Un docente prepara materiales con una herramienta de IA. Otro la prueba para redactar un comunicado a las familias. Un tercero se la pregunta a la dirección: "¿Esto hay que apuntarlo en algún sitio?". En protección de datos, la respuesta suele ser que sí, siempre que entren datos personales. Y muchos centros tienen ya un registro de actividades de tratamiento hecho hace años, para matrículas, notas o comedor, donde la IA no aparece.
Esta guía explica cómo reflejar los usos de IA en ese registro: qué campos actualizar, quién responde de cada cosa y qué evidencia conviene guardar por si llega una inspección o una reclamación. Es información general y no sustituye el asesoramiento jurídico: tu delegado de protección de datos (DPD) te dirá qué corresponde exactamente a tu centro, sea público, concertado o privado.
Qué es el registro y qué tiene que ver con la IA
El registro de actividades de tratamiento es el documento en el que el centro, como responsable, describe cada actividad en la que usa datos personales: para qué, de quién, qué datos, quién los recibe, cuánto tiempo se conservan y con qué medidas de seguridad. El Reglamento general de protección de datos (RGPD) lo exige con carácter general.
La conexión con la IA es directa. Si una herramienta de IA recibe datos personales del alumnado, de las familias o del personal, ese uso es un tratamiento, o forma parte de uno, y debe poder rastrearse en el registro. Si el uso no toca datos personales (un ejercicio de fracciones generado sin nombres, por ejemplo), no hay tratamiento que anotar, aunque conviene apuntarlo en un inventario interno.
Paso 1: haz un inventario de usos, sin reproches
Pregunta al claustro y a administración qué herramientas de IA usan, para qué y con qué información. Hazlo sin buscar culpables: si quien ya la usa teme la reacción, no te lo contará y el inventario quedará incompleto. Ordénalo así:
| Uso | ¿Entran datos personales? | ¿Afecta al alumnado? |
|---|---|---|
| Preparar materiales o ejercicios | No, si se hace sin nombres ni datos | Indirectamente |
| Borradores de comunicados a las familias | Depende de si se incluyen nombres o casos | Sí |
| Apoyo a comentarios de trabajos | Sí, si hay textos o datos del alumnado | Sí |
| Funciones de IA dentro de una plataforma educativa | Sí | Sí |
| Adaptar materiales para alumnado con necesidades educativas | Muy probablemente, y de especial sensibilidad | Sí |
Paso 2: decide dónde anotar cada uso
Hay tres situaciones habituales:
- Es un tratamiento nuevo, con una finalidad nueva: se crea una ficha propia en el registro.
- Es el mismo tratamiento de siempre, pero con una herramienta nueva: se actualiza la ficha existente (proveedor, destinatarios, medidas, transferencias).
- No hay datos personales: se anota en el inventario interno de usos, no en el registro.
Si una herramienta se usa para apoyar tareas de evaluación, recuerda que las calificaciones y las decisiones sobre el alumnado las toma siempre el profesorado; la herramienta nunca decide.
Paso 3: qué campos revisar en cada ficha
- Finalidad. Descríbela con precisión: "preparar borradores de comunicados sin datos identificativos" es mejor que "mejorar la enseñanza".
- Personas y datos. Indica si afecta a alumnado, familias o docentes, y qué tipo de datos. Los datos de salud o de necesidades educativas exigen la máxima cautela y no deberían introducirse en estas herramientas sin una base legal clara y el visto bueno de tu DPD.
- Destinatarios y proveedor. El proveedor de la herramienta es un destinatario o un encargado del tratamiento, y eso suele requerir un contrato o unas condiciones revisadas.
- Transferencias internacionales. Pregunta dónde se procesan los datos. Tienes pistas en dónde viajan los datos del alumnado al usar una plataforma de IA.
- Plazos de conservación. Qué se guarda en la herramienta, durante cuánto tiempo y cómo se borra.
- Medidas de seguridad. Cuentas institucionales en lugar de personales, accesos controlados y revisión del docente antes de usar el resultado.
- Base legal. La que corresponda al caso. El artículo 7 de la LOPDGDD establece que el tratamiento de datos personales de un menor solo podrá fundarse en su consentimiento cuando sea mayor de catorce años, salvo los supuestos en que la ley exija la asistencia de quienes ejercen la patria potestad o tutela. Un proyecto de ley orgánica publicado el 11 de abril de 2025 propone elevar esa edad a 16 años; es solo un proyecto, así que comprueba su estado con tu DPD.
