¿Hay que frenar la inteligencia artificial? Las empresas deberían empezar por controlar la que ya utilizan

La carrera por desarrollar modelos de inteligencia artificial cada vez más potentes ha alcanzado un punto en el que incluso algunas de las empresas líderes del sector están pidiendo cautela. Recientemente, Anthropic—una de las compañías más relevantes en el desarrollo de IA avanzada— ha planteado la necesidad de contar con mecanismos que permitan ralentizar o incluso pausar temporalmente el desarrollo de determinados sistemas si los riesgos llegan a superar nuestra capacidad de supervisión.


Aunque la idea de «frenar la IA» puede parecer extrema, el debate que subyace es mucho más relevante para las organizaciones: ¿estamos preparados para gestionar tecnologías que evolucionan más rápido que nuestras estructuras de control?


El desafío no es la IA, sino la velocidad del cambio


Según indica Reuters, la preocupación expresada por Anthropic gira en torno a un escenario en el que los sistemas de IA alcancen niveles crecientes de autonomía y puedan participar en el diseño o mejora de modelos posteriores con una intervención humana cada vez menor. Aunque los propios expertos reconocen que ese escenario aún no se ha materializado, consideran que podría llegar antes de que existan mecanismos adecuados de supervisión y gobernanza.


Más allá de las hipótesis sobre el futuro, la realidad es que muchas empresas ya están incorporando herramientas de IA en procesos críticos sin haber definido políticas claras sobre su uso, supervisión o control.


La gobernanza de la IA se convierte en una necesidad empresarial


Durante los últimos años, la conversación sobre inteligencia artificial se ha centrado principalmente en productividad y automatización. Sin embargo, cada vez resulta más evidente que la adopción de estas tecnologías debe ir acompañada de marcos de gobernanza adecuados.


Las organizaciones necesitan responder preguntas fundamentales:


  • ¿Qué herramientas de IA están utilizando sus empleados?
  • ¿Qué datos se están introduciendo en esos sistemas?
  • ¿Existen mecanismos de supervisión humana?
  • ¿Cómo se documentan las decisiones asistidas por IA?
  • ¿Qué riesgos regulatorios y reputacionales pueden derivarse de su uso?

Estas cuestiones ya no pertenecen únicamente al ámbito tecnológico. Forman parte de la gestión del riesgo corporativo.


El cumplimiento normativo será un factor diferencial


La entrada en vigor progresiva del Reglamento Europeo de Inteligencia Artificial (RIA) está acelerando la necesidad de establecer controles internos sobre los sistemas de IA utilizados por las empresas.


En este contexto, conceptos como trazabilidad, evaluación de riesgos, supervisión humana, transparencia y responsabilidad dejan de ser recomendaciones para convertirse en requisitos estratégicos de cumplimiento.


Las organizaciones que comiencen ahora a desarrollar políticas internas de IA estarán mejor preparadas para afrontar futuras obligaciones regulatorias y demostrar diligencia ante clientes, socios comerciales y autoridades.


Del entusiasmo tecnológico a la adopción responsable


La discusión planteada por Anthropic no debería interpretarse como una llamada a detener la innovación, sino como una invitación a desarrollarla de forma responsable.


La inteligencia artificial ofrece oportunidades extraordinarias para mejorar la productividad, optimizar procesos y generar nuevas ventajas competitivas. Sin embargo, esos beneficios solo serán sostenibles si las organizaciones son capaces de gestionar adecuadamente los riesgos asociados.


Por ello, cada vez más empresas están incorporando programas de gobernanza de IA, auditorías de cumplimiento, evaluaciones de impacto y estrategias de protección de datos como parte de su transformación digital.


La pregunta ya no es si una organización utilizará inteligencia artificial, sino si está preparada para hacerlo de forma segura, conforme a la normativa y alineada con sus objetivos de negocio.


Como siempre, cuidad los datos y ¡cuidaos!

