Privacitat – protecció de dades

5.1. Privacidad en un entorno disruptivo: IoT, Big Data, Cloud, redes sociales…
5.2. Marco normativo de protección de datos: España, Unión Europea, Privacy Shield, BCR y un mundo global.
5.3. Reglamento Europeo de Protección de Datos: análisis sistemático. Principios, obligaciones y régimen aplicable.
5.4. El responsable de tratamiento y sus obligaciones: evaluaciones de impacto y un nuevo modelo de cumplimiento en protección de datos.
5.5. Data Protection Officer (DPO): análisis detallado de sus funciones y obligaciones. Formación específica y habilitadora para el perfil DPO.
5.6. La privacidad en modelos de compliance y de certificación de protección de datos.

La teva empresa utilitza IA? A partir d’agost, la transparència deixa de ser una recomanació

per

La intel·ligència artificial s'ha incorporat amb rapidesa a assistents virtuals, eines de generació de contingut, xatbots i nombrosos processos empresarials. No obstant això, conforme augmenta la seva presència, també ho fa la necessitat que els usuaris sàpiguen quan estan interactuant amb una IA i quan un contingut ha estat generat o modificat mitjançant aquesta tecnologia.

Amb aquest objectiu, el passat 20 de juliol la Comissió Europea va publicar les directrius que desenvolupen les obligacions de transparència previstes en l'article 50 del Reglament d'Intel·ligència Artificial (AI Act/RIA), l'aplicació de la qual comença el 2 d'agost de 2026. Aquestes directrius pretenen facilitar a proveïdors i empreses usuàries la correcta interpretació de les seves noves obligacions.

La transparència pansa a ser un requisit de compliment

Les noves directrius busquen reduir el risc d'engany, manipulació i desinformació en un entorn on cada vegada resulta més difícil distingir el contingut generat per persones del creat per intel·ligència artificial.

Entre altres qüestions, aclareixen quan serà obligatori informar els usuaris que estan interactuant amb un sistema d'IA, quan han d'identificar-se els continguts generats o alterats mitjançant intel·ligència artificial i en quins supòsits serà necessari advertir sobre l'ús de deepfakes, sistemes de reconeixement d'emocions o categorització biomètrica.

En altres paraules, la transparència deixa de ser una bona pràctica per a convertir-se en una obligació legal.

Un impacte molt més ampli del que sembla

Moltes organitzacions consideren que aquestes obligacions afecten únicament els grans desenvolupadors d'IA. No obstant això, la realitat és diferent.

Les obligacions de l'article 50 també aconsegueixen a nombroses empreses que utilitzen eines d'IA en la seva activitat diària: xatbots d'atenció al client, assistents virtuals, generadors de contingut, aplicacions de màrqueting o solucions que incorporen funcionalitats d'intel·ligència artificial dins de productes i serveis.

Per això, no n'hi ha prou amb confiar que el proveïdor tecnològic compleix la normativa. Cada organització ha d'analitzar com utilitza la IA i quines obligacions li corresponen com desplegador (deployer) d'aquests sistemes.

La governança de la IA comença per conèixer què s'utilitza

L'entrada en aplicació d'aquestes obligacions posa de manifest un problema que moltes empreses encara no han abordat: desconeixen quantes eines d'IA utilitzen realment els seus empleats i per a quines finalitats.

Abans d'implantar avisos o polítiques de transparència, resulta imprescindible identificar els sistemes utilitzats, avaluar els riscos associats i definir procediments clars sobre la seva utilització.

Aquest exercici constitueix el primer pas cap a una estratègia sòlida de governança de la intel·ligència artificial.

Una oportunitat per a generar confiança

Més enllà del compliment normatiu, la transparència representa una oportunitat per a reforçar la confiança de clients, empleats i socis comercials.

Les organitzacions que integrin des d'ara polítiques d'ús responsable de la IA, revisin els seus processos i adaptin les seves eines a les noves exigències reguladores estaran més ben preparades per a afrontar un entorn on la innovació i el compliment hauran d'avançar de la mà.

