Guía · Cumplimiento
¿Puedo usar IA con los datos de mis clientes?
Es la primera pregunta que frena un proyecto, y casi nunca se responde bien: o te dicen que sí sin matices, o te asustan con multas millonarias. La respuesta real depende de una sola cosa, y se puede dibujar.
Sí, una empresa puede usar IA con datos de clientes. Lo que decide si es legal no es la herramienta, es dónde acaba el dato y quién responde de él: hace falta una base jurídica, un contrato de encargado del tratamiento con quien procese, informar a los interesados y saber si la información sale de la Unión Europea. Si el modelo se ejecuta en tu propio servidor, ese último problema desaparece.
Qué te obliga desde el 2 de agosto de 2026
El reglamento europeo de inteligencia artificial se aplica por tramos desde 2025. El que afecta a casi cualquier pyme llega el 2 de agosto de 2026: el artículo 50, el de transparencia.
Dice algo simple. Si un sistema de IA habla con una persona, esa persona tiene que saberlo. No en los términos legales ni en una nota al pie: en la propia interacción, la primera vez. Si tienes un asistente que responde por WhatsApp o un formulario que contesta solo, esto te toca.
Conviene saber qué no cambió ese día, porque circula mucha confusión. El Reglamento Ómnibus de julio de 2026 aplazó el bloque de alto riesgo del Anexo III —cribado de currículums, decisiones sobre personas en el trabajo, concesión de crédito— hasta el 2 de diciembre de 2027. Y dio cuatro meses de margen, hasta el 2 de diciembre de 2026, para marcar el contenido generado por IA. Avisar de que es una máquina no tiene prórroga.
Hay una tercera obligación que casi nadie menciona y que corre desde febrero de 2025: formar mínimamente a quien usa estas herramientas en tu empresa. El Ómnibus la suavizó —pasó de garantizar un nivel a poner medios— pero no la eliminó, y no tiene umbral de tamaño. Una política de uso escrita y una sesión con el equipo cumplen.
Los tres sitios donde una pyme se mete en un lío
Ninguno de los tres tiene que ver con construir IA. Los tres pasan usándola.
- Pegar datos de clientes en un chat público. Cada vez que alguien copia un correo con nombres, cifras o un fragmento de contrato en una herramienta de consumo, está tratando datos personales sin contrato de encargado y, casi siempre, mandándolos fuera de la Unión Europea. No es una tecnicidad: es el punto donde se pierde el control.
- Un agente que decide sobre personas. Cribar candidaturas, ordenar currículums o puntuar a un empleado entra en alto riesgo. Se aplica desde diciembre de 2027, pero quien lo esté montando ahora conviene que lo sepa antes de construirlo, no después.
- Un asistente que no dice lo que es. Es el más barato de arreglar y el más fácil de detectar desde fuera: basta con abrir el chat de tu web. Es también el que tiene fecha inmediata.
Los dos primeros comparten raíz: nadie sabe exactamente qué datos toca el sistema. Si esa pregunta no tiene respuesta clara en tu empresa, el problema no es de IA, es de tener la información repartida en sitios que nadie ha inventariado.
Qué cambia si el sistema está en tu servidor
Aquí está la parte que casi ningún proveedor te va a explicar, porque a casi ninguno le conviene: el mismo trabajo, hecho en dos sitios distintos, tiene dos regímenes legales distintos.
Por el camino de arriba, el dato sale. Eso obliga a apoyarse en el marco de transferencias internacionales vigente, a revisar la cadena de subencargados de cada proveedor y a convivir con que ese marco lo pueden tumbar los tribunales, como ya pasó dos veces.
Por el camino de abajo no hay transferencia que justificar, la cadena de encargados se acorta hasta casi desaparecer y no existe el riesgo de que tus datos entrenen el modelo de otro. No te exime del RGPD ni del artículo 50: convierte un problema de derecho internacional en uno de seguridad interna, que es mucho más barato de gobernar y que además controlas tú.
Por eso construimos los sistemas en el servidor del cliente y le entregamos el código. No empezó siendo un argumento legal: era una decisión de independencia. Resultó ser lo segundo.
La lista antes de encender nada
Seis puntos. Si los tienes, estás por delante de la mayoría de empresas de tu tamaño.
- Base jurídica y registro. Saber por qué tratas cada dato y tenerlo anotado en el registro de actividades de tratamiento.
- Contrato con quien procese. El contrato de encargado del artículo 28, firmado, con cada proveedor que toque datos personales. Los planes de consumo no lo dan.
- Información a los interesados. Que tu política de privacidad diga que hay tratamiento automatizado y en qué consiste. Si no lo dice, no está informado.
- Acceso mínimo. Que el sistema vea solo los datos que necesita para su tarea, no la base entera. La agencia española de protección de datos lo pide expresamente para agentes.
- Registro de lo que hizo el agente. Qué leyó, qué propuso, quién lo aprobó y cuándo. Sin ese rastro no puedes demostrar nada.
- Supervisión humana real. Que una persona confirme antes de que la decisión tenga efecto. En nuestros sistemas es una regla forzada en el código, no una recomendación: agente lee, humano aprueba.
Los dos últimos puntos salen de las orientaciones sobre IA agéntica que publicó la Agencia Española de Protección de Datos en febrero de 2026. Son también, palabra por palabra, cómo diseñamos la diferencia entre un agente que propone y una automatización que ejecuta.
Lo que esta guía no es
No es asesoramiento jurídico. Es lo que hemos tenido que entender para construir nuestros propios sistemas y los de nuestros clientes sin sustos, contrastado con el texto de los reglamentos y con lo que publica la agencia de protección de datos.
Dos avisos honestos. El régimen sancionador español todavía no existe: la ley de gobernanza de la IA sigue en tramitación en el Congreso, así que las multas europeas están sobre el papel pero el procedimiento nacional para imponerlas no está cerrado. Y esto cambia rápido: antes de decidir nada sobre un caso concreto, comprueba el estado de cada norma en su fuente oficial.