¿Los datos están en redes sociales? Eso no autoriza a tu empresa a utilizarlos

Las reseñas online se han convertido en un elemento clave para la reputación de cualquier negocio. Sin embargo, cuando una empresa responde impulsivamente a una crítica negativa, el problema puede dejar de ser reputacional para convertirse en una cuestión de cumplimiento normativo.


Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) vuelve a poner sobre la mesa una cuestión que muchas organizaciones siguen ignorando: la protección de datos también aplica en las respuestas a comentarios, reseñas y publicaciones realizadas en internet.


Cuando gestionar una crítica se convierte en un problema legal


El caso analizado por la AEPD tiene su origen en varias reseñas negativas publicadas por clientes en el perfil de Google de un establecimiento. Como respuesta, la empresa decidió publicar diversa información personal de quienes habían realizado los comentarios, incluyendo datos identificativos y referencias a aspectos de su vida privada.


La actuación terminó derivando en una sanción económica y en la obligación de eliminar los contenidos publicados.


Más allá de los detalles concretos del caso, la resolución resulta especialmente relevante porque aborda una práctica relativamente frecuente: utilizar información obtenida en redes sociales para responder públicamente a clientes o usuarios.


Que un dato sea público no significa que pueda reutilizarse libremente


Uno de los argumentos planteados por la empresa era que parte de la información publicada podía encontrarse en perfiles de redes sociales.


La AEPD rechaza expresamente esta interpretación y recuerda que la mera disponibilidad de un dato en internet no autoriza a terceros a recopilarlo, reutilizarlo o difundirlo libremente.


Desde la perspectiva del RGPD, acceder a información personal, recopilarla y volver a publicarla constituye un tratamiento de datos personales que requiere una base jurídica válida.


En otras palabras: que un usuario comparta determinada información en una red social no convierte esos datos en un recurso de libre utilización para empresas, empleados o terceros.


El riesgo aumenta cuando intervienen datos especialmente sensibles


La resolución adquiere una dimensión aún más relevante porque parte de la información divulgada hacía referencia a aspectos relacionados con la orientación sexual de una de las personas afectadas.


Este tipo de información forma parte de las categorías especiales de datos contempladas por el RGPD, cuyo tratamiento está sujeto a un nivel de protección reforzado y únicamente puede realizarse en circunstancias muy concretas.


La publicación de este tipo de información en un entorno abierto y accesible para cualquier usuario supone un riesgo significativo para los derechos y libertades de las personas afectadas y puede dar lugar a consecuencias regulatorias especialmente severas.


La gestión de la reputación digital requiere protocolos


Las organizaciones suelen invertir recursos en marketing digital, gestión de redes sociales y atención al cliente online. Sin embargo, no siempre existen procedimientos claros sobre qué información puede utilizarse al responder públicamente a usuarios.


La realidad es que una respuesta impulsiva de un empleado, un community manager o incluso de la dirección de la empresa puede generar riesgos legales, reputacionales y económicos muy superiores al impacto de una reseña negativa.


Por ello, resulta recomendable que las compañías integren la protección de datos dentro de sus políticas de comunicación digital, formando a sus equipos y estableciendo controles específicos para la gestión de comentarios, reclamaciones y conflictos en entornos online.


Protección de datos y reputación: dos caras de la misma moneda


En un contexto en el que la actividad empresarial se desarrolla cada vez más en plataformas digitales, la reputación corporativa y el cumplimiento normativo están estrechamente conectados.


La gestión adecuada de datos personales, el diseño de protocolos de respuesta y la formación en privacidad son elementos esenciales para evitar que una crisis reputacional puntual termine convirtiéndose en un procedimiento sancionador.