Perquè el repte de veritat ja no consisteix únicament a incorporar intel·ligència artificial, sinó a demostrar que s'utilitza de manera transparent, responsable i conforme a la normativa aplicable.

Com sempre, cuideu les dades i cuideu-vos!

Les ulleres intel·ligents ja són aquí. Ara el desafiament real és protegir la privacitat

per

Les ulleres intel·ligents han deixat de ser un concepte futurista per a convertir-se en una realitat comercial. Dispositius com les Meta Ray-Ban ja permeten prendre fotografies, gravar vídeo, respondre preguntes mitjançant intel·ligència artificial o interpretar el que l'usuari està veient en temps real.

Precisament aquesta combinació de càmeres, micròfons i IA ha convertit a aquesta mena de dispositius en un dels exemples més representatius del desafiament que afronta actualment la indústria tecnològica: com oferir experiències cada vegada més intel·ligents sense comprometre la privacitat dels qui les utilitzen… i dels qui els envolten?

Un dispositiu que va despertar dubtes des del primer dia

Des del seu llançament, les Meta Ray-Ban han generat un intens debat sobre privacitat.

A diferència d'un telèfon mòbil, unes ulleres intel·ligents permeten capturar imatges i vídeo de forma molt més discreta, mantenint una conversa o caminant per un espai públic sense que resulti evident que existeix una càmera  en funcionament.

L'arribada de noves funcions basades en IA, capaces d'interpretar escenes, recordar informació de l'entorn o interactuar amb l'usuari en funció del que està veient, ha incrementat encara més aquestes preocupacions.

La qüestió ja no consisteix únicament en qui utilitza les ulleres, sinó també en què passa amb la informació de totes les persones que apareixen, parlen o simplement es troben prop del dispositiu.

La resposta de Meta: la privacitat també ha de formar part del disseny

En aquest context, Meta ha anunciat una actualització destinada a reforçar una de les principals garanties de privacitat del dispositiu.

Les ulleres deixaran de permetre la gravació si detecten que l'indicador lluminós que avisa que la càmera està activa ha estat manipulat, cobert o inutilitzat.

Encara que pugui semblar una modificació menor, el missatge és rellevant: les mesures de privacitat ja no poden dependre únicament del comportament responsable de l'usuari, sinó que han d'incorporar-se al propi disseny de la tecnologia.

Aquest enfocament respon al principi de privacy by design, cada vegada més present tant en la regulació com en les expectatives de consumidors i autoritats.

Molt més que un debat sobre unes ulleres

La polèmica de les Meta Ray-Ban transcendeix al propi dispositiu.

Cada vegada més eines d'intel·ligència artificial incorporen càmeres, micròfons, sensors o sistemes capaços d'interpretar l'entorn en temps real. Això obliga les organitzacions a plantejar-se noves preguntes sobre privacitat, protecció de dades, transparència i ús responsable de la tecnologia.

No es tracta únicament de complir amb la normativa, sinó de gestionar adequadament els riscos associats a solucions que processen quantitats creixents d'informació personal.

La confiança serà el factor diferencial real

La intel·ligència artificial continuarà integrant-se en dispositius d'ús quotidià. No obstant això, l'èxit d'aquestes tecnologies no dependrà exclusivament de les seves capacitats tècniques.

Les empreses que desenvolupin o incorporin solucions basades en IA hauran de demostrar que compten amb mecanismes sòlids de governança, protecció de dades i gestió del risc. Avaluacions d'impacte, polítiques internes, controls tècnics i privacitat des del disseny seran elements cada vegada més rellevants per a generar confiança i complir amb un entorn regulador en constant evolució.

Perquè la pròxima revolució de la intel·ligència artificial no consistirà únicament a crear dispositius més intel·ligents, sinó a aconseguir que usuaris, empreses i reguladors confiïn en ells.

Com sempre, cuideu les dades i cuideu-vos!

