IA y protección de datos: qué puedes hacer con los datos de tus clientes y qué no

Alguien de tu equipo está pegando ahora mismo datos de un cliente en un chat de IA para redactar un correo, resumir un expediente o preparar una respuesta. Quizá lo hace con buena intención. Quizá nadie le ha explicado dónde está el límite.

Usar IA con datos de clientes no es ilegal por definición. Depende de la herramienta, del contrato, de la información que envías y de las reglas que tengas antes de empezar. En este artículo ordenamos la decisión con lenguaje práctico. No damos asesoramiento jurídico: cuando el caso lo exige, hay que contar con un especialista.

Puntos clave

• Un dato personal sigue siéndolo cuando lo escribes en una herramienta de IA.
• Una cuenta personal gratuita y un servicio contratado para empresa no son equivalentes.
• Quitar el nombre no basta para anonimizar un expediente.
• Antes de automatizar, necesitas contrato, minimización, reglas y revisión humana.
• Los datos de salud y el secreto profesional añaden límites propios.

Respuesta corta: ¿puedo usar IA con datos de mis clientes?

Sí, pero solo después de comprobar qué herramienta utilizas, qué hace con la información, quién puede acceder a ella, cuánto tiempo se conserva y bajo qué relación contractual la trata. También necesitas una finalidad clara, los datos mínimos para esa tarea y reglas internas que el equipo pueda seguir.

La pregunta correcta no es si la IA está permitida en abstracto. Es si ese uso concreto está ordenado y se puede explicar. Si no sabes dónde acaba el texto, si el proveedor usa tus entradas para sus propios fines o si nadie revisa la salida antes de enviarla, todavía no tienes un uso preparado.

Qué cuenta como dato personal y por qué te vas a sorprender

Un dato personal es cualquier información que permita identificar a una persona, directamente o cruzándola con otros datos. La guía de adecuación al RGPD de tratamientos que incorporan inteligencia artificial (se abre en una pestaña nueva) de la AEPD explica que el tratamiento puede aparecer en distintas fases de una solución. El dato sigue protegido aunque el destinatario sea un programa.

El caso que casi todo el mundo falla

Imagina este texto: «Prepara un correo para la persona de la empresa de transporte de Almería cuya vista laboral es el 14 de octubre en el Juzgado de lo Social número 3». No aparece el nombre, pero el conjunto puede identificar a alguien al cruzarlo con el calendario del despacho.

Quitar el nombre reduce exposición, pero no prueba que exista anonimización. Si por la fecha, el juzgado, el diagnóstico, el municipio o el sector se llega a la persona, el dato sigue siendo personal.

Datos de salud y secreto profesional

La salud, la biometría dirigida a identificar a una persona, la afiliación sindical, las opiniones políticas, las convicciones y otros datos previstos por la norma tienen protección reforzada. En una clínica, separa citas e información clínica. Consulta IA para clínicas y automatizar una clínica pequeña con IA para ver ese límite.

En un despacho de abogados hay además secreto profesional y deberes propios de la relación con el cliente. No depende solo de cumplir con protección de datos. Por eso, cuando hablamos de IA para despachos de abogados, la primera decisión no es qué herramienta usar, sino qué información puede salir del entorno controlado. Para ejemplos de tareas, consulta procesos automatizables en un despacho de abogados.

Dónde acaban los datos que le das a una IA

La respuesta depende de tres comprobaciones: uso de tus entradas, ubicación y conservación, y relación contractual. La AEPD advierte que la nube puede implicar flujos de datos a terceros países. Hay que preguntar, no suponer. Esa revisión te dice si el tratamiento está bajo tu control.

Entrenamiento con lo que escribes

Que una herramienta redacte un borrador no significa que el texto desaparezca al cerrar la ventana. Revisa condiciones, configuración y contrato: una cuenta personal y un producto empresarial pueden tratar y conservar distinto. Pagar no demuestra seguridad, igual que lo gratuito no es siempre inservible.

Dónde se guardan y cuánto duran

Pregunta por la ubicación de los datos, los subencargados, las transferencias internacionales, los registros técnicos y el proceso de borrado. La guía de protección de datos por defecto (se abre en una pestaña nueva) de la AEPD propone mirar la cantidad de datos, la extensión del tratamiento, el periodo de conservación y la accesibilidad.

Pregunta: ¿se puede desactivar la conservación? ¿Qué queda en copias? ¿Quién accede a los registros? ¿Cómo recuperas o eliminas la información al terminar? Si nadie concreta, no está listo.

Quién responde si pasa algo

Frente a tu cliente, el responsable de sus datos eres tú. En el diseño habitual, el proveedor que trata información siguiendo tus instrucciones actúa como encargado y esa relación debe documentarse por contrato. Si el proveedor usa los datos para sus propios fines, el análisis cambia y hay que revisarlo con cuidado.

