Qué es el RGPD, en una frase útil
El Reglamento (UE) 2016/679, en vigor desde el 25 de mayo de 2018, regula cómo las organizaciones tratan datos de personas físicas. Su idea central no es la prohibición, sino la responsabilidad proactiva del artículo 5.2: no basta con cumplir, hay que poder demostrarlo. Todo lo demás —bases jurídicas, contratos, registros, medidas de seguridad— existe para hacer esa demostración posible.
Esa es exactamente la parte que la IA generativa rompe. No porque los modelos sean inseguros, sino porque el uso ocurre fuera de todo registro.
Qué es un dato personal cuando hablamos de prompts
El RGPD define dato personal como cualquier información sobre una persona física identificada o identificable, directa o indirectamente. La definición es deliberadamente amplia, y en el contexto de un prompt suele sorprender:
- Un nombre y un apellido, evidentemente. También un DNI, un correo corporativo o un número de teléfono.
- Un identificador indirecto: «el comercial de la zona norte que se incorporó en marzo» identifica a una persona concreta dentro de una organización concreta.
- Un texto largo pegado sin leer: un contrato, un correo reenviado, un acta de reunión, una hoja de cálculo con una columna de nombres que nadie recordaba que estaba ahí.
- Datos seudonimizados que puedan revertirse. Sustituir el nombre por «Cliente 4» no anonimiza nada si el resto del texto permite reconstruir quién es.
La anonimización real —hacer imposible la reidentificación— sí saca el dato del ámbito del RGPD. Es la única salida limpia, y por eso es la que Moviwa automatiza.
Los cuatro requisitos que se incumplen a la vez
Cuando un empleado pega datos personales en una herramienta de IA que la empresa no ha contratado, no se incumple un artículo: se incumplen cuatro, simultáneamente.
1. No hay base jurídica para esa comunicación
El artículo 6 exige una base jurídica para cada tratamiento. La empresa puede tener base para tratar los datos de sus clientes en su CRM, pero eso no ampara comunicárselos a un tercero que no interviene en la relación. La comunicación es un tratamiento distinto y necesita su propia justificación.
2. No hay contrato de encargo
El artículo 28 obliga a firmar un contrato con cualquier proveedor que trate datos personales por cuenta del responsable, regulando finalidad, duración, medidas de seguridad y destino de los datos al terminar. Aceptar los términos de uso de una herramienta gratuita con la cuenta personal de un empleado no es un contrato de encargo, ni firmado por quien puede firmarlo.
3. Puede haber transferencia internacional sin garantías
Muchos proveedores tratan los datos fuera del Espacio Económico Europeo. El capítulo V exige garantías específicas —decisión de adecuación, cláusulas contractuales tipo o similar— y una evaluación del país de destino. Nada de eso existe cuando el envío lo decide un empleado desde su navegador.
Si tu organización presta servicios a la Administración, esta misma cuestión aparece con otro nombre y otros umbrales en el Esquema Nacional de Seguridad.
4. El tratamiento no consta en ningún registro
El artículo 30 obliga a mantener un registro de actividades de tratamiento. Un tratamiento invisible no está en el registro, así que la empresa afirma por escrito, ante la autoridad de control, algo que no es cierto. No por mala fe: porque nadie sabía que ocurría.
A esto se suma el artículo 32, que exige medidas de seguridad proporcionadas al riesgo. Es difícil sostener que hay medidas proporcionadas cuando ni siquiera hay visibilidad.
Qué pasa si la herramienta entrena con lo que le envías
Es la pregunta que más aparece y la respuesta honesta tiene dos partes.
Los planes empresariales de los principales proveedores suelen comprometerse contractualmente a no usar el contenido de las conversaciones para entrenar modelos. Los planes gratuitos y de consumo, en general, no ofrecen ese compromiso o lo condicionan a una configuración que el usuario debe activar.
La distinción es importante, pero secundaria. Aunque el proveedor no entrene con los datos, la comunicación ya se ha producido: hay un tercero tratando datos personales sin contrato de encargo. El entrenamiento agrava el problema; no lo crea.
Y la brecha real no está en el plan corporativo que la empresa contrató, sino en las cuentas personales que nadie contrató.