Automatizar procesos cumpliendo el RGPD
· por Panayot Dimkov
Casi cualquier proceso administrativo que automatices toca datos personales. Una factura lleva el nombre de un contacto; un alta de empleado lleva media vida de una persona; un flujo que clasifica correos lee lo que escriben clientes identificables. En cuanto un robot o un modelo de IA pasa por ahí, hay tratamiento de datos personales y aplica el RGPD.
Este artículo recorre los puntos donde una automatización se tuerce, qué exigirle al proveedor y qué comprobar antes de poner un flujo en producción. Si lo que buscas es el coste, lo tratamos en cuánto cuesta automatizar un proceso con IA.
1Los cinco fallos de RGPD al automatizar procesos
No son teóricos. Son los que aparecen una y otra vez cuando se revisa un flujo ya montado.
2Qué actualizar cuando automatizas
Hay tres documentos que casi nadie toca al montar un flujo y que dejan de reflejar la realidad en cuanto se pone en marcha.
| Documento | Qué cambia al automatizar |
|---|---|
| Registro de actividades de tratamiento | Aparecen nuevos destinatarios (las herramientas), a veces nuevas transferencias internacionales y, con frecuencia, plazos de conservación distintos |
| Información a los interesados | Si hay decisiones automatizadas del artículo 22, incluido el perfilado, hay que informarlo, con la lógica aplicada y las consecuencias previstas |
| Evaluación de impacto | Puede pasar a ser obligatoria. La AEPD la considera necesaria en la mayoría de los casos que reúnen dos o más criterios de su lista, entre ellos el perfilado, las decisiones automatizadas, los datos a gran escala, la combinación de bases de datos con finalidades distintas o el uso innovador de tecnologías |
La evaluación de impacto asusta más de lo que debería. No es un trámite ante la autoridad: es un análisis interno, y en un proyecto pequeño ocupa unas pocas páginas. Solo hay que consultar a la autoridad de control si, aplicadas las medidas, el riesgo sigue siendo alto. Lo que sale mal es no haberla planteado cuando tocaba.
3Reglamento de IA: lo que ya aplica y lo que aún no
Al RGPD se le ha sumado el Reglamento europeo de inteligencia artificial, y conviene no mezclarlos: uno protege datos personales, el otro regula los sistemas de IA por su nivel de riesgo.
4Qué exigirle al proveedor
Estas son las cinco cosas que hay que tener por escrito antes de conectar una herramienta a datos reales.
- Contrato de encargado del tratamiento con las cláusulas del artículo 28, no solo unos términos de servicio aceptados con un clic.
- Lista de subencargados y aviso previo cuando cambien. Casi todas las plataformas se apoyan en terceros; el problema es no saber en cuáles.
- Ubicación del tratamiento y, si sale del Espacio Económico Europeo, en qué se apoya la transferencia (una decisión de adecuación o cláusulas contractuales tipo, por ejemplo).
- Compromiso de no entrenar con tus datos, si usas un servicio de IA. Muchos proveedores lo ofrecen, a veces por defecto en sus planes de empresa y a veces como opción que hay que activar; en ambos casos, que quede por escrito.
- Plazos de conservación y borrado, incluidos los registros de ejecución del flujo, que suelen contener datos y quedarse ahí para siempre.
5Cómo diseñar un flujo que cumpla el RGPD
La protección de datos desde el diseño no es una frase de manual: son decisiones concretas al montar el flujo.
La referencia oficial en España es la Agencia Española de Protección de Datos, que publica guías específicas sobre inteligencia artificial y evaluaciones de impacto. Este artículo es divulgativo y no sustituye al asesoramiento jurídico.
Preguntas frecuentes
¿Puedo usar un servicio de IA con datos personales de clientes?
Sí, siempre que haya una base de licitud, un contrato de encargado del tratamiento con el proveedor, se informe a los interesados de lo que corresponda y se conozca dónde se procesan los datos. Lo que no se puede es pegar información de clientes en una herramienta pública sin contrato y sin saber qué hace con ella.
¿Necesito una evaluación de impacto para automatizar un proceso?
Depende del tratamiento, no de la tecnología. Es exigible cuando hay probabilidad de un riesgo alto para los derechos de las personas, algo que suele darse cuando se combinan factores como el tratamiento a gran escala, la evaluación sistemática de aspectos personales o el uso de tecnologías nuevas en contextos sensibles. Automatizar el registro de facturas no suele requerirla; automatizar el cribado de candidatos, casi siempre sí.
¿Qué dice el RGPD de las decisiones automatizadas?
El artículo 22 limita las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a una persona, y reconoce el derecho a obtener intervención humana, a expresar el punto de vista y a impugnar la decisión. La clave está en «únicamente»: si hay una persona que revisa con criterio y puede cambiar el resultado, el escenario es distinto.
¿El Reglamento de IA me afecta si solo automatizo tareas administrativas?
Desde el 2 de agosto de 2026 se aplica la mayor parte del reglamento, incluidas las obligaciones de transparencia sobre interacción con sistemas de IA y etiquetado de determinados contenidos generados. Las obligaciones para sistemas de alto riesgo del anexo III se aplazaron al 2 de diciembre de 2027, y la mayoría de las automatizaciones administrativas no entran en esa categoría.
¿Qué pasa con los datos que quedan en los registros del flujo?
Son datos personales como cualquier otro y suelen ser el punto ciego del proyecto. Los registros de ejecución guardan a menudo el contenido de lo procesado y nadie les pone caducidad. Definir un plazo de conservación y un borrado automático es de las medidas más baratas y eficaces que se pueden tomar.
En definitiva
El RGPD no es un obstáculo para automatizar; es una guía de diseño bastante razonable. Mover solo los campos necesarios, saber dónde se procesan, tener el contrato firmado y dejar a una persona en las decisiones que afectan de verdad son medidas que además hacen el flujo más limpio y más fácil de mantener.
Lo que sí es un problema es descubrirlo al final. Plantear estas preguntas en el diseño cuesta unas horas; resolverlas con el flujo en producción cuesta rehacerlo. Así lo abordamos en automatización de procesos con IA.
¿Quieres automatizar sin sorpresas legales?
Cuéntanos qué proceso tienes en mente y con qué datos trabaja. Diseñamos el flujo teniendo en cuenta la minimización, la ubicación del tratamiento y la intervención humana desde el primer boceto.
Solicitar análisis de procesosNexum Blog
Artículos relacionados
9 oct 2026
Factura electrónica obligatoria B2B: qué hacer
La factura electrónica obligatoria B2B ya tiene reglamento: fechas previstas, diferencias con Verifactu y cómo prepararte y automatizar de paso.
14 ago 2026
Modbus vs Profinet vs OPC-UA: cuál usar en tu planta
Modbus, Profinet y OPC-UA comparados: velocidad, determinismo, seguridad y coste. Descubre qué protocolo usar en cada capa de tu planta.
8 abr 2026
Mantenimiento predictivo en plantas automatizadas: qué es y cómo implementarlo
Descubre qué es el mantenimiento predictivo en plantas automatizadas, cómo implementarlo paso a paso y qué tecnologías necesitas para reducir paradas y costes.