Deepfakes, veu i imatge: el nou risc reputacional que també amenaça a les pimes 

per

La intel·ligència artificial generativa ha canviat la manera de crear campanyes: avui una empresa pot llançar anuncis amb avatars, veus clonades, testimoniatges sintètics, imatges retocades o vídeos hiperrealistes. Però aquesta facilitat també obre una nova zona de risc: usar la imatge, la veu o la identitat d'una persona sense consentiment clar, sense control contractual o sense revisió prèvia.

Per a una pime, el problema no és només una possible reclamació legal. És la pèrdua de confiança. Una campanya percebuda com a enganyosa, invasiva o poc transparent pot danyar la reputació digital de la marca en qüestió d'hores.

La reforma del dret a l'honor posa el focus en la IA

El debat ja està en l'agenda legislativa. El Govern ja ha remès al Congrés la reforma de la Llei orgànica de protecció civil del dret a l'honor, la intimitat i la pròpia imatge, amb l'objectiu d'adaptar-la a fenòmens com els deepfakes, l'explotació no autoritzada de veu o imatge mitjançant IA i determinats continguts de «true crime».

El Ministeri de Justícia ja havia avançat que la nova regulació considera il·legítim usar la veu o la imatge d'una persona sense autorització amb finalitats publicitaris o comercials mitjançant IA o tecnologies similars. També recorda que compartir imatges en xarxes socials no significa que tercers puguin reutilitzar-les lliurement en altres canals.

La idea de fons és clara: retornar a les persones el control sobre la seva imatge, la seva veu i la seva identitat digital.

Agències i marques: una responsabilitat compartida

Llas agències i professionals del màrqueting ja no solament creen campanyes, sinó actius digitals: vídeos, copies, automatitzacions, avatars, peces amb IA, testimoniatges, creativitats dinàmiques i continguts sintètics.

Això exigeix una nova responsabilitat. No n'hi ha prou que una campanya sigui creativa o viral. Ha de poder demostrar qui va autoritzar l'ús d'una imatge, quin abast tenia aquest consentiment, quines eines es van utilitzar, qui va revisar el contingut i quines garanties contractuals existeixen entre client, agència, proveïdors i col·laboradors.

En altres paraules: impacte, sí. Però amb consentiment, traçabilitat i seguretat jurídica.

Què haurien de revisar les pimes abans de llançar campanyes amb IA

Abans de publicar una campanya que usi imatge, veu, vídeos, avatars o continguts generats amb IA, convé revisar almenys quatre punts: consentiment específic per a l'ús previst, contractes amb agències i proveïdors, identificació de continguts sintètics quan escaigui i conservació d'evidències sobre aprovacions, versions i fonts utilitzades.

També és recomanable comptar amb un protocol intern d'ús d'IA generativa i un pla de resposta davant incidents reputacionals: retirada de continguts, comunicació de crisi, preservació de prova digital i accions legals si fos necessari.

La creativitat necessita control

La IA ofereix enormes oportunitats per al màrqueting de les pimes, però improvisar pot sortir car. La reputació digital es protegeix abans de publicar, no quan la crisi ja està circulant.

A Tecnolawyer ajudem les empreses a utilitzar IA en màrqueting sense improvisar: amb contractes, consentiment, traçabilitat i evidència.

Com sempre, cuideu les dades i cuideu-vos!

Del reclutament als ascensos: com la IA està transformant la gestió del talent

per

Com ja sabeu, la intel·ligència artificial ha deixat de ser una eina reservada per a àrees tecnològiques. Avui participa activament en processos relacionats amb l'avaluació de l'acompliment, la promoció professional, la compensació econòmica i fins i tot determinades decisions de gestió de persones.

El que va començar com una eina de suport per a automatitzar tasques administratives està evolucionant cap a sistemes capaços d'analitzar grans volums d'informació i generar recomanacions que influeixen directament en la trajectòria professional dels empleats.

Aquesta transformació ofereix importants oportunitats per a les organitzacions, però també planteja desafiaments jurídics, ètics i de compliment que no poden passar-se per alt.

La IA entra en el cor de la gestió del talent

Cada vegada és més habitual que les empreses utilitzin algorismes per a identificar candidats amb potencial de promoció, analitzar mètriques de productivitat, detectar necessitats formatives o donar suport a processos d'avaluació de l'acompliment.