- Marca del Reglamento europeo de IA. Añade una casilla que diga si el uso podría rozar alguna categoría delicada. El Reglamento prohíbe, entre otras prácticas, el reconocimiento de emociones en centros educativos y en lugares de trabajo, y la Comisión Europea indica que las ocho primeras prohibiciones son efectivas desde febrero de 2025. Además, su anexo III clasifica como de alto riesgo, en educación, los sistemas destinados a determinar el acceso o la admisión, a evaluar resultados de aprendizaje, a evaluar el nivel de educación al que accederá una persona y a vigilar y detectar comportamientos prohibidos durante las pruebas. Es una clasificación de alto riesgo, no una prohibición, y tras el Digital Omnibus sus obligaciones se aplican desde el 2 de diciembre de 2027.
La AEPD recuerda, en su decálogo «Cuidado con lo que le confIAs» del 27 de enero de 2026, que la infancia y la adolescencia pueden no ser plenamente conscientes de los riesgos de compartir información con una herramienta de IA. Son recomendaciones, no obligaciones legales por sí mismas, pero son un buen motivo para ser prudentes al rellenar estos campos.
Paso 4: quién responde de qué
| Quién | Qué hace |
|---|---|
| Dirección o titularidad del centro | Es responsable del tratamiento: aprueba cada uso y firma la ficha |
| Delegado de protección de datos | Asesora y supervisa; no decide por el centro |
| Coordinación TIC o digital | Aporta la información técnica: dónde se alojan los datos, qué cuentas hay |
| Docentes | Comunican qué herramientas usan y siguen las normas; no instalan herramientas por su cuenta |
| Equipo directivo | Revisa el registro al menos una vez por curso y tras cualquier cambio de herramienta |
Un agente de IA puede ayudarte con la parte mecánica, como recordar las fechas de revisión, comparar fichas y preparar borradores. Pero no decide la base legal ni valora el riesgo, y para esas tareas no debe recibir datos personales: trabaja con descripciones generales, y la validación final es del DPD y de la dirección.
Paso 5: la evidencia que conviene guardar
Lo ideal es poder reconstruir en una tarde qué se decidió, quién y cuándo. Una lista de comprobación:
- Ficha del registro actualizada, con fecha y versión.
- Decisión de la dirección sobre el uso de la herramienta, con fecha.
- Consulta o informe del delegado de protección de datos.
- Contrato o condiciones del proveedor, y dónde se tratan los datos.
- Instrucciones dadas al profesorado sobre qué se puede y qué no se puede introducir.
- Comunicación a las familias sobre el uso de herramientas de IA en el centro.
- Registro interno de las formaciones al profesorado. La Comisión Europea aclara, a propósito de la obligación de alfabetización en IA del Reglamento, que no hace falta ningún certificado: las organizaciones pueden llevar un registro interno de las formaciones y de otras iniciativas de orientación.
- Registro de incidencias y de cómo se resolvieron.
Ante una inspección o una reclamación
Según la Agencia Española de Protección de Datos, en 2025 recibió 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior, y el importe total de las sanciones impuestas ese año ascendió a 48.108.765 euros, según su Memoria 2025, presentada el 6 de mayo de 2026. Son datos de protección de datos en general, no solo de IA ni de colegios, y la nota no desglosa el peso de la IA. Aun así, dan una idea de lo activa que está la vía de la reclamación.
Lo que ayuda en la práctica es lo de siempre: un registro al día, un responsable claro, evidencia accesible y una vía para que las familias sepan a quién dirigirse. Si llega una reclamación, tu DPD es la primera llamada. Más ideas en alfabetización en IA del artículo 4 y colegios y en el checklist del equipo directivo antes de presentar la IA a las familias.
Fuentes
- BOE (2025): Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
- Congreso de los Diputados (2025): 121/000052 Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales (BOCG, Serie A, núm. 52-1)
- Comisión Europea (2026): AI Act | Shaping Europe's digital future
- Comisión Europea, AI Act Service Desk (2026): ANNEX III
- Comisión Europea, Oficina de IA (2026): AI Literacy - Questions & Answers
- AEPD (2025): La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
Conclusión
Anotar la IA del colegio en el registro de actividades de tratamiento es, sobre todo, una cuestión de orden: inventariar los usos, decidir si cada uno es nuevo o una actualización, completar los campos con precisión, repartir responsabilidades y guardar la evidencia. Lo hace el centro con su delegado de protección de datos; la IA, como mucho, ayuda con la parte mecánica y sin datos personales.
En MG Solutions damos masterclasses de IA a alumnos de ESO y Bachillerato: tres días en el colegio con herramientas para su día a día, para estudiar mejor y para usar la IA de forma responsable. Puedes ver el programa en formaciones para colegios.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.