Cuando una empresa pone en marcha un proyecto de IA que toca datos de clientes, candidatos o empleados, tarde o temprano aparece una obligación que no depende del proveedor elegido, sino de la propia empresa: mantener actualizado el registro de actividades de tratamiento, conocido habitualmente por sus siglas, RAT. Es uno de esos documentos que muchas pymes conocen de nombre porque lo mencionó su gestoría al implantar el RGPD, pero que rara vez se actualiza cuando llega un proyecto nuevo, y la IA suele ser precisamente el tipo de proyecto que se olvida de incorporar.
Qué es el RAT
El RAT es, en esencia, el inventario oficial de todo lo que tu empresa hace con datos personales: qué datos trata, con qué finalidad, quién tiene acceso, cuánto tiempo se conservan y qué medidas de seguridad se aplican en cada caso. El artículo 30 del RGPD obliga a las empresas a mantener este registro, y a tenerlo disponible para mostrarlo a la autoridad de control si lo solicita.
Puede resultar útil pensar en el RAT como el mapa de carreteras de todos los datos personales que circulan por tu empresa: qué entra, por dónde pasa, dónde se detiene y quién tiene llave de cada parada. Cuando incorporas un agente de IA que procesa currículums, tickets de soporte o historiales de compra, estás añadiendo una carretera nueva a ese mapa, y si no se documenta, el mapa deja de reflejar la realidad de tu empresa.
Por qué importa para la decisión de negocio
El primer motivo es que la falta de actualización del RAT no es un descuido menor a ojos de una autoridad de control: es una de las comprobaciones más habituales en cualquier inspección o ante una reclamación de un afectado, precisamente porque es fácil de verificar. Si tu empresa incorpora un proyecto de IA y no lo refleja en el registro, esa omisión por sí sola puede constituir un incumplimiento, incluso si el proyecto en sí es perfectamente legítimo y seguro.
El segundo motivo es que el RAT obliga a tu empresa a hacerse, antes de lanzar el proyecto, las preguntas que realmente importan: qué datos va a tratar exactamente el sistema de IA, con qué base legal, durante cuánto tiempo, y quién —dentro y fuera de la empresa— va a tener acceso a ellos. Muchos proyectos de IA se ponen en marcha sin que nadie se haya sentado a responder estas preguntas con precisión, y el RAT es, en la práctica, el ejercicio que fuerza a hacerlo.
El tercer motivo es la trazabilidad frente a terceros. Si un cliente o un empleado ejerce su derecho a saber qué se hace con sus datos, un RAT bien mantenido permite responder con exactitud en lugar de tener que reconstruir la respuesta a toda prisa. Esa capacidad de respuesta rápida y precisa es, en sí misma, una señal de solidez que los clientes valoran, especialmente en sectores donde la confianza es parte del producto.
Hay un cuarto motivo, menos evidente pero igual de práctico: el RAT facilita también la relación entre departamentos dentro de la propia empresa. Cuando el equipo legal, el de sistemas y el que impulsa el proyecto de IA comparten un mismo registro actualizado, se evitan malentendidos sobre qué datos se están tratando realmente, algo que ocurre con más frecuencia de la que parece en proyectos que crecen de forma orgánica sin una coordinación centralizada desde el principio.
Qué preguntas debe hacer tu empresa a su proveedor
Aunque el RAT es responsabilidad de tu empresa, no puedes completarlo sin información del proveedor de IA. Conviene pedirle:
- Un detalle exacto de qué categorías de datos personales trata el sistema, no solo una descripción general del servicio.
- La finalidad concreta del tratamiento desde su perspectiva como encargado: para qué usa los datos, además de para prestarte el servicio contratado.
- El plazo de conservación de los datos en sus sistemas, y si ese plazo es configurable por tu empresa.
- Si subcontrata a su vez a otros proveedores (subencargados) que también acceden a esos datos, para poder reflejarlo en tu propio registro.
- Un resumen de las medidas de seguridad técnicas y organizativas que aplica, que es la información mínima que el RAT exige documentar.
Esta información también suele ser la base para negociar o revisar el DPA que regula el tratamiento con ese proveedor: el RAT y el DPA se alimentan de los mismos datos, vistos desde ángulos distintos.
Qué NO es el RAT
Un error frecuente es pensar que el RAT es un documento que se rellena una vez, al implantar el RGPD, y ya no se vuelve a tocar. En realidad es un documento vivo: cada vez que tu empresa incorpora una nueva herramienta que trata datos personales —y un agente de IA lo hace casi siempre— el registro debería actualizarse antes de poner el proyecto en marcha, no meses después.
Tampoco es un trámite exclusivo de grandes corporaciones. Existe la percepción extendida de que solo las empresas grandes o las que tratan datos "sensibles" (salud, ideología, origen) necesitan mantenerlo, pero la obligación alcanza en la práctica a la inmensa mayoría de empresas que tratan datos de clientes o empleados de forma habitual, con independencia de su tamaño.
Otro malentendido común es confundir el RAT con una evaluación de impacto (EIPD). Son documentos distintos y complementarios: el RAT es el inventario descriptivo de todos los tratamientos, mientras que la evaluación de impacto es un análisis de riesgo más profundo que solo es obligatorio en tratamientos de alto riesgo. Un proyecto de IA puede requerir ambos, pero cumplir con uno no exime del otro. Por último, el RAT no es un documento legal que "protege" a la empresa frente a sanciones por sí solo: es la base documental que demuestra diligencia, pero no sustituye a las medidas de seguridad reales ni evita las sanciones si el tratamiento en sí incumple la normativa.
Conclusión
El registro de actividades de tratamiento es, para muchas empresas, el documento que revela si un proyecto de IA se ha implantado con el mismo rigor que cualquier otro proceso que toca datos personales, o si se ha colado por la puerta de atrás sin la revisión adecuada. Mantenerlo actualizado no es papeleo: es la prueba de que tu empresa sabe exactamente qué está haciendo con los datos de sus clientes y empleados.
Si tu empresa va a incorporar un proyecto de IA y quiere revisar cómo encaja en su registro de tratamientos, pide un diagnóstico gratuito y lo repasamos juntos.