveedor, entrada correspondiente en el RAT, evaluación de impacto si aplica, y evidencias de uso. Nombrar de forma consistente cada documento y revisar la carpeta completa cada trimestre —no solo cuando se anuncia una auditoría— es lo que marca la diferencia entre preparar la documentación con calma y reconstruirla a toda prisa con la fecha de la auditoría ya encima.
Qué preguntará probablemente el auditor
En la práctica, casi cualquier auditoría de protección de datos sobre sistemas de IA gira en torno a preguntas parecidas: qué datos trata cada sistema y con qué base legal, quién tiene acceso a ellos, cuánto tiempo se conservan, qué garantías ofrece cada proveedor externo implicado, y si existe supervisión humana sobre las decisiones relevantes que toma el sistema. Si el dosier descrito en este artículo está montado y actualizado, responder a estas preguntas es cuestión de minutos, no de una reconstrucción improvisada.
Conclusión
Documentar el uso de IA para pasar una auditoría de protección de datos no exige inventar procesos nuevos, exige reunir de forma ordenada lo que ya deberías tener: un inventario de sistemas, el registro de actividades de tratamiento al día, los contratos con cada proveedor, la evaluación de impacto cuando corresponda y evidencia real del día a día. Hacerlo antes de que llegue la auditoría es, con diferencia, más barato que hacerlo durante ella.
En MG Solutions ayudamos a empresas a montar esta documentación como parte del propio proyecto de IA, no como un trámite posterior. Si quieres revisar en qué punto está tu empresa, reserva una primera reunión y lo vemos juntos, siempre recomendando la validación de un profesional legal para tu caso concreto.