RGPD e IA generativa: qué puede (y qué no puede) hacer tu despacho
Las tres condiciones para usar IA generativa sin infringir el RGPD ni el secreto profesional: tus datos nunca se usan para entrenar, permanecen en la UE y hay un acuerdo de tratamiento de datos. Más la seudonimización.
El problema
Subir documentos confidenciales a una nube de IA pública significa entregarlos a un tercero, a menudo fuera de la UE, con el riesgo de que se conserven o se usen para entrenar el modelo. Para un despacho de abogados o una empresa de un sector regulado, es un problema de RGPD y de secreto profesional.
Las tres condiciones
Para que el uso de IA generativa sea compatible con el RGPD y la confidencialidad, hacen falta tres cosas:
- Sin entrenamiento con tus datos: nunca se usan para entrenar el modelo.
- Datos en la UE: tratados y almacenados dentro de la Unión.
- Un acuerdo de tratamiento de datos firmado con el proveedor, que defina roles y garantías.
Una solución alojada en tus propios servidores (en tus instalaciones o en un servidor dedicado en la UE) cumple las tres desde el principio.
La seudonimización
El RGPD (Reglamento (UE) 2016/679, arts. 4.5 y 32) reconoce la seudonimización como medida de seguridad: nombres, NIF e IBAN se sustituyen por códigos antes de que el modelo llegue a verlos. Ojo con sus límites: reduce el riesgo, pero no es anonimización y no protege el contenido (una estrategia de defensa sigue siendo legible). Para eso hace falta un espacio privado tuyo: los datos no salen, no se guarda ningún registro y nadie puede leerlos.
Hacia dónde va la regulación
En Italia, la Ley 132/2025 ha incorporado la IA al ordenamiento jurídico, en línea con el Reglamento europeo de IA (AI Act). Añade pocas obligaciones nuevas más allá del Reglamento europeo, pero señala la dirección: mantener tus datos bajo tu control es la postura prudente.
En resumen
Puedes usar IA generativa cumpliendo la normativa — siempre que elijas una solución en la que tus datos nunca salgan. Si quieres saber qué es posible en tu caso, empieza con 3 horas.
Guía informativa, no asesoramiento jurídico. Para tu caso concreto, consulta a un abogado especializado en privacidad.