Cambiar de herramienta no traslada la responsabilidad. Tú decides la finalidad, eliges el servicio y debes poder explicarlo. Un proveedor serio ayuda a documentarlo.

El Reglamento Europeo de Inteligencia Artificial (se abre en una pestaña nueva) añade obligaciones según el sistema y su uso. No sustituye el análisis de protección de datos ni permite atribuir una categoría de riesgo sin estudiar el caso.

Para ordenar las comprobaciones, puedes consultar los requisitos para auditorías de tratamientos que incluyan IA (se abre en una pestaña nueva) publicados por la AEPD.

Los siete mínimos de protección de datos antes de usar IA con clientes

Antes de usar IA con datos de clientes hacen falta siete cosas: saber qué herramientas usa tu equipo, contrato con quien trate datos por ti, dar solo el dato necesario, reglas escritas de uso, registro actualizado, revisión humana antes de salir al cliente y un plan para cuando algo falle. Es un checklist operativo, no una declaración de intenciones.

1. Inventario real de herramientas. Pregunta al equipo qué cuentas y extensiones utiliza de verdad. No te quedes con la lista que aprobaste hace meses.
2. Contrato con el proveedor que trata datos por ti. Comprueba el papel y su alcance. Pagar una licencia no sustituye esa revisión.
3. Dato mínimo para cada tarea. Define qué campo necesita el borrador y qué información se queda dentro de tu sistema.
4. Reglas escritas para el equipo. Indica qué se puede introducir, qué está prohibido y cuándo se debe pedir ayuda.
5. Registro de actividades actualizado. Refleja el uso real, las categorías de datos, la finalidad, los accesos y la conservación que corresponda.
6. Revisión humana antes de enviar o decidir. La persona comprueba contenido, destinatario, contexto y cualquier dato sensible. Un borrador no es una respuesta aprobada.
7. Plan para un incidente. Debes saber cómo cortar accesos, conservar evidencias, identificar lo enviado y consultar a tu DPD o especialista.

Si falta un punto, no abandones toda automatización. Haz primero un tramo sin datos personales, prepara mejor la tarea o busca revisión profesional.

Qué no metes en una IA, sin discusión

Hay cuatro cosas que no entran, y el motivo es el mismo en las cuatro: no puedes explicar dónde acaban.

• Documentación identificativa completa en una herramienta cuyo tratamiento no conoces: DNI, pasaporte o el expediente entero de una persona.
• Historiales de salud en una cuenta personal, aunque sea «solo para resumirlo».
• Credenciales y claves, tuyas o de un cliente.
• Información cubierta por secreto profesional en un servicio que puede usarla para sus propios fines.

No es una lista de miedo: es una frontera para evitar decisiones impulsivas.

Una regla mental útil: si no se lo enseñarías a un desconocido en una cafetería, no lo pegues en una herramienta cuyo almacenamiento, acceso y finalidad no puedes explicar. Sustituye identificadores por referencias internas y elimina lo que no cambia la respuesta.

Si el uso es atención al cliente, recuerda también que los datos no convierten un proceso mal definido en un buen chatbot. Explicamos ese criterio en cuándo no usar un chatbot con IA.

Qué preguntarle sobre protección de datos al proveedor que te monta la IA

Un proveedor serio puede responder estas seis preguntas y mostrarte la documentación. Necesitas saber qué datos entran, quién los trata, qué queda registrado y cómo sales del servicio. Si no hay respuesta clara, no entregues datos sensibles.

Para datos fiscales y económicos, compara sus respuestas con IA para gestorías contables y IA para asesorías y gestorías. Busca límites que el equipo entienda.

Ya he metido datos de clientes en una IA. ¿Y ahora qué?

No borres el problema ni sigas como si nada. Para el uso, identifica qué se envió y desde qué cuenta, revisa al proveedor y consulta si existe un incidente que deba documentarse. El objetivo es cortar la práctica y valorar los hechos con criterio.

Primero corta la vía, después documenta

Desactiva el uso no aprobado, conserva lo necesario para reconstruirlo y habla con quienes participaron. Anota fechas, datos, destinatarios y cuentas. Cierra la vía antes de buscar culpables.

Cuándo pasa de mal hábito a incidente

Una exposición exige valorar qué ocurrió, qué información estaba implicada y sus consecuencias. La AEPD explica que las evaluaciones de impacto analizan tratamientos de alto riesgo; su información oficial sobre evaluaciones de impacto en protección de datos (se abre en una pestaña nueva) recuerda que las listas son orientativas.

No dejes esa decisión en manos del proveedor. Consulta a tu DPD o busca asesoramiento especializado. Awakate puede ordenar el flujo técnico, pero no decide si un caso tiene que notificarse.

