El uso de tecnología forma parte de casi cualquier actividad empresarial: se almacenan datos en la nube, se firman documentos electrónicamente, se utilizan plataformas de terceros, se automatizan procesos y se incorporan herramientas de inteligencia artificial. Cada una de estas decisiones puede simplificar el trabajo, pero también introduce obligaciones que no siempre resultan visibles cuando se contrata una herramienta o se activa una nueva función.
El problema jurídico no está en utilizar tecnología, sino en hacerlo sin comprobar qué información se maneja, quién puede acceder a ella, qué derechos pueden verse afectados y qué normas resultan aplicables. Una aplicación aparentemente sencilla puede implicar tratamiento de datos personales, transferencia internacional de información, uso de contenidos protegidos o decisiones automatizadas con consecuencias para terceros.
Protección de datos: qué información se introduce y dónde termina
La protección de datos es uno de los primeros aspectos que deben revisarse cuando una empresa incorpora una nueva tecnología. El Reglamento General de Protección de Datos se aplica al tratamiento de información relativa a personas identificadas o identificables, y considera tratamiento operaciones tan habituales como recoger, consultar, almacenar, modificar o comunicar esos datos.
Esto significa que una herramienta tecnológica no queda fuera de las obligaciones del RGPD simplemente porque el tratamiento sea automático. Antes de utilizarla, la empresa debe conocer qué datos va a manejar, con qué finalidad y cuál es la base jurídica que permite hacerlo. También debe aplicar principios como la minimización: si una tarea puede realizarse con menos información, no resulta necesario facilitar todos los datos disponibles.
La Agencia Española de Protección de Datos recuerda que las medidas de seguridad deben establecerse teniendo en cuenta el riesgo que presenta cada tratamiento. Esto obliga a valorar factores como la naturaleza de los datos, el alcance del tratamiento y las posibles consecuencias para las personas afectadas.
También es importante saber qué ocurre con los datos después de enviarlos a un proveedor. Una plataforma puede almacenarlos, permitir el acceso a otros proveedores o procesarlos desde países situados fuera del Espacio Económico Europeo. En estos casos, además de revisar las condiciones contractuales, puede ser necesario analizar las garantías aplicables a las transferencias internacionales.
Inteligencia artificial: nuevas herramientas, nuevas obligaciones
La inteligencia artificial ha añadido una dificultad específica: muchas herramientas pueden procesar en segundos documentos que contienen información empresarial o personal. Un trabajador puede introducir un contrato para obtener un resumen, copiar un correo para preparar una respuesta o utilizar un currículum para comparar perfiles. La operación parece equivalente a utilizar cualquier otra aplicación, pero jurídicamente puede implicar un tratamiento de datos personales y una cesión o comunicación de información a un tercero. Desde su web, EJASO analiza si una empresa puede introducir datos personales de sus clientes en ChatGPT. El punto relevante de su análisis no es que el uso de estas herramientas esté prohibido, sino que, cuando existe tratamiento de datos personales, deben determinarse la finalidad, la base jurídica, la minimización de la información, las condiciones del proveedor y las garantías de seguridad correspondientes.
Una precaución básica consiste en no introducir en una herramienta de IA más información de la necesaria. Si el sistema solo necesita conocer el contenido de una cláusula para resumirla, puede no ser necesario facilitar el nombre, dirección, teléfono u otros datos del cliente. Además, sustituir un nombre por un código no convierte automáticamente la información en anónima: si la persona puede volver a identificarse mediante información adicional, puede seguir existiendo un dato personal.
También conviene revisar las condiciones concretas de cada herramienta. No todas funcionan igual respecto a la conservación de las conversaciones, el uso de los contenidos, el acceso por parte de proveedores o las opciones disponibles para controlar los datos. Estas diferencias deberían comprobarse antes de autorizar un uso empresarial y documentarse cuando el tratamiento tenga especial relevancia.
A estas obligaciones se suma el Reglamento de Inteligencia Artificial de la Unión Europea. La norma establece un marco basado en el nivel de riesgo de los sistemas y contempla obligaciones diferentes según el tipo de uso. Entre otras cuestiones, exige que proveedores y responsables del despliegue adopten medidas para favorecer la alfabetización en materia de IA de las personas que utilizan estos sistemas en su actividad profesional. También prohíbe determinadas prácticas consideradas especialmente problemáticas. Esto significa que una empresa no debería limitarse a adquirir una herramienta y dejar que cada empleado decida cómo utilizarla. Es recomendable definir qué aplicaciones están autorizadas, para qué tareas pueden emplearse y qué tipo de información no puede introducirse.