La promesa és atractiva: decisions més àgils, basades en dades i aparentment més objectives.

No obstant això, quan un sistema automatitzat influeix en qüestions tan sensibles com una promoció, una revisió salarial o una mesura disciplinària, l'impacte sobre les persones pot ser significatiu.

Per això, el veritable desafiament ja no consisteix a incorporar intel·ligència artificial, sinó a garantir que la seva utilització sigui transparent, explicable i compatible amb els drets dels treballadors.

El risc de confiar cegament en els algorismes

La intel·ligència artificial aprèn a partir de les dades disponibles. Si aquestes dades contenen biaixos històrics, errors o patrons discriminatoris, el sistema pot reproduir-los o, fins i tot, amplificar-los.

Un model dissenyat per a identificar perfils d'alt rendiment podria afavorir determinats comportaments o trajectòries professionals sense que l'organització sigui plenament conscient d'això.

A més, moltes eines utilitzen models complexos la lògica interna dels quals resulta difícil d'interpretar, la qual cosa complica justificar determinades decisions davant empleats, representants dels treballadors o autoritats supervisores.

La falta de transparència s'està convertint en un dels principals riscos associats a l'ús d'IA en recursos humans.

Governança, compliment i supervisió humana

La regulació internacional està avançant cap a un model en el qual determinades aplicacions d'IA relacionades amb l'ocupació seran considerades d'alt risc.

En conseqüència, les organitzacions hauran de demostrar que compten amb mecanismes adequats de supervisió, control i gestió de riscos.

Això implica, entre altres qüestions:

  • Avaluar prèviament l'impacte de les eines utilitzades.
  • Garantir la qualitat de les dades emprades.
  • Mantenir supervisió humana efectiva sobre les decisions rellevants.
  • Documentar els criteris utilitzats pels sistemes.
  • Implementar mesures per a detectar i corregir possibles biaixos.

L'automatització pot millorar l'eficiència, però no elimina la responsabilitat de l'empresa sobre les decisions adoptades.

Una oportunitat per a construir confiança

La intel·ligència artificial té el potencial de millorar significativament la gestió del talent, sempre que s'utilitzi dins d'un marc adequat de governança.

Les organitzacions que integrin des del principi criteris de compliment, protecció de dades, transparència i supervisió humana estaran més ben preparades per a aprofitar els beneficis d'aquestes tecnologies sense comprometre la confiança dels seus empleats.

En un entorn cada vegada més regulat, l'avantatge competitiu no vindrà únicament d'adoptar intel·ligència artificial, sinó de demostrar que s'utilitza de manera responsable, ètica i alineada amb els drets de les persones.

Com sempre, cuideu les dades i cuideu-vos!

D’usuaris anònims a usuaris identificats: com està canviant la relació amb la IA

per

Sembla que la intel·ligència artificial està entrant en una nova etapa. Ja no es tracta únicament de què poden fer els models, sinó de quina informació hauran de proporcionar els usuaris per a accedir a ells.

Recentment, Anthropic ha anunciat canvis en les condicions d'ús de Claude que permetran sol·licitar processos de verificació d'identitat i edat a determinats usuaris. Entre les dades que podrien utilitzar-se per a aquestes verificacions, es troben documents oficials d'identitat i informació biomètrica obtinguda a partir d'imatges o vídeos facials. Aquests canvis entren en vigor a partir del 8 de juliol de 2026.

Més enllà del cas concret, la decisió reflecteix una tendència que probablement veurem cada vegada amb major freqüència en el sector tecnològic: el pas de plataformes obertes i relativament anònimes a entorns en què la identificació de l'usuari serà un requisit habitual.

Més seguretat, però també més responsabilitat

Les companyies d'IA s'enfronten a una pressió creixent per a prevenir fraus, evitar usos indeguts de les seves eines i complir amb noves exigències reguladores.

