Ricard Castellet

¿Usas IA para contratar? Esto es lo que debes revisar antes de decidir

por

La inteligencia artificial ha llegado con fuerza a los procesos de selección: filtrado de CVs, análisis de candidatos, entrevistas automatizadas… La promesa es clara: más eficiencia, menos sesgos y decisiones más rápidas. 


Pero hay una pregunta que muchas organizaciones aún no se hacen: ¿estamos usando la IA en selección de forma legal y controlada? 


Recordemos que el Reglamento Europeo de Inteligencia Artificial (AI Act/RIA, Reglamento (UE) 2024/1689) introduce reglas muy claras, especialmente, cuando la IA afecta a decisiones laborales. 


Y aquí el nivel de exigencia sube. Ya introdujimos este tema en el blog (puedes releerlo aquí), pero hoy hablaremos del uso específico de la IA en procesos de selección. 


La IA en selección es «alto riesgo» (y no es una etiqueta menor) 


El RIA clasifica como sistemas de alto riesgo aquellos que se utilizan para: 


  • selección de candidatos,  
  • evaluación de CVs,  
  • toma de decisiones en contratación o promoción.  

Esto significa que no estamos ante una herramienta más, sino ante un sistema sujeto a obligaciones estrictas. 


¿Por qué? Porque estas decisiones tienen un impacto directo en la vida de las personas. 


No basta con que la herramienta funcione: hay que controlarla 


Uno de los mensajes clave del Reglamento es claro: usar IA no implica delegar la decisión. 


Las empresas deben garantizar: 


  • supervisión humana real,  
  • comprensión del funcionamiento del sistema,  
  • y capacidad de intervenir o corregir decisiones.  

Es decir, la IA puede ayudar… pero no sustituir completamente el criterio humano. 


El riesgo invisible: sesgos y decisiones automatizadas 


Muchos sistemas de IA aprenden de datos históricos. Y ahí está el problema: 
si los datos están sesgados, la IA puede reproducir—o incluso amplificar—esos sesgos. 


En selección, esto puede traducirse en: 


  • discriminación indirecta,  
  • exclusión sistemática de ciertos perfiles,  
  • decisiones difíciles de explicar.  

El RIA obliga a las organizaciones a evaluar y mitigar estos riesgos, no a ignorarlos. 


Transparencia: el candidato debe saberlo 


Otro punto clave: si utilizas IA en procesos de selección, debes informarlo. 


Los candidatos tienen derecho a saber: 


  • que están siendo evaluados mediante sistemas automatizados, 
  • cómo influye eso en la decisión,  
  • y qué papel tiene la intervención humana.  

No es solo una cuestión legal, también lo es de confianza. 


Revisar el proceso, no solo la herramienta 


Un error habitual es centrarse únicamente en la tecnología: «¿la herramienta cumple?» 


Pero la pregunta correcta es otra: ¿cumple todo el proceso de selección? 


El riesgo no está solo en el software, sino en cómo se integra en la toma de decisiones. 


Esto implica revisar: 


  • cómo se usa la herramienta,  
  • quién toma la decisión final,  
  • y qué evidencias puedes aportar si alguien cuestiona el proceso.  

Conclusión: la IA no elimina la responsabilidad, la aumenta 


La inteligencia artificial puede mejorar los procesos de selección, pero también introduce nuevos riesgos. 


El RIA no prohíbe su uso, pero sí deja claro algo fundamental: quien decide sigue siendo responsable, aunque use IA. 


Por eso, más allá de la eficiencia, la clave está en el control. Porque en selección de personal, no solo importa elegir bien, sino que también importa poder demostrar que se ha hecho correctamente. 


Como siempre, cuidad los datos y ¡cuidaos! 

Plataformas educativas digitales: lo que hay que revisar antes de volver a clase

por

Las vacaciones escolares—como Semana Santa—no solo sirven para desconectar. También son un buen momento para revisar herramientas que usamos a diario sin cuestionarlas demasiado. 


Una de ellas: las plataformas educativas digitales (Google Classroom, Microsoft Education, plataformas autonómicas, etc.). 


Las autoridades de protección de datos en España han publicado una guía conjunta que lanza un mensaje claro: no basta con que funcionen bien, también tienen que usarse bien, pues, en la mayoría de los casos, implica el tratamiento de datos de menores. Esto afecta no solo a centros educativos, sino también a empresas que ofrecen o gestionan este tipo de soluciones. 