Porque en materia de protección de datos, responder a una crítica puede ser legítimo; exponer públicamente información personal de quien la realiza, no.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Fraudes financieros con IA: por qué las empresas deben reforzar su estrategia de ciberseguridad y protección de datos

La inteligencia artificial está transformando la operación de las empresas, pero también está elevando el nivel de sofisticación de los fraudes corporativos. En los últimos meses, los ataques dirigidos contra áreas financieras y administrativas han evolucionado hacia esquemas mucho más difíciles de detectar, especialmente aquellos que combinan ingeniería social, suplantación digital y manipulación de transferencias bancarias.


El problema ya no consiste únicamente en recibir un correo sospechoso. Hoy, los ciberdelincuentes pueden utilizar herramientas de IA para replicar estilos de escritura, automatizar conversaciones convincentes e incluso simular identidades corporativas con un nivel de precisión alarmante.


El nuevo fraude corporativo: confianza manipulada mediante IA


Muchos de los fraudes actuales explotan un factor crítico dentro de las organizaciones: la confianza en las comunicaciones internas y con proveedores.


A través de accesos indebidos a correos electrónicos, filtraciones de información o técnicas avanzadas de suplantación, los atacantes logran intervenir procesos legítimos de pago para redirigir transferencias hacia cuentas controladas por terceros. Todo ocurre sin necesidad de vulnerar directamente los sistemas bancarios.


La inteligencia artificial ha convertido estos ataques en operaciones altamente personalizadas. Los mensajes fraudulentos ya no contienen errores evidentes y suelen replicar perfectamente el lenguaje habitual de directivos, clientes o proveedores.


Protección de datos y ciberseguridad: dos áreas que ya no pueden separarse


Este tipo de incidentes demuestra que la protección de datos personales y la ciberseguridad deben abordarse como parte de una misma estrategia corporativa.


Cuando un atacante accede a correos electrónicos, bases de datos o flujos internos de información, no solo existe un riesgo financiero. También pueden generarse vulneraciones de seguridad que impliquen responsabilidades regulatorias, afectaciones reputacionales y posibles incumplimientos en materia de privacidad y gestión de información.


La realidad es que muchas empresas aún mantienen procesos críticos de autorización financiera sin controles robustos de validación o autenticación.


La prevención ya no es opcional


Frente a este escenario, las organizaciones necesitan evolucionar de modelos reactivos hacia esquemas preventivos de gobernanza digital.


Algunas medidas clave incluyen:


  • Protocolos de validación reforzada para transferencias.
  • Autenticación multifactor en sistemas críticos.
  • Capacitación continua contra ingeniería social.
  • Auditorías de seguridad y cumplimiento.
  • Evaluaciones de riesgo relacionadas con IA y manejo de datos.

Además, resulta indispensable revisar cómo se utilizan herramientas de inteligencia artificial dentro de la organización y qué controles existen sobre la información que procesan.


La IA también requiere cumplimiento legal


La adopción acelerada de inteligencia artificial dentro de empresas está generando nuevos desafíos regulatorios y de cumplimiento. No basta con implementar tecnología: es necesario evaluar riesgos legales, impactos en privacidad y responsabilidades derivadas de incidentes de seguridad.


Por ello, cada vez más organizaciones están integrando estrategias conjuntas de ciberseguridad, protección de datos y gobernanza de IA como parte de sus programas de cumplimiento corporativo.


En un entorno en el que los fraudes digitales son más sofisticados y automatizados, contar con asesoría especializada ya no representa únicamente una ventaja competitiva, sino una necesidad para proteger la continuidad operativa y reputacional de las empresas.


Como siempre, cuidad los datos y ¡cuidaos!

Transcripción de voz con IA: la pregunta no es si funciona, sino si tu organización está preparada

La IA transcribe, pero la responsabilidad sigue siendo humana


La creciente adopción de herramientas de inteligencia artificial para transcribir reuniones, llamadas o conversaciones está transformando la forma en que las organizaciones gestionan la información. Agilidad, automatización y eficiencia son ventajas evidentes. Sin embargo, detrás de esa mejora operativa existe una cuestión que muchas empresas todavía no se han planteado: ¿quién responde cuando la tecnología se equivoca?