Lo que no arregla nada

Borrar el historial del chat y callarlo no demuestra que el dato haya desaparecido. Documenta lo ocurrido, corrige la configuración, actualiza la regla y forma al equipo.

Cómo lo hacemos en Awakate

Empezamos por el proceso y los datos, no por una demostración. En proyectos con información sensible definimos qué entra, quién accede, qué acciones requieren revisión y qué queda registrado. Si faltan mínimos, ordenamos la práctica antes de automatizarla y definimos qué se queda fuera del sistema.

En nuestra experiencia de implantación, el primer problema suele ser una cuenta o un acceso que nadie había inventariado. Resolver ese punto antes de construir evita automatizar una práctica que el equipo no puede explicar.

En un despacho laboralista, puede significar separar fechas y recordatorios de la información confidencial del expediente. En una clínica de fisioterapia, empezar por agenda y seguimiento administrativo sin exponer la historia de salud. Son casos cualitativos, no promesas.

La frontera es clara: Awakate es una consultora de IA, no un despacho de abogados ni una asesoría de protección de datos. No hacemos evaluaciones de impacto ni decidimos la base jurídica. Montamos sistemas para que cumplir sea posible y te decimos cuándo necesitas un especialista.

Si quieres revisar tu caso, pide un diagnóstico gratuito de 30 minutos con nuestro equipo de consultoría de IA en Málaga. Miramos qué herramientas usa tu equipo, qué datos están saliendo por ahí y si primero toca ordenar el proceso.

Preguntas frecuentes

¿Es legal usar IA con datos de clientes en España?

Puede serlo, pero no por el simple hecho de usar una herramienta conocida. Hay que definir la finalidad, la base adecuada, los datos necesarios, los accesos, la conservación y el papel del proveedor. El texto oficial del Reglamento General de Protección de Datos (se abre en una pestaña nueva) es la fuente que debe orientar el análisis concreto.

¿Puedo usar una cuenta gratuita de IA en mi empresa?

No la uses con datos personales hasta entender sus condiciones de tratamiento, conservación, acceso y reutilización. Una cuenta gratuita no es automáticamente ilegal, pero tampoco demuestra que el uso esté cubierto. Empieza con textos ficticios o anonimizados y valida el servicio con quien lleve protección de datos en tu empresa.

¿Tengo que avisar a mis clientes de que uso IA?

Depende del tratamiento concreto, de la información que ya facilitas y de cómo interviene el sistema. No añadas una frase genérica a la política de privacidad para tapar una práctica que no está ordenada. Revisa transparencia, finalidad, proveedores y derechos con tu asesor o DPD antes de decidir qué comunicar.

¿Qué pasa si meto datos de salud en una herramienta de IA?

Los datos de salud tienen protección reforzada. Para usarlos necesitas justificar el tratamiento, limitar el acceso, escoger un proveedor documentado y mantener revisión humana. No los introduzcas en una cuenta personal por comodidad. En una clínica pequeña, empieza por tareas administrativas que no necesiten leer la historia del paciente.

¿Basta con quitar el nombre para que deje de ser un dato personal?

No. Si el resto del texto permite identificar a la persona, sigue siendo un dato personal. Una fecha, un juzgado, un diagnóstico, un municipio o una combinación poco frecuente pueden bastar. Antes de enviar un texto, revisa si alguien con acceso al contexto podría reconocer de quién hablas.

Conclusión

La IA no elimina tus obligaciones de protección de datos. Antes de automatizar, inventaría las herramientas, limita la información, documenta al proveedor, escribe reglas, conserva el registro y revisa la salida.

Si todavía decides qué automatizar, consulta nuestra guía sobre automatización de procesos con IA y este checklist para saber si tu pyme necesita IA. Si el proceso no está preparado, te lo diremos.

Fuentes oficiales

• Agencia Española de Protección de Datos, Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción (se abre en una pestaña nueva), consultada el 2026-08-19.
• Agencia Española de Protección de Datos, Guía de Protección de Datos por Defecto (se abre en una pestaña nueva), consultada el 2026-08-19.
• Agencia Española de Protección de Datos, Realización de evaluaciones de impacto de protección de datos (se abre en una pestaña nueva), consultada el 2026-08-19.
• Agencia Española de Protección de Datos, Requisitos para auditorías de tratamientos que incluyan IA (se abre en una pestaña nueva), consultada el 2026-08-19.
• Unión Europea, texto oficial del Reglamento General de Protección de Datos (se abre en una pestaña nueva), consultado el 2026-08-19.
• Unión Europea, texto oficial del Reglamento Europeo de Inteligencia Artificial (se abre en una pestaña nueva), consultado el 2026-08-19.