No todo lo que incluye la plataforma es «parte del servicio» 


Muchas plataformas educativas vienen con funcionalidades adicionales: analíticas, mejoras automáticas, integraciones… 


El problema es que no todo eso forma parte del servicio educativo «básico». Algunas de estas funciones implican que el proveedor use los datos para sus propios fines, no solo para prestar el servicio. 


¿Traducción práctica? Que el proveedor, en ciertos casos, no está actuando solo como proveedor, sino tomando decisiones sobre los datos. Y eso cambia completamente las reglas del juego. 


Usar datos sí… pero solo para lo necesario 


El uso de estas plataformas suele justificarse porque son necesarias para la actividad educativa. Pero esa justificación tiene límites. 


La guía insiste en algo muy importante: solo se pueden usar los datos para lo estrictamente necesario. 


Si se utilizan para otros fines (mejorar el producto, hacer analítica, perfilar usuarios…), la cosa se complica, especialmente porque estamos hablando de menores. 


Antes de implantar una plataforma, hay que analizar riesgos 


Uno de los mensajes más claros del documento es este: no se debería implantar una plataforma «y ya está». 


Antes, hay que hacer una especie de «análisis de impacto» que responda a preguntas como: 


  • ¿Qué datos se van a usar?  

  • ¿Quién accede a ellos?  

  • ¿Dónde se almacenan?  

  • ¿Qué riesgos existen?  

Y, muy importante, este análisis no es algo puntual: hay que revisarlo si la herramienta cambia o evoluciona. 


Explicar bien lo que pasa con los datos 


Otro punto clave: la transparencia. 


No vale con un aviso legal largo y difícil de entender. La información debe ser clara y comprensible, especialmente teniendo en cuenta que hablamos de menores y sus familias. 


En la práctica esto significa explicar, de forma sencilla: 


  • qué datos se usan,  

  • para qué,  

  • y quién los utiliza (centro y proveedor).  

Ojo con los datos que salen fuera de Europa 


Muchas de estas plataformas son globales. Y eso implica que los datos pueden viajar fuera de la Unión Europea. 


Aquí la guía es muy clara: si no se puede garantizar un nivel de protección adecuado, esa herramienta no debería usarse. 


No es un tema menor, y tampoco algo que se pueda «arreglar» con soluciones rápidas. 


Conclusión: no es solo tecnología, es responsabilidad 


Las plataformas educativas ya son parte del día a día. Pero utilizarlas bien no es solo una cuestión técnica, sino de responsabilidad en el uso de los datos. 


El mensaje de la guía es claro y muy práctico: no se trata de dejar de usar estas herramientas, sino de hacerlo con criterio. 


Especialmente cuando los usuarios—como ocurre en este caso—son menores. 


Porque cuando la tecnología entra en el aula, también lo hacen los datos. Y gestionarlos bien ya no es opcional. 


 Como siempre, cuidad los datos y ¡cuidaos! 

La política de IA que funciona: menos normas, más circuito

por

En muchas organizaciones, la respuesta al auge de la inteligencia artificial ha sido inmediata: redactar una política interna y distribuirla en formato PDF. El problema es que, en la práctica, una política que no se integra en la operativa diaria termina siendo irrelevante. 


Mientras tanto, el uso de herramientas de IA—muchas veces fuera de los canales autorizados—sigue creciendo. El fenómeno del Shadow AI no se corrige con prohibiciones generales, sino con alternativas viables. 


La Agencia Española de Protección de Datos (AEPD), en su Política de uso de IA generativa, apunta hacia un enfoque más práctico: no se trata solo de regular, sino de establecer un marco operativo que permita el uso seguro de estas herramientas. 


El error habitual: políticas que no se pueden aplicar 


Muchas políticas de IA comparten un problema común: están bien redactadas, pero mal aterrizadas. Prohíben usos genéricos o imponen restricciones amplias, sin ofrecer soluciones concretas para el día a día. 


El resultado es previsible: los empleados siguen necesitando estas herramientas para ser más eficientes, y acaban utilizándolas fuera de los canales corporativos. 


Esto no solo incrementa el riesgo, sino que reduce la capacidad de la organización para controlar y supervisar el uso real de la IA. 


Lo que sí funciona: crear un circuito de autorización 


Frente a este enfoque, la AEPD propone una lógica distinta: permitir el uso de la IA, pero dentro de un marco estructurado y controlado. 


