La regla corta es esta: si un agente de IA va a leer, guardar o procesar datos de salud, ideología, religión, afiliación sindical u otras categorías delicadas, para y consulta a tu asesor de protección de datos antes de seguir. No hace falta saber de leyes para detectar el momento; basta con conocer las señales y tener una lista de paradas a mano.
Una multinacional tiene un departamento jurídico y un delegado de protección de datos que revisan cada proyecto antes de lanzarlo. Una pyme no, pero sí puede tener un asesor de confianza y un hábito sencillo: cuando el proyecto roza datos delicados, se detiene, se pregunta y solo entonces se continúa. Este artículo no sustituye ese asesoramiento; te ayuda a saber cuándo pedirlo.
¿Cuándo va a tocar un agente de IA datos sensibles?
Muchas veces sin que nadie lo haya previsto. Un agente que lee el correo de la empresa, atiende un chat o procesa formularios acaba con datos que nadie le había pedido. Estas son las señales de que probablemente vas a entrar en terreno delicado:
- Campos de texto libre. Donde el cliente o el empleado escribe lo que quiere, escribirá cosas como "estoy de baja por una operación" o "no puedo ir los viernes por la oración".
- Correos y adjuntos. Certificados médicos, justificantes, documentos de identidad, informes. El agente los verá si tiene acceso a la bandeja.
- Recursos humanos. Bajas, partes médicos, nóminas con retenciones sindicales, currículums con foto, estado civil o situación familiar.
- Sectores con datos de salud. Clínicas, fisioterapia, psicología, gimnasios con historial físico, ópticas, farmacias, residencias, aseguradoras.
- Imagen, voz o huella. Si el agente va a reconocer personas por su cara, su voz o su huella, estás ante datos biométricos.
- Entidades con carácter ideológico o religioso. Asociaciones, comunidades, partidos, sindicatos, entidades sociales.
- Menores o personas en situación de vulnerabilidad.
- Perfilado de personas. Cuando el agente puntúa candidatos, clasifica clientes por riesgo o predice quién va a darse de baja.
Si reconoces una sola de estas señales en tu proyecto, merece una parada.
¿Qué datos piden más cuidado?
El RGPD, la norma europea de protección de datos, da un trato reforzado a ciertas categorías de información personal: entre ellas, los datos de salud, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, el origen étnico o racial, la vida u orientación sexual y los datos genéticos o biométricos cuando sirven para identificar a una persona. Tu asesor te confirmará la lista completa y qué exige cada caso.
Hay además datos que, sin ser de esas categorías, piden prudencia: los de menores, los económicos y los documentos de identidad. Aquí no se trata de memorizar una lista, sino de acostumbrarse a preguntar "¿esto es algo que esta persona querría que viera un programa?". Si la respuesta es dudosa, es una señal para parar. Hay más orientación general en la guía para gestionar datos sensibles en la empresa.
La lista corta: seis paradas obligatorias
Antes de que el agente toque esos datos, deberías poder responder a estas seis cuestiones. Si alguna no tiene respuesta, no se avanza:
- ¿Qué dato exacto y para qué? Sin una finalidad clara y concreta, no hay motivo para que el agente lo vea.
- ¿Hay fundamento para tratarlo? Esa valoración la hace tu asesor o tu delegado de protección de datos, no el proveedor ni el agente.
- ¿Quién más lo verá? El proveedor del agente, las herramientas conectadas, los servicios en la nube. Debe constar qué proveedor interviene, con qué contrato y dónde se guardan los datos.
- ¿Se puede hacer con menos? Quizá el agente funcione con el dato recortado, anonimizado o sin el campo delicado.
- ¿Hace falta una evaluación previa? Algunos tratamientos exigen analizar los riesgos antes de empezar. Lo determina el asesor.
- ¿Hay decisiones sobre personas? Contratar, despedir, evaluar, denegar un servicio: las toma siempre una persona, con el agente como mucho preparando información.
Después de estas seis, conviene dejar anotadas las respuestas. Será lo primero que te pidan si algún día hay una revisión; cómo prepararla se explica en cómo documentar el uso de IA para pasar una auditoría de protección de datos.
Qué hace el agente y qué hace una persona
Mientras las paradas se resuelven, el reparto de papeles debe quedar claro.
El agente puede ayudar a localizar dónde hay datos delicados (por ejemplo, avisando de que un formulario recibe campos libres con información de salud), preparar el resumen de una página para tu asesor y aplicar las reglas que se decidan, como no leer ciertas carpetas, ocultar determinados campos o derivar a una persona los casos que los contengan.
Una persona decide si se trata ese dato o no, qué base lo ampara, con qué proveedor, durante cuánto tiempo se conserva y qué se responde a quien ejerza sus derechos. Esas decisiones no se delegan. Para el trato de las solicitudes de los interesados, automatizar la gestión de solicitudes RGPD muestra qué parte puede ordenar un agente y cuál sigue siendo de una persona.
¿Qué haces mientras esperas la respuesta del asesor?
No tienes por qué paralizar todo el proyecto. Hay formas de avanzar sin exponer datos reales de nadie:
- Piloto con datos ficticios. Prepara casos inventados que se parezcan a los reales para probar el comportamiento del agente.
- Datos anonimizados. Si el asesor lo avala, usa ejemplos sin nombres ni identificadores.
- Alcance reducido. Empieza por la parte del proceso que no toca datos delicados (por ejemplo, la agenda o la facturación) y deja para después la parte con datos de salud.
- Reglas de exclusión. Configura desde el principio qué carpetas, buzones o campos no debe leer.
Lo que no conviene es lo contrario: arrancar con datos reales "para ver qué tal" y regularizar después. Una vez que los datos han pasado por un sistema, deshacerlo es más difícil que haber esperado.
Cómo llevar el caso al asesor en una página
Para que la consulta sirva, prepara un documento corto con cuatro apartados: qué hace el agente (en dos frases), qué datos toca y de quién, qué herramientas y proveedores intervienen, y qué decisiones se toman con ayuda de sus resultados. Cuanto más concreto, más útil será la respuesta. Si no sabes rellenar alguno, ese apartado ya te dice por dónde empezar.
Conclusión
Un agente de IA acaba tocando datos delicados con más facilidad de la que parece: por un campo libre, un adjunto o una bandeja de correo. La mejor defensa es conocer las señales, hacerse las seis preguntas de la lista y consultar al asesor antes de tratar cualquier dato de salud, ideología, religión u otras categorías sensibles.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica. Y cuando un proyecto toca datos delicados, lo planteamos para que tu asesor pueda revisarlo antes de que el agente empiece a trabajar con ellos.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.