Cumplimiento

En muchos proyectos de IA, la protección de datos y la seguridad se dejan para el final. O no se tratan. Aquí van primero.

• Cada proyecto pasa por una revisión de cumplimiento normativo: protección de datos y Reglamento europeo de IA.
• Nuestro partner en protección de datos y cumplimiento normativo, Forrellat Consultors, es además nuestro Delegado de Protección de Datos inscrito en la AEPD, y revisa la documentación de protección de datos de cada proyecto antes de firmarla.
• Antes de tocar un solo dato: acuerdo de confidencialidad y contrato de encargo del tratamiento firmados.
• Cada persona entra con su propia identidad y solo ve y hace lo que le permiten sus permisos. Cada operación queda registrada: quién, qué y cuándo.
• Datos en Europa: los tratamientos de la plataforma se ejecutan en infraestructura y servicios de IA ubicados en la Unión Europea. El uso de Claude o ChatGPT como interfaz de trabajo se ampara en el acuerdo de tratamiento de datos del proveedor, con cláusulas contractuales tipo de la Comisión Europea.

No es una certificación: es un proceso documentado, y te lo enseñamos.

Trabajamos en dos fases: primero un diagnóstico y, si decides seguir, la implementación. En cada una se firma lo que corresponde, y siempre antes de empezar a tratar datos personales. El orden es siempre el mismo: aceptas el presupuesto, Forrellat revisa la documentación de protección de datos, la firmamos y solo entonces empieza el trabajo. El acuerdo de confidencialidad no sustituye al contrato de encargo del tratamiento: son dos documentos distintos y hacen falta los dos.

Forrellat Consultors es nuestro partner en protección de datos y cumplimiento normativo y nuestro Delegado de Protección de Datos, inscrito en la AEPD.

Preparamos la documentación de protección de datos de cada proyecto —confidencialidad, encargo del tratamiento, evaluación de impacto— y Forrellat la revisa antes de firmarla.

La revisión del Reglamento europeo de IA —clasificar cada sistema y documentar sus obligaciones— la hacemos nosotros, porque exige conocer por dentro cómo está construido. Y antes de cerrar cada documento comprobamos la normativa vigente: el Reglamento de IA se sigue desarrollando y lo seguimos de cerca.

La mayor parte de lo que hacemos —conectar a la IA los programas que tu empresa ya usa legalmente, con una persona que decide— no suele considerarse de alto riesgo según el Reglamento. Pero se comprueba siempre, caso a caso: hay usos, como la selección de personal, la evaluación de solvencia o la biometría, que exigen otro tratamiento.

Los tratamientos de la plataforma se ejecutan en infraestructura y servicios de IA ubicados en la Unión Europea. El uso de Claude o ChatGPT por parte de los usuarios como interfaz de trabajo se ampara en el Acuerdo de Tratamiento de Datos del proveedor con Cláusulas Contractuales Tipo de la Comisión Europea (transferencia internacional con garantías adecuadas, art. 46 RGPD).

Dicho en llano, hay dos partes y no conviene mezclarlas:

• La plataforma —todo lo que ejecutamos nosotros: el sistema central, los Robust Autopilots, la lectura de documentos— se trata en la Unión Europea, y el proveedor de IA se compromete por contrato a no usar tus datos para entrenar sus modelos.
• La pantalla desde la que trabajas. Si usas Claude o ChatGPT con la cuenta de tu empresa, ese proveedor puede almacenar las conversaciones fuera de la Unión Europea. Es lícito porque lo cubre su acuerdo de tratamiento de datos, con cláusulas contractuales tipo, y lo reforzamos con minimización: el conector inteligente solo lleva a la conversación el dato imprescindible, y las operaciones sensibles se limitan por permisos.
• Nunca con planes gratuitos o personales de IA, porque no incluyen ese acuerdo de tratamiento de datos.

Si tu empresa necesita que también la pantalla de trabajo esté en Europa, hay alternativas, y lo vemos en el diagnóstico.

Somos consultores de inteligencia artificial, no abogados. No te decimos que tu empresa cumple ni sustituimos a tu asesor legal.

Lo que sí hacemos: te damos el mapa —qué normas afectan a tu proyecto, qué documentos hacen falta, qué nos toca a nosotros y qué te toca a ti— y, cuando tu caso lo necesita, el camino al especialista.