La reciente reflexión de la AEPD recuerda una idea esencial: utilizar IA para transcribir voz no implica trasladar la responsabilidad al proveedor tecnológico. La organización que decide implantar estas herramientas sigue siendo responsable del tratamiento y de sus consecuencias.


Cuando un error de transcripción deja de ser un error menor


Los errores pueden tener un impacto mucho mayor de lo que parece. Una transcripción puede atribuir una declaración a la persona equivocada, eliminar matices relevantes o registrar datos incorrectos. Un nombre mal identificado, un cargo erróneo o una frase sacada de contexto pueden afectar a la calidad de la información y, en determinados escenarios, generar riesgos jurídicos y de cumplimiento.


La cuestión no es si la tecnología falla—porque puede hacerlo—, sino si la organización ha previsto qué ocurrirá cuando suceda.


Transparencia, conservación y derechos: riesgos que suelen pasar desapercibidos


La transparencia también ocupa un papel central. Las personas deben conocer de forma clara cuándo su voz está siendo tratada mediante sistemas de IA, con qué finalidad y qué uso posterior puede darse a esa información.


Además, es necesario revisar aspectos que con frecuencia pasan desapercibidos: ¿las grabaciones se conservan más tiempo del necesario?, ¿los datos se utilizan para reentrenar modelos?, ¿existen mecanismos sencillos para rectificar errores o ejercer derechos?


La experiencia demuestra que muchas organizaciones incorporan soluciones de transcripción automática como una funcionalidad más dentro de plataformas colaborativas o herramientas de productividad, sin analizar realmente las implicaciones de privacidad y gobernanza que incorporan.


La verdadera pregunta: ¿ha revisado tu organización todo lo que debería?


Quizá la pregunta relevante ya no sea si utilizar o no estas herramientas. La cuestión es otra: ¿tu organización ha revisado realmente todo lo que debería revisar?


  • ¿Ha analizado el papel y las responsabilidades del proveedor?
  • ¿Existen protocolos para validar y corregir transcripciones erróneas?
  • ¿Se han definido periodos adecuados de conservación?
  • ¿Se informa correctamente a empleados, clientes o participantes?
  • ¿Se han evaluado los riesgos desde una perspectiva de privacidad y cumplimiento?

La inteligencia artificial puede aportar una enorme ventaja competitiva, pero la innovación sostenible exige algo más que implementar tecnología: requiere hacerlo con garantías.


Las organizaciones que obtendrán mayor valor de estas herramientas no serán necesariamente las que adopten más IA, sino aquellas que hayan dedicado tiempo a entender sus implicaciones y a implantarla con garantías.


Como siempre, cuidad los datos y ¡cuidaos!

XII Congreso Internacional de Privacidad e Inteligencia Artificial de APEP·IA

Los pasados 7 y 8 de mayo el equipo de Tecnolawyer asistió al XII Congreso Internacional de Privacidad e Inteligencia Artificial organizado por APEP·IA, un encuentro de referencia para profesionales del ámbito de la privacidad, la protección de datos y la gobernanza de la inteligencia artificial.


Durante las distintas sesiones y mesas de debate, el Congreso reunió a representantes institucionales, expertos jurídicos, académicos y compañías tecnológicas para analizar los retos que plantea la rápida evolución de la IA desde una perspectiva regulatoria, ética y operativa. A lo largo de las jornadas se abordaron cuestiones especialmente relevantes relacionadas con la aplicación práctica de la normativa de protección de datos, la gestión de riesgos, la transparencia de los sistemas de IA y la necesidad de avanzar hacia modelos de gobernanza responsables y sostenibles.


Uno de los aspectos más destacados del evento fue el enfoque práctico de muchas de las intervenciones, centradas en cómo las organizaciones pueden adaptarse al nuevo contexto tecnológico y regulatorio. La creciente integración de herramientas de inteligencia artificial en procesos empresariales y entornos laborales está generando nuevos desafíos en materia de privacidad, seguridad de la información y cumplimiento normativo, lo que exige una aproximación cada vez más transversal y estratégica.