Des d'aquesta perspectiva, la verificació d'identitat pot resultar una mesura raonable. No obstant això, també suposa la recopilació d'informació especialment sensible que incrementa les obligacions de privacitat, seguretat i compliment.

La pregunta ja no és únicament com desenvolupar sistemes d'IA més potents, sinó com gestionar de manera responsable les dades necessàries per a operar aquests sistemes.

Quan la biometria entra en joc

La utilització de reconeixement facial o mecanismes similars introdueix un nivell de complexitat jurídica significativament major.

Les dades biomètriques es troben entre les categories d'informació més sensibles des de la perspectiva de la protecció de dades. El seu tractament exigeix analitzar qüestions com la proporcionalitat, la minimització de dades, la transparència i la seguretat de la informació.

A més, qualsevol incident relacionat amb aquesta mena de dades pot generar un impacte reputacional considerable per a les organitzacions implicades.

El que les empreses haurien d'aprendre d'aquest cas

Encara que la notícia afecta directament a una plataforma d'IA, les implicacions van molt més allà.

Moltes organitzacions ja estan incorporant eines d'intel·ligència artificial en les seves operacions diàries sense haver avaluat adequadament quines dades recopilen aquests sistemes, quins proveïdors intervenen o quines obligacions reguladores poden sorgir.

Per això, cada vegada resulta més important comptar amb una estratègia de governança d'IA que inclogui:

  • Avaluació de riscos.
  • Protecció de dades des del disseny.
  • Gestió de proveïdors tecnològics.
  • Polítiques internes d'ús d'IA.
  • Compliment normatiu i auditories periòdiques.

La confiança serà el veritable avantatge competitiu

La intel·ligència artificial continuarà evolucionant i els mecanismes d'identificació probablement es tornaran més habituals. No obstant això, les organitzacions que generin més confiança no seran necessàriament les que utilitzin més IA, sinó aquelles capaces de demostrar que gestionen correctament les dades dels seus usuaris.

En aquest escenari, la governança d'IA, la protecció de dades i el compliment normatiu deixen de ser qüestions exclusivament jurídiques per a convertir-se en elements estratègics de negoci. I precisament aquí és on les empreses necessitaran cada vegada més acompanyament especialitzat per a innovar sense comprometre la confiança de clients, empleats i socis comercials.

Com sempre, cuideu les dades i cuideu-vos!

Les dades estan en xarxes socials? Això no autoritza la teva empresa a utilitzar-los

per

Les ressenyes online s'han convertit en un element clau per a la reputació de qualsevol negoci. No obstant això, quan una empresa respon impulsivament a una crítica negativa, el problema pot deixar de ser reputacional per a convertir-se en una qüestió de compliment normatiu.

Una recent resolució de l'Agència Espanyola de Protecció de Dades (AEPD) torna a posar sobre la taula una qüestió que moltes organitzacions continuen ignorant: la protecció de dades també aplica en les respostes a comentaris, ressenyes i publicacions realitzades en internet.

Quan gestionar una crítica es converteix en un problema legal

El cas analitzat per l'AEPD té el seu origen en vàries ressenyes negatives publicades per clients en el perfil de Google d'un establiment. Com a resposta, l'empresa va decidir publicar diversa informació personal dels qui havien realitzat els comentaris, incloent-hi dades identificatives i referències a aspectes de la seva vida privada.

L'actuació va acabar derivant en una sanció econòmica i en l'obligació d'eliminar els continguts publicats.

Més enllà dels detalls concrets del cas, la resolució resulta especialment rellevant perquè aborda una pràctica relativament freqüent: utilitzar informació obtinguda en xarxes socials per a respondre públicament a clients o usuaris.

Que una dada sigui pública no significa que pugui reutilitzar-se lliurement

Un dels arguments plantejats per l'empresa era que part de la informació publicada podia trobar-se en perfils de xarxes socials.

L'AEPD rebutja expressament aquesta interpretació i recorda que la mera disponibilitat d'una dada en internet no autoritza tercers a recopilar-lo, reutilitzar-ho o difondre-ho lliurement.