Una política eficaz no es solo un documento, sino un circuito de autorización y gobernanza que incluya: 


  • Casos de uso definidos: qué se puede hacer y en qué contextos.  


  • Usuarios autorizados: quién puede utilizar determinadas herramientas y para qué fines.  


  • Herramientas validadas: qué soluciones han sido evaluadas desde el punto de vista de protección de datos y seguridad.  


  • Supervisión humana: revisión en aquellos procesos donde exista mayor impacto o riesgo.  


Este enfoque permite canalizar el uso de la IA en lugar de intentar bloquearlo. 


Menos prohibición, más alternativa segura 


Uno de los mensajes clave es que prohibir herramientas rara vez funciona. Cuando no existe una alternativa clara, los usuarios buscarán soluciones por su cuenta. 


Por el contrario, cuando la organización ofrece un «camino fácil y seguro»—herramientas aprobadas, criterios claros y soporte interno—el uso no autorizado disminuye de forma natural. 


Este cambio de enfoque transforma el problema: el Shadow AI deja de ser una cuestión disciplinaria para convertirse en un problema de diseño organizativo. 


Gobernanza de IA: control sin fricción 


El reto para las empresas no es elegir entre control o productividad, sino integrar ambos elementos. Una política bien diseñada permite mantener el control sobre los datos y los riesgos; garantizar el cumplimiento del RGPD; y, al mismo tiempo, facilitar el trabajo diario de los equipos.  


La clave está en construir un sistema donde el uso correcto de la IA sea más sencillo que el uso no autorizado. 


Conclusión: la política útil es la que se usa 


En el contexto actual, tener una política de IA ya no es suficiente. Lo relevante es que esa política sea operativa, comprensible y aplicable. 


Las organizaciones que entienden esto dejan de ver la IA como un riesgo que hay que limitar y empiezan a gestionarla como una capacidad que hay que gobernar. 


Porque, en la práctica, la mejor política no es la más restrictiva, sino la que consigue algo mucho más difícil: ordenar el uso de la IA sin frenar la productividad. 


 Como siempre, cuidad los datos y ¡cuidaos! 

Shadow AI en el trabajo: cómo supervisar sin cruzar la línea de la vigilancia

por

El uso de herramientas de inteligencia artificial en el entorno laboral—muchas veces fuera de los canales oficiales—está obligando a las empresas a replantear sus mecanismos de control. El fenómeno del Shadow AI plantea un dilema claro: las organizaciones necesitan supervisión, pero un enfoque excesivo puede derivar en conflictos laborales y riesgos legales. 


La Agencia Española de Protección de Datos (AEPD), en su Guía sobre protección de datos en las relaciones laborales, ofrece un marco claro: el control es legítimo, pero debe respetar los principios de proporcionalidad, transparencia y minimización. 


El punto de partida: el control empresarial es legítimo 


El Estatuto de los Trabajadores reconoce la facultad de la empresa para adoptar medidas de vigilancia y control con el fin de verificar el cumplimiento de las obligaciones laborales. Este control incluye el uso de herramientas digitales y, por extensión, el uso que los empleados hacen de tecnologías como la inteligencia artificial. 


Ahora bien, como recuerda la AEPD, este control debe ejercerse dentro de los límites del RGPD y la LOPDGDD. Es decir, no todo vale: cualquier medida debe ser proporcionada, justificada y respetuosa con los derechos fundamentales de los trabajadores. 


El riesgo de la «vigilancia total» 


Ante el auge del Shadow AI, algunas organizaciones pueden caer en la tentación de implantar sistemas de monitorización intensiva: registro de actividad, análisis de comportamiento, captura de uso de herramientas o supervisión continua. 


El problema es que este enfoque puede ser contraproducente. La AEPD advierte que las medidas de control excesivas pueden vulnerar derechos como la intimidad o el secreto de las comunicaciones, especialmente si no están debidamente justificadas. 


Además, un sistema de vigilancia desproporcionado puede generar: 


  • conflictos laborales y pérdida de confianza, 

  • incumplimientos en materia de protección de datos, 

  • y, en caso de incidente, pruebas débiles o impugnables por haberse obtenido sin garantías. 

La clave: supervisión proporcional y con garantías 


El equilibrio está en diseñar un modelo de control basado en tres pilares fundamentales: 


Proporcionalidad 


Las medidas deben ser adecuadas al riesgo. No es lo mismo controlar accesos a información sensible que monitorizar de forma generalizada toda la actividad digital. La empresa debe optar por soluciones menos intrusivas cuando sean suficientes. 