El Congreso también puso de manifiesto el papel clave que está desempeñando Europa en la definición de estándares regulatorios en torno a la inteligencia artificial y la protección de datos. Los distintos debates reflejaron la importancia de encontrar un equilibrio entre innovación y garantía de derechos fundamentales, así como la necesidad de que empresas y profesionales se mantengan preparados ante un marco normativo en constante evolución.


Nuestra asistencia a este encuentro ha supuesto una excelente oportunidad para conocer de primera mano las tendencias y prioridades que marcarán el desarrollo de la IA en los próximos años, así como para compartir experiencias con otros profesionales del sector.


Desde nuestra firma, seguimos apostando por una visión de la innovación tecnológica alineada con el cumplimiento normativo, la protección de datos y la adopción responsable de soluciones de inteligencia artificial.


Agradecemos a APEP·IA la organización de un Congreso de gran nivel técnico y plenamente conectado con los desafíos actuales del entorno digital.


Como siempre, cuidad los datos y ¡cuidaos!

Evidencias digitales: el gran olvidado del cumplimiento

Muchas organizaciones han avanzado en los últimos años en materia de cumplimiento: políticas internas, protocolos, formaciones, cláusulas, procedimientos… El problema es que, en demasiados casos, todo eso sigue viviendo en documentos estáticos que rara vez se conectan con la operativa real de la empresa.


Y ahí aparece uno de los mayores riesgos actuales: no poder demostrar qué se hizo, cuándo, por quién y con qué controles.


El cumplimiento ya no se mide solo por lo que una organización tiene documentado, sino por su capacidad para acreditar que realmente funciona.


1. El cumplimiento ya no es un PDF


Durante años, muchas empresas han entendido el compliance como una cuestión principalmente documental: disponer de políticas, manuales o procedimientos.


El contexto ha cambiado; normativas como el RGPD, el Reglamento Europeo de IA, los requisitos de ciberseguridad o los sistemas internos de información exigen algo más: trazabilidad y capacidad de prueba.


No basta con afirmar que existe un control, sino que hay que poder demostrar: cuándo se aplicó, quién intervino, qué decisión se tomó, y qué evidencias lo respaldan.


2. El verdadero problema aparece cuando ocurre un incidente


La diferencia entre un cumplimiento «formal» y uno realmente operativo suele aparecer en el peor momento: una inspección, una reclamación, una brecha de seguridad o un conflicto laboral.


En ese escenario, las preguntas cambian rápidamente:


  • ¿puedes acreditar que se informó al empleado?
  • ¿existe registro de la autorización?
  • ¿quedó documentada la revisión humana?
  • ¿se puede reconstruir qué ocurrió?

Muchas veces, la respuesta es incompleta porque la organización tenía políticas… pero no evidencias.


3. De la documentación estática a sistemas defendibles


El reto actual no es generar más documentación, sino construir sistemas que permitan convertir el cumplimiento en algo aplicable, medible y defendible.


Esto afecta prácticamente a todas las áreas:


  • protección de datos,
  • uso de inteligencia artificial,
  • ciberseguridad,
  • canal interno de denuncias,
  • desconexión digital,
  • controles laborales o investigaciones internas.

En todos estos ámbitos, el elemento diferencial ya no es solo «tener normas», sino contar con mecanismos que permitan acreditar cómo se ejecutan realmente.


4. La evidencia digital como elemento estratégico


Muchas organizaciones siguen viendo las evidencias digitales como un aspecto técnico o secundario. Sin embargo, cada vez tienen más peso desde el punto de vista jurídico y operativo.


Registros de actividad, logs, autorizaciones, revisiones, trazabilidad de accesos o validaciones internas son elementos que permiten demostrar diligencia y control.


