Compliment
Protecció de dades, Reglament europeu d'IA i seguretat en cada projecte: què se signa, qui ho revisa i on es tracten les teves dades.
El nostre compromís
En intel·ligència artificial, la llei va primer
En molts projectes d'IA, la protecció de dades i la seguretat es deixen per al final. O no es tracten. Aquí van primer.
- Cada projecte passa per una revisió de compliment normatiu: protecció de dades i Reglament europeu d'IA.
- El nostre partner en protecció de dades i compliment normatiu, Forrellat Consultors, és a més el nostre Delegat de Protecció de Dades inscrit a l'AEPD, i revisa la documentació de protecció de dades de cada projecte abans de signar-la.
- Abans de tocar una sola dada: Acord de confidencialitat i contracte d'encàrrec del tractament signats.
- Cada persona entra amb la seva pròpia identitat i només veu i fa el que li permeten els seus permisos. Cada operació queda registrada: qui, què i quan.
- Dades a Europa: els tractaments de la plataforma s'executen en infraestructura i serveis d'IA ubicats a la Unió Europea. L'ús de Claude o ChatGPT com a interfície de treball s'empara en l'acord de tractament de dades del proveïdor, amb clàusules contractuals tipus de la Comissió Europea.
No és una certificació: és un procés documentat, i et ho ensenyem.
Pas a pas
Què se signa en cada fase
Treballem en dues fases: primer un diagnòstic i, si decideixes seguir, la implementació. En cadascuna se signa el que correspon, i sempre abans de començar a tractar dades personals. L'ordre és sempre el mateix: acceptes el pressupost, Forrellat revisa la documentació de protecció de dades, la signem i només aleshores comença la feina. L'acord de confidencialitat no substitueix el contracte d'encàrrec del tractament: són dos documents diferents i calen tots dos.
Fase 1 · Diagnòstic
- Acord de confidencialitat, sempre, abans de veure res de la teva empresa.
- Contracte d'encàrrec del tractament, si durant el diagnòstic treballarem amb dades personals, que és el més habitual. En aquesta fase, els proveïdors que hi intervenen s'autoritzen per categories, i la llista amb els seus noms t'arriba abans de la implementació.
Fase 2 · Implementació
- Abans de començar, la documentació torna a passar per Forrellat, que la revisa abans de signar-la, igual que en el diagnòstic.
- Contracte d'encàrrec del tractament complet, amb un annex que nomena cada subencarregat: qui més intervé en el tractament, per a què i on.
- Avaluació d'impacte, valorada cas per cas. Si el teu tractament l'exigeix, es fa. Si no, et lliurem per escrit per què no és necessària.
- Classificació del sistema segons el Reglament europeu d'IA, amb les obligacions de transparència i formació que li corresponguin.
- Les teves obligacions com a responsable del tractament, per escrit: el que et toca a tu, com ara el registre d'activitats, informar les persones, el teu propi acord amb el proveïdor d'IA que facis servir i la formació del teu equip.
Qui revisa què
El nostre partner en protecció de dades
Forrellat Consultors és el nostre partner en protecció de dades i compliment normatiu i el nostre Delegat de Protecció de Dades, inscrit a l'AEPD.
Preparem la documentació de protecció de dades de cada projecte —confidencialitat, encàrrec del tractament, avaluació de l'impacte— i Forrellat la revisa abans de signar-la.
La revisió del Reglament europeu d'IA —classificar cada sistema i documentar-ne les obligacions— la fem nosaltres, perquè cal conèixer per dins com està construït. I abans de tancar cada document comprovem la normativa vigent: el Reglament d'IA es continua desenvolupant i el seguim de prop.
La major part del que fem —connectar a la IA els programes que la teva empresa ja fa servir legalment, amb una persona que decideix— no se sol considerar d'alt risc segons el Reglament. Però sempre es comprova, cas per cas: hi ha usos, com la selecció de personal, l'avaluació de solvència o la biometria, que exigeixen un altre tractament.
Dades a Europa
On es tracten les teves dades
Els tractaments de la plataforma s'executen en infraestructura i serveis d'IA ubicats a la Unió Europea. L'ús de Claude o ChatGPT per part dels usuaris com a interfície de treball s'empara en l'Acord de Tractament de Dades del proveïdor amb Clàusules Contractuals Tipus de la Comissió Europea (transferència internacional amb garanties adequades, art. 46 RGPD).
Dit en planer, hi ha dues parts i no convé barrejar-les:
- La plataforma —tot el que executem nosaltres: el sistema central, els Robust Autopilots, la lectura de documents— es tracta a la Unió Europea, i el proveïdor d'IA es compromet per contracte a no fer servir les teves dades per entrenar els seus models.
- La pantalla des de la qual treballes. Si fas servir Claude o ChatGPT amb el compte de la teva empresa, aquest proveïdor pot emmagatzemar les converses fora de la Unió Europea. És lícit perquè ho cobreix el seu acord de tractament de dades, amb clàusules contractuals tipus, i ho reforcem amb minimització: el connector intel·ligent només porta a la conversa la dada imprescindible, i les operacions sensibles es limiten per permisos.
- Mai amb plans gratuïts o personals d'IA, perquè no inclouen aquest acord de tractament de dades.
Si la teva empresa necessita que també la pantalla de treball estigui a Europa, hi ha alternatives, i ho veiem en el diagnòstic.
Una persona decideix
Human in the Loop: la IA proposa, una persona decideix
La nostra IA treballa amb les teves dades i mai decideix sola: proposa, i sempre és una persona qui pren la decisió final. Cap acció sensible —diners, contractes, dades de clients— no es duu a terme sense confirmació. Abans de canviar res, veus què farà i ho aproves.
Seguretat i control
Qui entra, què fa i com sortir
La teva identitat, els teus permisos
Cada persona entra amb la seva pròpia identitat, sense usuaris compartits, i només veu i fa el que li permeten els seus permisos.
Registre de cada operació
Cada operació queda registrada: qui, què i quan. Si un dia cal revisar alguna cosa, està escrit.
Afegim, no substituïm
Afegim, no substituïm. El teu ERP segueix sent el teu ERP i el teu correu segueix sent el teu correu. Si un dia deixes de treballar amb nosaltres, seguiràs facturant i llegint el correu exactament igual que avui. I tens un pla de sortida documentat per recuperar les teves dades en un format que es pugui utilitzar.
El que no fem
No oferim assessorament jurídic
Som consultors d'intel·ligència artificial, no advocats. No et diem que la teva empresa compleix ni substituïm el teu assessor legal.
El que sí que fem: et donem el mapa —quines normes afecten el teu projecte, quins documents calen, què ens toca a nosaltres i què et toca a tu— i, quan el teu cas ho necessita, el camí a l'especialista.
Amb qui treballem
El nostre partner en protecció de dades i compliment normatiu: Forrellat Consultors
Meta Tech Provider verificat
Tecnologia amb la qual treballem, triada per complir la normativa europea: Google Cloud · Vertex AI · Microsoft Azure
Parlem del teu cas?
En el diagnòstic t'ensenyem la documentació que signaríem i què suposa la normativa per al teu projecte.