Casi todos los procesos que merece la pena automatizar tocan datos personales: nombres y correos de clientes, facturas con datos de autónomos, expedientes de empleados, conversaciones de soporte. El Reglamento General de Protección de Datos no prohíbe automatizar nada de eso. Exige que el tratamiento tenga una base jurídica, que sea transparente, que use los datos mínimos necesarios, que esté protegido y que, cuando las decisiones las tome una máquina, las personas afectadas tengan garantías. Un proyecto de automatización bien planteado resuelve estas cuestiones en el diseño, que es donde son baratas.
Quién es quién: responsable y encargado
La empresa que decide para qué y cómo se tratan los datos es la responsable del tratamiento. El proveedor que ejecuta la automatización por cuenta de ella, y los servicios que ese proveedor usa (alojamiento, modelos de lenguaje, correo), actúan normalmente como encargados y subencargados, siempre que traten los datos solo siguiendo tus instrucciones. Compruébalo caso por caso: algunos proveedores de modelos se reservan tratamientos para finalidades propias (mejora del servicio, control de abusos, entrenamiento), y en esa parte actúan como responsables. El artículo 28 exige un contrato de encargo que fije el objeto, la duración, las instrucciones, la confidencialidad, las medidas de seguridad, la autorización de subencargados, la asistencia al responsable y qué pasa con los datos al terminar. Antes de conectar nada, pide la lista de subencargados y comprueba dónde procesa cada uno los datos.
Base jurídica y finalidad
Automatizar un proceso existente no suele requerir una base jurídica nueva: si ya tratabas esas facturas para cumplir un contrato o una obligación legal, la automatización es otra forma de hacer lo mismo. El problema aparece cuando la automatización añade usos. Reutilizar las conversaciones de soporte para entrenar un modelo, cruzar datos de clientes para puntuarlos o enriquecer perfiles con fuentes externas son finalidades distintas que necesitan su propio análisis y, a menudo, información adicional a los afectados.
Artículo 22: decisiones exclusivamente automatizadas
El artículo 22 reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o que afecte significativamente de forma similar. Solo se permite si es necesaria para celebrar o ejecutar un contrato, si la autoriza el Derecho de la Unión o de un Estado miembro o si hay consentimiento explícito. En los casos de contrato y de consentimiento explícito, el responsable debe ofrecer garantías: derecho a obtener intervención humana, a expresar el punto de vista y a impugnar la decisión; cuando la decisión se ampara en una ley, es esa ley la que debe establecer las salvaguardias. El Tribunal de Justicia de la UE, en la sentencia SCHUFA de diciembre de 2023 (asunto C-634/21), consideró que una puntuación automatizada es una decisión a estos efectos cuando un tercero se basa de forma determinante en ella.
La consecuencia práctica para el diseño es clara. Donde el resultado afecta de verdad a una persona (conceder o denegar crédito, rechazar un candidato, cancelar un servicio), la automatización debe preparar la decisión y dejarla a una persona con capacidad real de cambiarla, no a alguien que confirma por inercia. Donde el resultado no afecta significativamente a nadie, como clasificar facturas o enrutar un correo, el artículo 22 no es el problema.
Evaluación de impacto
El artículo 35 exige una evaluación de impacto cuando es probable que el tratamiento entrañe un alto riesgo, teniendo en cuenta especialmente el uso de nuevas tecnologías, y la exige siempre en tres supuestos: evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado que sirva para tomar decisiones con efectos jurídicos o similares, tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas, y observación sistemática a gran escala de zonas de acceso público. La AEPD publica una lista de tratamientos que requieren evaluación de impacto. Un proyecto que aplica IA a datos de salud, a datos de empleados o a la evaluación de clientes probablemente la necesita; hacerla al principio evita rediseñar después.
Minimización y modelos de lenguaje
Enviar documentos completos a un modelo cuando solo hacen falta tres campos es el error más común. Filtra antes de enviar, seudonimiza cuando la tarea lo permita y comprueba en el contrato del proveedor del modelo si usa los datos para entrenar, cuánto tiempo los conserva y en qué región los procesa. Registra qué datos salen de tus sistemas y hacia dónde; es lo primero que te preguntará un auditor o un cliente.
Transferencias internacionales
Muchos proveedores de modelos y de infraestructura tienen sede en Estados Unidos. Las transferencias son posibles con garantías: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023) cubre a las empresas estadounidenses certificadas y activas en la lista oficial del marco, que conviene consultar para cada proveedor, y las cláusulas contractuales tipo de la Comisión cubren el resto, acompañadas de una evaluación del riesgo de la transferencia. Cuando los datos son sensibles o el cliente lo exige, la opción más sencilla es elegir proveedores y regiones que procesen dentro del Espacio Económico Europeo.
Transparencia, registro y brechas
Actualiza la información que das a los afectados (artículos 13 y 14), incluida, cuando haya decisiones automatizadas del artículo 22, información significativa sobre la lógica aplicada. Añade la nueva actividad al registro de actividades de tratamiento. Y asegúrate de que el flujo registra lo suficiente para detectar una brecha y notificarla a la autoridad en 72 horas cuando proceda. Si el sistema usa IA, la Ley de IA europea añade sus propias obligaciones encima de estas.
Preguntas que nos hacen sobre esto
Sí, si el tratamiento tiene base jurídica, se limita a los datos necesarios, hay un contrato de encargo con el proveedor, las transferencias fuera del EEE están cubiertas y has comprobado si el proveedor usa los datos para entrenar y cuánto tiempo los conserva.
Cuando se basa únicamente en un tratamiento automatizado, produce efectos jurídicos o afecta significativamente a la persona, y no se apoya en un contrato, una ley o el consentimiento explícito; o cuando, basándose en un contrato o en el consentimiento, se aplica sin las garantías exigidas: intervención humana, posibilidad de expresar el punto de vista e impugnar la decisión.
Solo si la revisión es real: la persona debe tener autoridad y competencia para cambiar el resultado y analizar el caso, no limitarse a confirmar lo que propone el sistema.
Depende del riesgo. Es probable que la necesites si el proyecto evalúa personas con efectos significativos, trata a gran escala datos de salud u otras categorías especiales, o aplica nuevas tecnologías a datos sensibles. La AEPD publica la lista de tratamientos que la requieren.
Sí, con garantías. Las empresas certificadas en el Marco de Privacidad de Datos UE-EE. UU. están cubiertas por la decisión de adecuación de julio de 2023; para el resto se usan cláusulas contractuales tipo con una evaluación de la transferencia. Procesar en regiones europeas simplifica el análisis.
Lo que exige el artículo 28: objeto, duración, naturaleza y finalidad del tratamiento, instrucciones documentadas, confidencialidad, medidas de seguridad, régimen de subencargados, asistencia con los derechos de los afectados y las brechas, devolución o supresión de los datos al terminar y derecho de auditoría.
Tráenos el proceso por el que leías esto
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.