Y esto tiene un impacto directo:


  • reduce exposición ante sanciones,
  • fortalece la posición de la empresa ante conflictos,
  • y mejora la capacidad de respuesta ante incidentes.

Conclusión: el cumplimiento que no se puede probar es cada vez menos útil


Las organizaciones ya no necesitan únicamente políticas bien redactadas. Necesitan estructuras que permitan demostrar que esas políticas se aplican de forma efectiva.


Porque el verdadero cambio de paradigma está aquí: pasar de un cumplimiento basado en documentos a un cumplimiento basado en evidencias.


Y en un entorno donde confluyen IA, protección de datos, ciberseguridad y relaciones laborales, esa capacidad de prueba empieza a convertirse en una ventaja competitiva.


La pregunta clave: Si mañana tu organización tuviera que justificar una decisión, una actuación o un control concreto… ¿podría demostrarlo con evidencias claras y trazables, o solo con un procedimiento en PDF?


Como siempre, cuidad los datos y ¡cuidaos!

Píxeles en email marketing: el «invisible» que puede costarte 100.000 €

El email marketing sigue siendo una de las herramientas más rentables para las empresas. Pero hay un detalle técnico que muchas organizaciones utilizan sin cuestionarlo—y que ya está generando sanciones relevantes—: los píxeles de seguimiento.


Esos pequeños fragmentos de código que permiten saber si alguien abre un correo, cuándo lo hace o desde qué dispositivo. Útiles, sí. Inofensivos, no siempre.


La Agencia Española de Protección de Datos (AEPD) ya ha dejado claro el mensaje: no puedes rastrear sin permiso, aunque sí puedas enviar el email.


1. Recibir emails no significa aceptar ser monitorizado


Uno de los principales errores detectados es asumir que la aceptación de comunicaciones comerciales incluye, de forma implícita, el consentimiento para el seguimiento de la actividad del destinatario.


Desde el punto de vista normativo, esto no es correcto.


El uso de píxeles implica acceder al terminal del usuario para recabar información, lo que sitúa esta práctica dentro del ámbito del artículo 22.2 de la LSSI, en línea con el régimen aplicable a cookies y tecnologías similares.


Esto exige información previa clara y consentimiento específico, expreso y separado.


2. El píxel «invisible» no es neutro


Desde el punto de vista técnico, el píxel funciona como una orden al dispositivo del usuario para enviar información a un servidor externo.


Esto puede incluir:


  • si ha abierto el email,
  • a qué hora,
  • desde qué dispositivo,
  • e incluso patrones de comportamiento.

Cuando esta recogida se produce sin conocimiento del destinatario, puede vulnerar los principios de transparencia y lealtad establecidos en el RGPD.


3. Europa lo tiene claro: esto es como una cookie


El Comité Europeo de Protección de Datos ha equiparado el uso de píxeles a otras tecnologías de seguimiento, lo cual consolida la exigencia de consentimiento válido conforme a los estándares del Tribunal de Justicia de la Unión Europea.


Esto implica, entre otras cuestiones: exclusión de mecanismos basados en consentimiento tácito, invalidez de casillas premarcadas y necesidad de una acción afirmativa clara por parte del usuario.


Por lo tanto, el consentimiento debe ser claro, informado y verificable.


4. No es solo tu proveedor: la responsabilidad también es tuya


Otro punto crítico (y muy relevante a nivel comercial) es que muchas empresas utilizan herramientas de email marketing sin revisar qué hacen exactamente. Sin embargo, el hecho de que el tracking lo proporcione una plataforma externa no elimina tu responsabilidad.


Si se decide usar esas métricas, se definen sus parámetros o se obtienen beneficios de ellas, se está participando en el tratamiento de datos, por lo que eso te convierte en responsable (o corresponsable) del tratamiento.


Este aspecto resulta especialmente relevante en contextos de auditoría o inspección.