Des de la perspectiva del RGPD, accedir a informació personal, recopilar-la i tornar a publicar-la constitueix un tractament de dades personals que requereix una base jurídica vàlida.

En altres paraules: que un usuari comparteixi determinada informació en una xarxa social no converteix aquestes dades en un recurs de lliure utilització per a empreses, empleats o tercers.

El risc augmenta quan intervenen dades especialment sensibles

La resolució adquireix una dimensió encara més rellevant perquè part de la informació divulgada feia referència a aspectes relacionats amb l'orientació sexual d'una de les persones afectades.

Aquest tipus d'informació forma part de les categories especials de dades contemplades pel RGPD, el tractament del qual està subjecte a un nivell de protecció reforçat i únicament pot realitzar-se en circumstàncies molt concretes.

La publicació d'aquesta mena d'informació en un entorn obert i accessible per a qualsevol usuari suposa un risc significatiu per als drets i llibertats de les persones afectades i pot donar lloc a conseqüències reguladores especialment severes.

La gestió de la reputació digital requereix protocols

Les organitzacions solen invertir recursos en màrqueting digital, gestió de xarxes socials i atenció al client online. No obstant això, no sempre existeixen procediments clars sobre quina informació pot utilitzar-se en respondre públicament a usuaris.

La realitat és que una resposta impulsiva d'un empleat, un community manager o fins i tot de la direcció de l'empresa pot generar riscos legals, reputacionals i econòmics molt superiors a l'impacte d'una ressenya negativa.

Per això, resulta recomanable que les companyies integrin la protecció de dades dins de les seves polítiques de comunicació digital, formant als seus equips i establint controls específics per a la gestió de comentaris, reclamacions i conflictes en entorns en línia.

Protecció de dades i reputació: dues cares de la mateixa moneda

En un context en el qual l'activitat empresarial es desenvolupa cada vegada més en plataformes digitals, la reputació corporativa i el compliment normatiu estan estretament connectats.

La gestió adequada de dades personals, el disseny de protocols de resposta i la formació en privacitat són elements essencials per a evitar que una crisi reputacional puntual acabi convertint-se en un procediment sancionador.

Perquè en matèria de protecció de dades, respondre a una crítica pot ser legítim; exposar públicament informació personal de qui la realitza, no.

Com sempre, cuideu les dades i cuideu-vos!

Per llegir la resolució, feu clic aquí.

Transcripció de veu amb IA: la pregunta no és si funciona, sinó si la teva organització està preparada

per

La IA transcriu, però la responsabilitat continua sent humana

La creixent adopció d'eines d'intel·ligència artificial per a transcriure reunions, trucades o converses està transformant la forma en què les organitzacions gestionen la informació. Agilitat, automatització i eficiència són avantatges evidents. No obstant això, darrere d'aquesta millora operativa existeix una qüestió que moltes empreses encara no s'han plantejat: qui respon quan la tecnologia s'equivoca?

La recent reflexió de l'AEPD recorda una idea essencial: utilitzar IA per a transcriure veu no implica traslladar la responsabilitat al proveïdor tecnològic. L'organització que decideix implantar aquestes eines continua sent responsable del tractament i de les seves conseqüències.

Quan un error de transcripció deixa de ser un error menor

Els errors poden tenir un impacte molt major del que sembla. Una transcripció pot atribuir una declaració a la persona equivocada, eliminar matisos rellevants o registrar dades incorrectes. Un nom mal identificat, un càrrec erroni o una frase treta de context poden afectar la qualitat de la informació i, en determinats escenaris, generar riscos jurídics i de compliment.

La qüestió no és si la tecnologia falla—perquè pot fer-ho—, sinó si l'organització ha previst què ocorrerà quan succeeixi.

Transparència, conservació i drets: riscos que solen passar desapercebuts

La transparència també ocupa un paper central. Les persones han de conèixer de manera clara quan la seva veu està sent tractada mitjançant sistemes d'IA, amb quina finalitat i quin ús posterior pot donar-se a aquesta informació.