Información previa y transparencia 


Los trabajadores deben conocer de forma clara qué herramientas se utilizan, qué datos se recogen y con qué finalidad. La AEPD insiste en la importancia de políticas internas bien definidas y comunicadas. 


Finalidad y minimización 


Los datos recogidos deben limitarse a lo estrictamente necesario para la finalidad perseguida. No se justifica recopilar información excesiva «por si acaso». 


Shadow AI: del control técnico a la gobernanza 


Controlar el uso de IA en la empresa no es solo una cuestión tecnológica. Es, sobre todo, una cuestión de gobernanza del dato y cultura organizativa. 


Las organizaciones más maduras están optando por enfoques combinados: 


  • políticas claras sobre uso de IA, 

  • formación a empleados sobre riesgos, 

  • herramientas autorizadas y seguras, 

  • y controles selectivos orientados a riesgos concretos. 

Este enfoque no elimina el riesgo, pero lo gestiona sin invadir innecesariamente el espacio del trabajador. 


Conclusión: controlar sí, pero con diseño jurídico 


El Shadow AI no se soluciona con más vigilancia, sino con mejor diseño. La clave está en encontrar un equilibrio entre control y derechos, entre seguridad y confianza. 


Las empresas que opten por medidas desproporcionadas no solo se exponen a sanciones, sino también a un problema más sutil: perder la validez de sus propios mecanismos de control. 


Porque en el entorno laboral digital, no basta con supervisar. Hay que hacerlo de forma que, llegado el momento, pueda sostenerse jurídica y probatoriamente. 


Como siempre, cuidad los datos y ¡cuidaos! 

Copiar y pegar en IA generativa: el riesgo no es la respuesta, es el dato

por

Las herramientas de inteligencia artificial generativa se han convertido en un aliado cotidiano en el trabajo: resumir documentos, redactar correos o analizar información en segundos. El gesto es simple y cada vez más habitual: copiar un texto, pegarlo en una herramienta de IA y pedir un resultado.


Sin embargo, detrás de esa aparente inocuidad se esconde uno de los principales riesgos actuales en protección de datos y seguridad de la información. El problema no suele ser la respuesta que genera la IA, sino los datos que introducimos en ella.


La Agencia Española de Protección de Datos (AEPD) lo ha recordado recientemente en su Decálogo de recomendaciones para proteger la privacidad al usar inteligencia artificial, en el que advierte de los riesgos de compartir información sensible con este tipo de herramientas sin analizar previamente su impacto.


1. El origen de muchos incidentes: un simple «copiar y pegar»


Gran parte de los incidentes vinculados al llamado Shadow AI—uso de herramientas de IA fuera de los canales autorizados por la organización—comienzan con una acción aparentemente trivial.


Un empleado necesita ayuda para revisar un texto, resumir un contrato o entender un informe. Copia el contenido y lo pega en una herramienta de IA generativa para obtener una respuesta rápida. En ese momento, sin ser plenamente consciente, puede estar introduciendo en un sistema externo información confidencial, datos personales o información estratégica de la empresa.


Según la AEPD, antes de utilizar estas herramientas es fundamental evaluar qué tipo de información se está compartiendo y si el servicio garantiza un uso adecuado de los datos.


2. La pérdida de control del dato


Cuando se introduce información en una herramienta de IA generativa, el usuario puede perder visibilidad sobre cómo se gestiona ese contenido. Dependiendo del proveedor y de su configuración, los datos pueden:


  • Almacenarse temporalmente o durante más tiempo del esperado.
  • Utilizarse para mejorar o entrenar modelos.
  • Generar registros de uso o metadatos.
  • Procesarse en infraestructuras ubicadas fuera del Espacio Económico Europeo.

Esto no significa que todas las herramientas utilicen los datos con esos fines, pero sí que el control sobre la información puede diluirse si no se analizan previamente las condiciones de uso del servicio.


Por ello, la AEPD insiste en que el uso responsable de la IA implica conocer qué ocurre con los datos introducidos y qué garantías ofrece el proveedor.


3. Una lista breve de lo que nunca debería salir del perímetro


Para reducir riesgos, una buena práctica consiste en establecer reglas claras sobre qué tipo de información no debe introducirse en herramientas de IA generativa. Entre los ejemplos más habituales se encuentran:


  • Datos personales de clientes o empleados.
  • Documentos contractuales confidenciales.
  • Información financiera o estratégica de la empresa.
  • Credenciales, claves o información de acceso a sistemas.
  • Bases de datos internas o listados de clientes.