5. El precedente: 100.000 € por rastrear sin informar


La AEPD ya ha sancionado este tipo de prácticas en casos en los que no se informaba adecuadamente al usuario, no existía una base jurídica válida, y el tratamiento se realizaba de forma opaca.


En uno de sus últimos expedientes (PS/00328/2022), la sanción ha alcanzado la suma total de 100.000 €. En este sentido, la AEPD ha subrayado que la utilidad comercial de estas herramientas no justifica su uso sin garantías adecuadas. Esta sanción ha sido ratificada posteriormente en el recurso de reposición.


Conclusión: el problema no es medir, es cómo se hace


Medir resultados en marketing es necesario, pero hacerlo sin control puede salir caro.


El verdadero riesgo no está en usar tecnología de analítica, sino en hacerlo:


  • sin consentimiento adecuado,
  • sin transparencia,
  • y sin entender qué datos se están tratando realmente.

Aquí es donde muchas empresas fallan: no en la herramienta, sino en la configuración.


En un contexto de creciente exigencia regulatoria, resulta imprescindible que las organizaciones puedan responder con claridad a una cuestión básica: ¿qué datos se están recogiendo en nuestras campañas de email y bajo qué legitimación?


Cuando esta respuesta no está claramente definida, el riesgo deja de ser teórico y pasa a ser operativo.


Como siempre, cuidad los datos y ¡cuidaos!

De la IA al control biométrico: cuando la tecnología se pasa de frenada

En los últimos posts del blog hemos hablado mucho de inteligencia artificial: automatización, eficiencia, toma de decisiones… Pero hay otro fenómeno que avanza en paralelo y plantea retos igual de relevantes: el uso de tecnologías cada vez más intrusivas en el entorno laboral.


Porque no todo pasa por la IA. A veces, el problema está en algo más cotidiano: cómo controlamos el acceso o la actividad de los empleados.


La reciente sentencia de la Audiencia Nacional nº59/2026 lo deja claro: no todo lo técnicamente posible es jurídicamente válido, especialmente cuando hablamos de datos biométricos.


El caso: control excesivo para un problema menor


El asunto analizado parte de una medida que, en apariencia, buscaba mejorar la seguridad: utilizar sistemas de identificación biométrica (como la huella dactilar) para controlar el acceso de empleados a zonas como vestuarios o aseos.


El problema no fue la finalidad, sino el medio elegido.


La Audiencia Nacional concluye que la medida no superaba el análisis exigido en protección de datos:


  • no era necesaria,
  • no era proporcional,
  • y existían alternativas menos invasivas.

En otras palabras: se utilizó una solución desproporcionada para un problema que podía resolverse de forma más sencilla.


Datos biométricos: un nivel de exigencia más alto


No estamos ante datos cualquiera. Los datos biométricos—como la huella o el reconocimiento facial—tienen una protección reforzada en el RGPD.


¿Por qué? Porque permiten identificar de forma única a una persona y, además, son datos que no se pueden cambiar.


Esto implica que su uso debe ser excepcional y estar especialmente justificado. No basta con que sea útil o cómodo para la empresa.


El criterio clave: ¿de verdad no hay otra alternativa?


La sentencia pone el foco en una idea muy práctica que muchas organizaciones pasan por alto: antes de implantar una medida intrusiva, hay que preguntarse si existe otra menos invasiva.


En este caso, la respuesta era clara: sí, existían alternativas (tarjetas, códigos, controles físicos…). Y, cuando existen, el uso de biometría deja de estar justificado.


Más allá de la sanción: el riesgo real


Aunque, en este caso, la sanción económica se sustituyó por un apercibimiento, el mensaje es relevante. El problema no fue una mala intención, sino un mal diseño.


Y esto es clave para las empresas: muchos riesgos en protección de datos no vienen de decisiones deliberadas, sino de no analizar bien el impacto de las medidas que se implantan.


Además, el contexto agrava la situación: estamos hablando de espacios como vestuarios o zonas de descanso, en los cuales la expectativa de privacidad es mayor.