A més, és necessari revisar aspectes que amb freqüència passen desapercebuts: les gravacions es conserven més temps del necessari?, les dades s'utilitzen per a reentrenar models?, existeixen mecanismes senzills per a rectificar errors o exercir drets?

L'experiència demostra que moltes organitzacions incorporen solucions de transcripció automàtica com una funcionalitat més dins de plataformes col·laboratives o eines de productivitat, sense analitzar realment les implicacions de privacitat i governança que incorporen.

La veritable pregunta: ha revisat la teva organització tot el que hauria?

Potser la pregunta rellevant ja no és si utilitzar o no aquestes eines. La qüestió és una altra: la teva organització ha revisat realment tot el que hauria de revisar?

  • Ha analitzat el paper i les responsabilitats del proveïdor?
  • Existeixen protocols per a validar i corregir transcripcions errònies?
  • S'han definit períodes adequats de conservació?
  • S'informa correctament empleats, clients o participants?
  • S'han avaluat els riscos des d'una perspectiva de privacitat i compliment?

La intel·ligència artificial pot aportar un enorme avantatge competitiu, però la innovació sostenible exigeix alguna cosa més a implementar tecnologia: requereix fer-ho amb garanties.

Les organitzacions que obtindran major valor d'aquestes eines no seran necessàriament les que adoptin més IA, sinó aquelles que hagin dedicat temps a entendre les seves implicacions i a implantar-la amb garanties.

Com sempre, cuideu les dades i cuideu-vos!

XII Congrés Internacional de Privacitat i Intel·ligència Artificial de APEP·IA

per

Els passats 7 i 8 de maig l'equip de Tecnolawyer va assistir al XII Congrés Internacional de Privacitat i Intel·ligència Artificial organitzat per APEP·IA, una trobada de referència per a professionals de l'àmbit de la privacitat, la protecció de dades i la governança de la intel·ligència artificial.

Durant les diferents sessions i taules de debat, el Congrés va reunir representants institucionals, experts jurídics, acadèmics i companyies tecnològiques per a analitzar els reptes que planteja la ràpida evolució de la IA des d'una perspectiva reguladora, ètica i operativa. Al llarg de les jornades es van abordar qüestions especialment rellevants relacionades amb l'aplicació pràctica de la normativa de protecció de dades, la gestió de riscos, la transparència dels sistemes d'IA i la necessitat d'avançar cap a models de governança responsables i sostenibles.

Un dels aspectes més destacats de l'esdeveniment va ser l'enfocament pràctic de moltes de les intervencions, centrades en com les organitzacions poden adaptar-se al nou context tecnològic i regulador. La creixent integració d'eines d'intel·ligència artificial en processos empresarials i entorns laborals està generant nous desafiaments en matèria de privacitat, seguretat de la informació i compliment normatiu, la qual cosa exigeix una aproximació cada vegada més transversal i estratègica.

El Congrés també va posar de manifest el paper clau que està exercint Europa en la definició d'estàndards reguladors entorn de la intel·ligència artificial i la protecció de dades. Els diferents debats van reflectir la importància de trobar un equilibri entre innovació i garantia de drets fonamentals, així com la necessitat que empreses i professionals es mantinguin preparats davant un marc normatiu en constant evolució.

La nostra assistència a aquesta trobada ha suposat una excel·lent oportunitat per a conèixer de primera mà les tendències i prioritats que marcaran el desenvolupament de la IA en els pròxims anys, així com per a compartir experiències amb altres professionals del sector.

Des de la nostra signatura, continuem apostant per una visió de la innovació tecnològica alineada amb el compliment normatiu, la protecció de dades i l'adopció responsable de solucions d'intel·ligència artificial.

Agraïm a APEP·IA l'organització d'un Congrés de gran nivell tècnic i plenament connectat amb els desafiaments actuals de l'entorn digital.

Com sempre, cuideu les dades i cuideu-vos!

Píxels en email marketing: l’«invisible» que pot costar-te 100.000 €

per

L'email marketing continua sent una de les eines més rendibles per a les empreses. Però hi ha un detall tècnic que moltes organitzacions utilitzen sense qüestionar-ho—i que ja està generant sancions rellevants—: els píxels de seguiment.

