IA y RGPD: qué cambia si el modelo se ejecuta dentro de la empresa

Qué obligaciones de protección de datos aparecen al usar IA con documentos que contienen datos personales, y cuáles desaparecen —y cuáles no— si el sistema es local.

Equipo Polaris AI · Actualizado el 2026-09-29

Antes de nada: esto no es asesoramiento jurídico

Este artículo explica los conceptos que entran en juego cuando una empresa usa IA con datos personales. Cada tratamiento concreto necesita su propio análisis, y para eso está el delegado de protección de datos de la empresa o un abogado especializado. Las fuentes oficiales están enlazadas al final.

Qué obligaciones aparecen al usar IA en la nube

• Contrato de encargado del tratamiento (art. 28 RGPD)

  Si el proveedor de IA trata datos personales por cuenta de la empresa, es un encargado del tratamiento. Hace falta un contrato que fije qué puede hacer con los datos, las medidas de seguridad y qué pasa con ellos al terminar. También hay que verificar que el proveedor ofrece garantías suficientes.

• Transferencias internacionales (capítulo V RGPD)

  Si los servidores del proveedor están fuera del Espacio Económico Europeo, enviar datos allí es una transferencia internacional, que necesita una base: una decisión de adecuación, cláusulas contractuales tipo u otra garantía prevista en el Reglamento.

• Uso de los datos por el proveedor

  Hay que saber si el proveedor usa el contenido para entrenar o mejorar sus modelos, y en qué condiciones. Varía según el producto y el tipo de contrato, y cambia con el tiempo: conviene revisarlo en las condiciones vigentes, no darlo por supuesto.

• Evaluación de impacto (art. 35 RGPD)

  Cuando el tratamiento puede suponer un alto riesgo para los derechos de las personas —por ejemplo, tratamiento a gran escala de categorías especiales o uso de nuevas tecnologías en ciertos contextos— hay que hacer una evaluación de impacto antes de empezar.

Categorías especiales y secreto profesional

El artículo 9 del RGPD protege de forma reforzada ciertas categorías de datos: salud, datos genéticos y biométricos, ideología, orientación sexual, entre otras. Una clínica que usa IA con historiales trata datos de salud, y eso eleva el nivel de exigencia de todo lo anterior.

El secreto profesional —de abogados, de profesionales sanitarios, de asesores— es una obligación distinta del RGPD, que se suma a él. Enviar documentación sometida a secreto a un tercero, aunque sea un proveedor tecnológico con contrato, es algo que cada profesional debe valorar con las normas de su colegio y de su profesión.

Qué cambia con una IA local

• Desaparece el proveedor de IA como receptor de los datos

  Si el modelo se ejecuta en los servidores de la empresa y el contenido no sale de su red, no hay un proveedor de IA que reciba los documentos. Esa parte del contrato de encargado y del análisis de transferencias deja de aplicar a la IA.

• La empresa sigue siendo responsable del tratamiento

  Una IA local no exime del RGPD. La empresa mantiene todas sus obligaciones: base jurídica, información a los interesados, registro de actividades, medidas de seguridad, atención de derechos y, si procede, evaluación de impacto.

• Puede seguir habiendo encargados

  Si quien instala o mantiene el sistema tiene acceso a los datos, puede actuar como encargado del tratamiento y necesitar su propio contrato. Y si la IA se conecta a otros servicios —correo, mensajería—, esos servicios mantienen su propio régimen.

• La seguridad pasa a depender de la empresa

  Los datos están en casa: su protección frente a accesos indebidos, copias de seguridad y control de quién ve qué dependen de cómo esté montado el sistema.

Y el Reglamento Europeo de Inteligencia Artificial

El Reglamento (UE) 2024/1689, conocido como AI Act, regula los sistemas de IA según su nivel de riesgo, y se aplica de forma escalonada. No sustituye al RGPD: los dos se aplican a la vez cuando un sistema de IA trata datos personales.

Para la mayoría de usos administrativos en una pyme —clasificar documentos, extraer datos de facturas, responder preguntas sobre el archivo interno— el grueso de las obligaciones más exigentes, pensadas para sistemas de alto riesgo, no suele aplicar. Pero conviene comprobarlo caso por caso y seguir el calendario en la fuente oficial, porque ha estado en revisión.

Cómo lo resuelve Polaris AI

Polaris AI se ejecuta en los servidores de la empresa o en una máquina virtual privada. La red del contenedor donde corren los modelos no tiene salida a internet, y las únicas conexiones que salen son a los servicios que la propia empresa ya usa —su Google Workspace y su WhatsApp—. El tráfico de salida se puede auditar.

Eso elimina al proveedor de IA como receptor de los documentos. No elimina las obligaciones de la empresa como responsable del tratamiento, y así lo decimos en cada conversación.

Fuentes oficiales y relacionado

• ¿Qué es una IA on-premise? Qué significa que el modelo se ejecute en la empresa.
• IA local frente a IA en la nube La comparación completa.
• IA para clínicas y centros médicos Datos de salud y artículo 9 del RGPD.
• IA para despachos legales Secreto profesional.

Textos oficiales: Reglamento General de Protección de Datos (UE) 2016/679 · Reglamento de Inteligencia Artificial (UE) 2024/1689 · Agencia Española de Protección de Datos.