Contratos y proveedores tecnológicos
Buena parte de la tecnología empresarial depende de terceros. Servicios de almacenamiento, programas de gestión, plataformas de videoconferencia, proveedores de alojamiento web o sistemas de inteligencia artificial pueden intervenir en procesos esenciales sin formar parte de la organización. Cuanto más importante sea el servicio para la actividad, mayor atención merece la relación contractual y la posibilidad de mantener el control sobre la información. Antes de contratar estos servicios conviene revisar qué se está aceptando realmente. Las condiciones de uso determinan cuestiones que pueden tener consecuencias jurídicas: responsabilidades de cada parte, propiedad y licencia sobre los contenidos, conservación de la información, acceso de subcontratistas, niveles de servicio y mecanismos de cancelación.
La protección de datos requiere además identificar correctamente el papel de cada proveedor. Cuando una empresa encarga a un tercero un tratamiento de datos personales en su nombre, el RGPD establece requisitos específicos para esa relación y exige garantías suficientes. No basta con asumir que cualquier proveedor tecnológico es automáticamente un encargado del tratamiento; hay que analizar las funciones reales que desempeña y los fines para los que utiliza la información.
Propiedad intelectual y contenidos digitales
Otro aspecto que suele quedar en segundo plano es la propiedad intelectual. El hecho de que una imagen, un texto, un vídeo, una fotografía o un programa informático esté disponible en Internet no significa que pueda utilizarse libremente. Las empresas deben comprobar qué derechos tienen sobre los contenidos que incorporan a sus páginas web, redes sociales, campañas, presentaciones, aplicaciones o materiales internos. También conviene conservar una referencia de la licencia o autorización utilizada, sobre todo cuando el contenido procede de terceros. Las licencias pueden establecer condiciones sobre reproducción, modificación, distribución o uso comercial, y no todas permiten las mismas actuaciones.
La cuestión adquiere nuevas dimensiones con las herramientas de IA generativa. Utilizar una herramienta para producir texto, imágenes, código o audio no elimina la necesidad de revisar los derechos que puedan afectar a los materiales utilizados durante el proceso ni las condiciones de la propia plataforma. Además, cuando el resultado vaya a utilizarse comercialmente, conviene conocer qué garantías ofrece el proveedor y qué limitaciones establece.
Web, comercio electrónico y comunicaciones digitales
Una empresa que desarrolla su actividad a través de Internet también debe tener en cuenta normas específicas sobre servicios digitales. En España, la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico establece obligaciones para determinados prestadores, entre ellas requisitos de información, reglas relacionadas con la contratación electrónica y disposiciones sobre comunicaciones comerciales.
Las cookies y otras tecnologías de seguimiento requieren igualmente un análisis específico, especialmente cuando permiten almacenar o acceder a información en los dispositivos de los usuarios con finalidades que van más allá de las estrictamente técnicas. No basta con colocar un aviso genérico: el sistema utilizado debe corresponderse con las finalidades reales y con los requisitos de información y consentimiento que resulten aplicables.
Cómo integrar la revisión legal en el uso cotidiano de la tecnología
El principal riesgo para una empresa no suele encontrarse únicamente en una tecnología concreta, sino en incorporarla sin un procedimiento claro. Una aplicación puede parecer inofensiva hasta que un empleado la utiliza para cargar una base de datos, compartir un documento confidencial o automatizar una decisión que afecta a clientes. Por eso, antes de incorporar una herramienta conviene responder a unas preguntas básicas: qué función cumple, qué información necesita, quién tendrá acceso, dónde se procesan los datos, qué proveedor interviene, qué derechos pueden verse afectados y qué ocurre si el servicio deja de utilizarse.
A partir de ahí, la empresa puede establecer categorías internas. No es lo mismo utilizar una herramienta para organizar tareas sin datos personales que emplearla para analizar historiales de clientes. Tampoco tiene el mismo riesgo generar un borrador de texto que automatizar una decisión que produzca efectos relevantes sobre una persona. La formación de los empleados completa este sistema. Las reglas son poco útiles si quienes manejan las herramientas no saben qué información pueden compartir o qué usos están prohibidos. En el caso de la IA, además, el propio marco europeo incorpora la alfabetización como un elemento relevante de su regulación.
El criterio más útil es sencillo: antes de incorporar una tecnología, hay que conocer qué hace, pero también qué implica. Revisar los datos, los contratos, los derechos, la seguridad y las obligaciones específicas permite aprovechar las herramientas digitales sin convertir la comodidad de una nueva aplicación en un riesgo jurídico que la empresa podría haber previsto. La revisión debería repetirse cuando cambien las funciones de la herramienta, el proveedor o la finalidad para la que se utiliza. También cuando se incorporen nuevos datos o usuarios internos al proceso.