Este tipo de información forma parte del perímetro de seguridad de la organización, y su exposición en plataformas externas puede generar riesgos legales, reputacionales o de seguridad.


Conclusión: el problema no es usar IA, sino cómo se usa


La inteligencia artificial generativa puede aportar grandes beneficios en términos de productividad e innovación. El reto está en utilizarla con criterios claros de gobernanza del dato.


El mayor riesgo no suele ser la respuesta que produce la herramienta, sino el contenido que se introduce en ella sin una evaluación previa. Por eso, las organizaciones necesitan políticas internas, formación y criterios claros sobre el uso de estas tecnologías.


Porque en la era de la IA generativa, la pregunta clave ya no es si usamos estas herramientas, sino qué información estamos dispuestos a compartir con ellas.


 


Como siempre, cuidad los datos y ¡cuidaos!

IA en proveedores SaaS: la pregunta incómoda que muchas empresas aún no se hacen

por

La adopción de herramientas de inteligencia artificial en formato SaaS (Software as a Service) se está acelerando en todos los departamentos: marketing, recursos humanos, atención al cliente o análisis de datos. En muchos casos, la decisión se toma por razones de eficiencia o innovación, pero sin un análisis profundo del impacto en protección de datos. 


Sin embargo, cuando una herramienta de IA «aprende», surge una cuestión clave: ¿con qué datos se entrena y con qué base legal? La respuesta no siempre es evidente. Y, desde la perspectiva del RGPD, no basta con confiar en el proveedor. Es necesario poder demostrar diligencia y control. 


El Comité Europeo de Protección de Datos (EDPB) ha abordado esta cuestión en su Opinión 28/2024 sobre determinados aspectos de protección de datos en modelos de IA y recuerda que el uso de datos personales en el desarrollo y funcionamiento de estos sistemas debe ajustarse estrictamente a los principios y bases jurídicas del RGPD. 


Cuando la IA «aprende»: la cuestión del origen de los datos 


Los sistemas de IA generativa y otros modelos avanzados se basan en grandes volúmenes de datos para su entrenamiento, mejora o ajuste. El problema surge cuando esos datos incluyen información personal utilizada para fines distintos de aquellos para los que se recogieron. 


El EDPB subraya que el tratamiento de datos personales en modelos de IA requiere una base jurídica válida conforme al artículo 6 del RGPD y debe respetar principios esenciales como la limitación de finalidad, minimización de datos y transparencia. 


En otras palabras, si un proveedor utiliza datos para entrenar o mejorar su sistema, debe poder justificar por qué está legitimado para hacerlo y para qué fines concretos. 


Para las empresas clientes, esto plantea una cuestión práctica: no basta con revisar la funcionalidad del producto; es necesario entender cómo se utilizan los datos que pasan por la herramienta. 


El nuevo riesgo: el «Shadow AI» de proveedores 


Cuando se habla de «Shadow AI», normalmente se piensa en empleados que utilizan herramientas de IA sin autorización. Pero existe otro fenómeno menos visible: la contratación de proveedores que incorporan IA sin un análisis adecuado del tratamiento de datos. 


Muchas soluciones SaaS integran modelos de IA que procesan prompts, documentos, imágenes o datos de clientes. En algunos casos, estos datos pueden: 


  • almacenarse temporalmente o de forma persistente, 

  • generar metadatos y logs de uso, 

  • utilizarse para mejorar el servicio o entrenar modelos. 

Si estos usos secundarios no están claramente definidos o documentados, la organización puede perder visibilidad sobre lo que ocurre realmente con la información que introduce en la herramienta. 


Due diligence real: más allá del contrato estándar 


La opinión del EDPB insiste en que las organizaciones deben evaluar cuidadosamente el tratamiento de datos personales en el contexto de sistemas de IA. Esto implica realizar una due diligence real sobre los proveedores, especialmente cuando se utilizan modelos capaces de aprender de los datos procesados. 


Entre las preguntas clave que deberían plantearse destacan: 


  • ¿Qué datos utiliza el proveedor para entrenar o mejorar el modelo? 

  • ¿Se reutilizan los datos introducidos por los clientes? 

  • ¿Existe anonimización real o solo seudonimización? 

  • ¿Qué ocurre con los prompts, logs o metadatos generados? 

  • ¿Qué responsabilidades se asumen si el tratamiento resulta ilícito? 

