En cuanto una empresa empieza a usar un agente de IA que procesa datos de clientes, empleados o proveedores, aparece una pregunta que el RGPD lleva años haciendo pero que la IA vuelve más urgente: ¿quién es exactamente el responsable del tratamiento de datos con IA en esta relación? No es una duda académica. De la respuesta depende quién tiene que cumplir qué obligaciones, quién responde ante una inspección y quién es el primer contacto si algo sale mal.
Este artículo explica cómo se reparten estos roles cuando usas un agente de IA, con ejemplos prácticos. Es una guía orientativa: la calificación jurídica exacta de cada caso depende de cómo esté configurado el servicio y del contrato firmado, así que para tu situación concreta lo correcto es consultar con un abogado o con tu delegado de protección de datos.
Responsable y encargado del tratamiento: la distinción que lo explica todo
El RGPD distingue dos figuras centrales. El responsable del tratamiento es quien decide para qué se usan los datos personales y con qué medios: es quien fija la finalidad. El encargado del tratamiento es quien trata esos datos por cuenta del responsable, siguiendo sus instrucciones, sin decidir por su cuenta para qué se usan.
Cuando tu empresa usa un agente de IA para atender clientes, gestionar candidaturas o analizar información interna, casi siempre tu empresa es la responsable del tratamiento: eres tú quien decide qué datos se procesan y con qué fin. El proveedor de la tecnología de IA, en la mayoría de los casos, actúa como encargado del tratamiento: procesa los datos porque tú se lo permites y para el fin que tú defines.
Por qué tu empresa es, casi siempre, la responsable
Esto sorprende a algunas empresas que asumen que, al "delegar" en una IA de un tercero, también delegan la responsabilidad legal sobre esos datos. No es así. El hecho de que un proveedor externo aporte la tecnología no cambia quién decide la finalidad del tratamiento: si tú decides usar IA para analizar currículums, atender consultas o segmentar clientes, tú sigues siendo quien responde de que ese tratamiento cumpla el RGPD, con independencia de qué motor tecnológico haya detrás.
Este principio conecta con algo que ya explicamos en IA y RGPD en la empresa: la tecnología cambia, pero las obligaciones del RGPD sobre licitud, minimización y transparencia se mantienen intactas, y recaen sobre quien decide usar los datos, no sobre quien los procesa técnicamente.
Cuándo el proveedor de IA puede ser corresponsable
Hay situaciones más matizadas en las que el proveedor no actúa como simple encargado, sino como corresponsable del tratamiento, o incluso como responsable independiente para determinados usos. Esto ocurre, por ejemplo, cuando:
- El proveedor usa los datos que procesa tu agente de IA también para sus propios fines (mejorar su producto general, entrenar modelos más allá de tu instancia) sin que sea una instrucción tuya.
- El proveedor y tu empresa deciden conjuntamente aspectos esenciales del tratamiento, como qué categorías de datos se recogen o durante cuánto tiempo se conservan.
Esta distinción no es un matiz teórico: cambia radicalmente qué obligaciones tiene cada parte y a quién puede reclamar un afectado. Es una de las razones por las que conviene leer con atención qué dice el contrato de tu proveedor sobre el uso de tus datos, un punto que también tratamos en qué cláusulas revisar en un contrato de servicios de IA.
El documento que formaliza esta relación: el DPA
Cuando tu empresa es la responsable y el proveedor actúa como encargado, el RGPD exige que esa relación se formalice por escrito mediante un acuerdo de tratamiento de datos, conocido habitualmente como DPA (Data Processing Agreement). Sin este documento firmado, tu empresa está incumpliendo el RGPD aunque el resto del contrato de servicios esté en regla. Dedicamos un artículo completo a explicar en qué consiste exactamente y qué debe incluir en qué es un DPA (acuerdo de tratamiento de datos).
Y si tu proveedor de IA subcontrata a otros: los subencargados
Es habitual que el proveedor de IA con el que firmas no sea quien procesa físicamente todos los datos: puede apoyarse en infraestructura de un tercero (un proveedor de nube, el fabricante del modelo de lenguaje subyacente) para prestarte el servicio. Estos terceros son, a su vez, subencargados del tratamiento, y el RGPD exige que su intervención esté autorizada, identificada y sujeta a las mismas garantías que el encargado principal asumió contigo.
En la práctica, esto significa que deberías poder preguntar a tu proveedor de IA, y obtener respuesta clara, sobre qué subencargados usa, para qué parte concreta del servicio, y si te notificará antes de incorporar uno nuevo. Un proveedor serio no tiene problema en compartir esta información; la opacidad en este punto suele ser una señal de alerta más que una cuestión de confidencialidad legítima.
Qué pasa si tu proveedor de IA incumple sus obligaciones
Aquí es donde muchas empresas dan por hecho, erróneamente, que quedan a salvo. Si tu proveedor incumple sus obligaciones como encargado —por ejemplo, sufre una brecha de seguridad por negligencia propia— tu empresa, como responsable, sigue teniendo que responder ante las autoridades y ante los afectados, sin perjuicio de que después puedas reclamar al proveedor según lo pactado contractualmente. Por eso el DPA y las garantías de seguridad del proveedor no son un formalismo: son tu principal herramienta de protección si algo falla del lado técnico.
Checklist para clarificar roles antes de usar un agente de IA
Antes de poner en marcha cualquier agente de IA que trate datos personales, conviene verificar:
- Quién decide la finalidad del tratamiento: normalmente tú, confírmalo por escrito si hay dudas.
- Si existe un DPA firmado con el proveedor que actúa como encargado.
- Si el proveedor usa tus datos para fines propios (entrenamiento de modelos generales) y si eso está autorizado expresamente.
- Dónde se almacenan los datos y si eso implica una transferencia internacional que requiera garantías adicionales.
- Quién es el punto de contacto ante una incidencia de seguridad, y en qué plazo debe notificártela el proveedor.
Conclusión
En la gran mayoría de los casos, tu empresa es la responsable del tratamiento de datos cuando usa un agente de IA, y el proveedor tecnológico actúa como encargado bajo tus instrucciones. Confirmar esto por escrito, con un DPA en regla, no es papeleo: es la base sobre la que se sostiene el cumplimiento del RGPD en toda tu operación con IA.
En MG Solutions ayudamos a nuestros clientes a mapear estos roles desde el primer día de un proyecto de IA. Si quieres revisar cómo está tu caso, pide tu diagnóstico gratuito y sin compromiso.