Conclusión: más tecnología no siempre es mejor control


La tecnología ofrece cada vez más posibilidades para controlar accesos, medir actividad o reforzar la seguridad. Pero eso no significa que todas deban utilizarse.


Igual que ocurre con la inteligencia artificial, la clave no está en lo que la tecnología permite hacer, sino en lo que es adecuado hacer en cada contexto.


Antes de implantar sistemas biométricos—o cualquier medida intensiva—conviene hacerse una pregunta sencilla: ¿estoy resolviendo el problema… o complicándolo innecesariamente?


Porque en protección de datos, elegir la herramienta más potente no siempre es la mejor decisión. A veces, es justo lo contrario.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la sentencia, haga clic aquí.

El error más común al usar IA en emails (y por qué puede costarte caro)

La inteligencia artificial se ha convertido en una aliada habitual para redactar emails: respuestas rápidas, textos más claros, mejor tono… Todo parece una mejora evidente en productividad.


Pero hay un error que se repite constantemente en empresas de todos los tamaños: copiar datos reales en el prompt para que la IA «mejore» el email.


Lo que parece un gesto inocente puede convertirse en una fuga de datos con implicaciones legales y reputacionales. La Agencia Española de Protección de Datos (AEPD), en sus recomendaciones sobre el uso de IA, insiste precisamente en este punto: el riesgo no está en la respuesta, sino en la información que se introduce.


El gesto más habitual (y más peligroso)


El escenario es muy común:


  • «Voy a mejorar este email a un cliente»
  • «Que lo haga más profesional»
  • «Que resuma este hilo»

Y para ello, se copia el contenido completo del correo en la herramienta de IA.


El problema es que ese contenido puede incluir:


  • datos personales de clientes o empleados,
  • información contractual,
  • datos financieros,
  • o incluso conversaciones sensibles.

En ese momento, esa información sale del entorno controlado de la empresa.


¿Qué ocurre realmente con esos datos?


No todas las herramientas de IA funcionan igual, pero la AEPD advierte de algo clave:
cuando se introduce información en estos sistemas, se puede perder el control sobre ella.


Dependiendo del proveedor, los datos pueden:


  • almacenarse temporalmente,
  • generar registros (logs),
  • o utilizarse para mejorar el servicio.

Esto no significa que siempre ocurra, pero sí que no se puede asumir que el dato desaparece tras obtener la respuesta.


El problema no es técnico, es de uso


Aquí está la clave: la mayoría de los riesgos no vienen de la tecnología, sino de cómo se utiliza.


El uso de IA en emails no es problemático por sí mismo. Lo problemático es introducir información que no debería salir del perímetro de la organización.


Por eso, la AEPD recomienda aplicar un principio básico: minimizar los datos que se introducen en herramientas de IA.


Cómo evitar el error (sin dejar de usar IA)


No se trata de dejar de usar estas herramientas, sino de usarlas mejor. Algunas buenas prácticas:


  • Evitar copiar datos reales: sustituir nombres, cifras o referencias por ejemplos ficticios.
  • Trabajar con plantillas: pedir a la IA estructuras o mejoras generales, no sobre casos reales.
  • Revisar condiciones del proveedor: entender qué ocurre con los datos introducidos.
  • Formar a los equipos: muchos errores vienen del desconocimiento, no de la mala fe.

El objetivo es claro: aprovechar la IA sin comprometer la información.


Conclusión: la productividad no puede ir por delante del control


La IA puede ayudarte a escribir mejores emails en menos tiempo. Pero ese beneficio no puede venir a costa de perder el control sobre los datos.


El error más común no es usar la herramienta, sino hacerlo sin criterio.


Porque en el día a día, una simple acción como «copiar y pegar» puede parecer insignificante…
hasta que deja de serlo.


Y, en protección de datos, ese momento suele llegar demasiado tarde.


Como siempre, cuidad los datos y ¡cuidaos!

Revisión Textos Legales Web