Responder a estas cuestiones es esencial para evaluar el cumplimiento del RGPD y evitar riesgos regulatorios o reputacionales. 


Conclusión: la pregunta clave no es qué hace la IA, sino qué puedes demostrar 


La inteligencia artificial está transformando la forma en que las empresas utilizan tecnología. Pero también exige elevar el nivel de gobernanza del dato. 


Contratar herramientas con capacidades de IA sin analizar su funcionamiento interno puede generar zonas grises en la responsabilidad del tratamiento. Y en un contexto regulatorio cada vez más exigente, la cuestión no será solo qué hacía la herramienta, sino qué diligencia aplicó la empresa antes de utilizarla. 


Porque, en protección de datos, la pregunta decisiva suele llegar después: si mañana una autoridad lo solicita, ¿qué puedes demostrar realmente sobre el uso de esa IA? 


Como siempre, cuidad los datos y ¡cuidaos! 

Subcontratación en cadena y RGPD: 15.000 € por olvidar que el control no se delega

por

La Agencia Española de Protección de Datos (AEPD) ha sancionado a DYNAMIC EXPRESS COURIER S.L. con 15.000 euros por incumplimientos del artículo 28 del RGPD en el marco de un servicio de recogida documental para ING. La resolución ofrece una lección clara para cualquier organización que actúe como encargado del tratamiento y recurra a terceros en la prestación del servicio. 


Más allá del extravío de documentación bancaria con datos altamente sensibles, el foco de la AEPD se sitúa en algo estructural: la gestión de la cadena de subcontratación y el cumplimiento formal—y material—de las exigencias del artículo 28 RGPD. 


Los hechos: una cadena de subencargos sin control efectivo 


ING, como responsable del tratamiento, contrató a DYNAMIC como encargado para la recogida de documentación de clientes. Durante la vigencia del contrato (1 de septiembre de 2022 a 28 de febrero de 2023), DYNAMIC recurrió a SENDING como subencargado. 


A su vez, SENDING subcontrató a AUTORADIO para ejecutar materialmente la recogida de la documentación. El problema no fue solo operativo (la documentación nunca llegó a destino), sino jurídico: 


  • No constaba autorización previa y por escrito de ING para contar con SENDING como subencargado. 

  • Tampoco se acreditó que ING hubiera sido informada de la intervención de AUTORADIO. 

  • Los contratos de subencargo aportados no cumplían plenamente con las exigencias del RGPD. 

La AEPD declara probado que DYNAMIC tenía conocimiento de la intervención de AUTORADIO y que no lo comunicó al responsable. 


Artículo 28.2 RGPD: la autorización no es un formalismo 


El artículo 28.2 RGPD establece que el encargado no podrá recurrir a otro encargado sin la autorización previa, específica o general, del responsable. 


En este caso, el contrato entre ING y DYNAMIC exigía autorización previa y expresa para subcontratar. Sin embargo, no constaba autorización para SENDING ni comunicación relativa a AUTORADIO. 


La AEPD aprecia dos infracciones del artículo 28.2 RGPD: 


  • Subencargar sin autorización previa y por escrito. 

  • No informar al responsable sobre cambios en la cadena de subcontratación. 

El mensaje es claro: el responsable debe poder conocer, controlar y, en su caso, oponerse a los subencargados que intervienen en el tratamiento. 


Artículo 28.4 RGPD: el contrato de subencargo debe ser adecuado 


La resolución también analiza el artículo 28.4 RGPD, que exige que el subencargado asuma las mismas obligaciones en materia de protección de datos que las establecidas entre responsable y encargado. 


Los contratos entre DYNAMIC y SENDING presentaban deficiencias relevantes: no identificaban correctamente al responsable (ING) y no reflejaban adecuadamente el marco contractual específico. 


La AEPD concluye que no basta con tener «algún contrato» de protección de datos. El contenido debe ajustarse al RGPD y a las instrucciones concretas del responsable. 


La sanción: tres infracciones, 15.000 euros 


Finalmente, la AEPD impone: 


  • 5.000 € por subencargar a SENDING sin autorización (art. 28.2 RGPD). 

  • 5.000 € por no informar sobre la intervención de AUTORADIO (art. 28.2 RGPD). 

  • 5.000 € por no contar con un contrato de subencargo válido con SENDING (art. 28.4 RGPD). 

Total: 15.000 euros. 