Aquests petits fragments de codi que permeten saber si algú obre un correu, quan el fa o des de quin dispositiu. Útils, sí. Inofensius... no sempre.

L'Agència Espanyola de Protecció de Dades (AEPD) ja ha deixat clar el missatge: no pots rastrejar sense permís, encara que sí que puguis enviar l'email.

1. Rebre emails no significa acceptar ser monitoritzat

Un dels principals errors detectats és assumir que l'acceptació de comunicacions comercials inclou, de manera implícita, el consentiment per al seguiment de l'activitat del destinatari.

Des del punt de vista normatiu, això no és correcte.

L'ús de píxels implica accedir al terminal de l'usuari per a recaptar informació, la qual cosa situa aquesta pràctica dins de l'àmbit de l'article 22.2 de la LSSI, en línia amb el règim aplicable a cookies i tecnologies similars.

Això exigeix informació prèvia clara i consentiment específic, exprés i separat.

2. El píxel «invisible» no és neutre

Des del punt de vista tècnic, el píxel funciona com una ordre al dispositiu de l'usuari per a enviar informació a un servidor extern.

Això pot incloure:

  • si ha obert l'email,
  • a quina hora,
  • des de quin dispositiu,
  • i fins i tot patrons de comportament.

Quan aquesta recollida es produeix sense coneixement del destinatari, pot vulnerar els principis de transparència i lleialtat establerts en el RGPD.

3. Europa ho té clar: això és com una cookie

El Comitè Europeu de Protecció de Dades ha equiparat l'ús de píxels a altres tecnologies de seguiment, la qual cosa consolida l'exigència de consentiment vàlid conforme als estàndards del Tribunal de Justícia de la Unió Europea.

Això implica, entre altres qüestions: exclusió de mecanismes basats en consentiment tàcit, invalidesa de caselles premarcades i necessitat d'una acció afirmativa clara per part de l'usuari.

Per tant, el consentiment ha de ser clar, informat i verificable.

4. No és només el teu proveïdor: la responsabilitat també és teva

Un altre punt crític (i molt rellevant a nivell comercial) és que moltes empreses utilitzen eines d'email marketing sense revisar què fan exactament. No obstant això, el fet que el tracking el proporcioni una plataforma externa no elimina la responsabilitat.

Si es decideix usar aquestes mètriques, es defineixen els seus paràmetres o s'obtenen beneficis d'elles, s'està participant en el tractament de dades, per la qual cosa això et converteix en responsable (o corresponsable) del tractament.

Aquest aspecte resulta especialment rellevant en contextos d'auditoria o inspecció.

5. El precedent: 100.000 € per rastrejar sense informar

L'AEPD ja ha sancionat aquest tipus de pràctiques en casos en els quals no s'informava adequadament l'usuari, no existia una base jurídica vàlida, i el tractament es realitzava de manera opaca.

En un dels seus últims expedients (PS/00328/2022), la sanció ha arribat a la suma total de 100.000 €. En aquest sentit, l'AEPD ha subratllat que la utilitat comercial d'aquestes eines no justifica el seu ús sense garanties adequades. Aquesta sanció ha estat ratificada posteriorment en el recurs de reposició.

Conclusió: el problema no és mesurar, és com es fa

Mesurar resultats en màrqueting és necessari, però fer-ho sense control pot sortir car.

El veritable risc no està a usar tecnologia d'analítica, sinó a fer-ho:

  • sense consentiment adequat,
  • sense transparència,
  • i sense entendre quines dades s'estan tractant realment.

Aquí és on moltes empreses fallen: no en l'eina, sinó en la configuració.

En un context de creixent exigència reguladora, resulta imprescindible que les organitzacions puguin respondre amb claredat a una qüestió bàsica: quines dades s'estan recollint en les nostres campanyes d'email i sota quina legitimació?

Quan aquesta resposta no està clarament definida, el risc deixa de ser teòric i passa a ser operatiu.

Com sempre, cuideu les dades i cuideu-vos!

Revisió Texts legals web