Conclusión: la responsabilidad en cadena también es responsabilidad jurídica 


Esta resolución recuerda que el artículo 28 RGPD no es una cláusula estándar que se copia y pega en los contratos. Es un mecanismo esencial para garantizar que los derechos de los interesados se preserven a lo largo de toda la cadena de tratamiento. 


Para responsables y encargados, la lección es evidente: 


  • Identificar y documentar todos los subencargados. 

  • Exigir autorización previa cuando así se establezca. 

  • Formalizar contratos plenamente alineados con el RGPD. 

  • Mantener trazabilidad y control real sobre la cadena de proveedores. 

En protección de datos, delegar la prestación del servicio no implica delegar la responsabilidad. Y cuando el control se diluye en la cadena de subcontratación, el riesgo—jurídico y reputacional—se multiplica. 


Como siempre, cuidad los datos y ¡cuidaos! 


Para leer la resolución, haga clic aquí. 

Imágenes e IA en marketing y RRHH: el atajo que puede salir caro

por

Una tendencia viral que parece inofensiva 


El uso de herramientas de inteligencia artificial para «mejorar» fotografías—retocar fotos corporativas, generar versiones creativas para campañas o estilizar imágenes de equipos—se ha convertido en un recurso habitual en marketing y recursos humanos. La petición suele sonar inocente: «Pásame esta foto por IA para…». 


Sin embargo, cuando en esa imagen hay personas identificables, estamos ante datos personales. Y, cuando esa imagen se sube a un sistema de IA, el perímetro del tratamiento se amplía y el control se complica. Así lo advierte la Guía de la AEPD sobre el uso de imágenes de terceros en sistemas de IA, que analiza los riesgos y obligaciones derivados de estas prácticas. 


Si hay personas identificables, hay protección de datos 


La imagen de una persona es un dato personal en la medida en que permite su identificación directa o indirecta (art. 4 RGPD). No es necesario que se trate de datos «sensibles» o biométricos en sentido técnico: basta con que la persona sea reconocible. 


En entornos corporativos esto es especialmente relevante. Fotografías de empleados, candidatos, clientes o asistentes a eventos forman parte del ámbito de aplicación del Reglamento (UE) 2016/679 (RGPD) y de la LOPDGDD. Subir esas imágenes a una herramienta de IA implica una comunicación de datos a un tercero (el proveedor del sistema), lo que exige: 


  • Base jurídica adecuada (consentimiento válido u otra legitimación del art. 6 RGPD). 

  • Información clara sobre el tratamiento (arts. 13 y 14 RGPD). 

  • Contrato de encargo de tratamiento si el proveedor actúa como encargado (art. 28 RGPD). 

La aparente «simplicidad» tecnológica no elimina estas exigencias. 


Riesgos visibles e invisibles: más allá del retoque 


La guía de la AEPD subraya que el uso de imágenes en sistemas de IA puede generar riesgos que van más allá de la finalidad inicial. Entre ellos: 


  • Pérdida de control y difusión no prevista: la imagen puede almacenarse, reutilizarse o incorporarse al entrenamiento de modelos si no existen garantías contractuales claras. 


  • Retención indefinida: desconocimiento sobre cuánto tiempo conservará el proveedor las imágenes. 


  • Inferencias automatizadas: a partir de una fotografía, los sistemas pueden inferir edad, género, estado de ánimo u otros atributos, con posibles impactos discriminatorios. 


  • Reutilización para fines distintos: marketing, mejora de algoritmos o generación de nuevos contenidos. 


En contextos de RRHH, estos riesgos se intensifican. La relación de desequilibrio entre empresa y empleado cuestiona la validez del consentimiento, lo que obliga a extremar las cautelas. 


El perímetro se amplía cuando entra la IA 


Subir una imagen a una plataforma de IA no es equivalente a almacenarla en un servidor interno. Supone introducirla en un ecosistema tecnológico complejo, a menudo con proveedores ubicados fuera del Espacio Económico Europeo. 


Esto obliga a analizar, entre otras cuestiones: 


  • Transferencias internacionales de datos (arts. 44 y ss. RGPD). 

  • Medidas técnicas y organizativas del proveedor. 

  • Posible necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) si el tratamiento entraña alto riesgo (art. 35 RGPD). 


El «atajo» creativo puede convertirse en una cadena de responsabilidades difícil de gestionar. 


Conclusión: creatividad sí, pero con gobernanza del dato 


La inteligencia artificial ofrece oportunidades indiscutibles para la comunicación y la gestión del talento. Pero utilizar imágenes de personas en sistemas de IA sin un análisis previo es abrir un melón jurídico con implicaciones en control, derechos y responsabilidad corporativa. 


La clave no es renunciar a la innovación, sino integrarla en una estrategia de cumplimiento y gobernanza del dato: revisar bases jurídicas, contratos con proveedores, políticas internas y criterios de minimización. 


Porque en protección de datos, lo que parece un gesto técnico menor—«pásame esta foto por IA»— puede convertirse en un tratamiento complejo con consecuencias legales, reputacionales y económicas relevantes. 


Como siempre, cuidad los datos y ¡cuidaos! 

El verdadero precio de las caricaturas creadas con IA: cuando el producto eres tú

por

Una tendencia viral que parece inofensiva 


En las últimas semanas, muchas personas han pedido a ChatGPT la generación de una caricatura que les represente y, especialmente, su profesión. El resultado: imágenes divertidas, virales y perfectamente diseñadas para circular en redes sociales. A simple vista, parece un juego inocente.  


Sin embargo, detrás de esta tendencia se esconde una realidad mucho más compleja que merece una reflexión pausada, especialmente desde el punto de vista de la protección de datos y la estrategia digital. 


Qué datos estamos entregando realmente 


Al subir una fotografía personal a una plataforma de IA, no se comparte únicamente una imagen. Se están entregando datos biométricos, considerados por el Reglamento General de Protección de Datos (RGPD) como una categoría especial de datos personales. A esto se suma el contexto que rodea a la imagen: profesión, intereses, entorno social o red de contactos, especialmente cuando la caricatura se comparte en perfiles profesionales. 


Además, las imágenes contienen metadatos que pueden revelar información sobre el dispositivo utilizado, la ubicación aproximada o el momento en que fue tomada la fotografía. El valor del conjunto no está en un dato aislado, sino en su capacidad de ser correlacionado. 


El verdadero mecanismo: ego, validación y marketing 


OpenAI—como muchas otras empresas tecnológicas—no ha necesitado pedir explícitamente estos datos. Los usuarios los han entregado voluntariamente, impulsados por un mecanismo muy bien conocido en el marketing digital: la validación social. Likes, comentarios y visibilidad funcionan como una pirámide de dopamina perfectamente diseñada. La estrategia no consiste en pedir datos, sino en lograr que los usuarios los entreguen con entusiasmo. 


Este enfoque elimina la fricción legal y emocional. No hay sensación de cesión de datos, sino de participación en una experiencia compartida. Desde el punto de vista estratégico, es una jugada especialmente eficaz. 


Entrenamiento de modelos y riesgos emergentes 


Cada caricatura generada contribuye al entrenamiento de modelos de inteligencia artificial cada vez más precisos para asociar rostros con contextos específicos. Hoy se utiliza para crear ilustraciones; mañana, para generar deepfakes hiperpersonalizados, suplantaciones de identidad o fraudes en entornos profesionales, como videollamadas o procesos de verificación. 


No hablamos de un escenario hipotético. Estos riesgos ya existen y están siendo explotados, lo que plantea desafíos relevantes en materia de ciberseguridad, protección de datos y responsabilidad empresarial. 


Datos: el verdadero activo en la economía de la IA 


La pregunta incómoda es evidente: ¿por qué una empresa con una valoración de cientos de miles de millones necesita que millones de personas entreguen gratuitamente su imagen y su contexto profesional? Porque, en la economía digital, los datos son el activo estratégico por excelencia. 


En este modelo, el producto visible—la caricatura—es solo el anzuelo. El verdadero valor reside en la información que permite mejorar algoritmos, crear nuevas aplicaciones y consolidar ventajas competitivas. 


Conclusión: de usuarios pasivos a decisiones informadas 


La inteligencia artificial no es el problema. El problema es la falta de conciencia sobre el valor de los datos personales y el impacto de su uso masivo. En la era de la IA, el verdadero producto rara vez es el servicio gratuito que se ofrece, sino las personas que lo utilizan. 


Como profesionales, empresas y ciudadanos digitales, el reto no es dejar de participar en tendencias, sino entender qué estamos entregando y con qué consecuencias. La próxima vez que una moda viral nos invite a «jugar», conviene hacerse una pregunta clave: ¿estoy ganando solo una imagen… o estoy pagando con algo mucho más valioso? 


Como siempre, cuidad los datos y ¡cuidaos! 

Revisión Textos Legales Web