Primero, entender los flujos de datos
Dibuje el recorrido de los datos. Ejemplo, un chatbot: un visitante escribe su nombre y número de teléfono. ¿Dónde acaba eso? ¿En el proveedor de IA, con nosotros, en su bandeja de entrada? ¿Y qué pasa con el historial de la conversación? En cuanto los datos pueden atribuirse a una persona, hay que mirar con más atención.
Revisar a los proveedores
Si un proveedor externo trata los datos, normalmente necesita un contrato con él, por ejemplo un contrato de encargado del tratamiento. Pregunte además: ¿dónde están los servidores? ¿Qué subcontratistas intervienen? ¿Se usan las entradas para entrenar el modelo? Si no figura con claridad en la documentación, pregúntelo por escrito.
Minimización de datos
Dé a la IA solo lo que necesita para la tarea. Para clasificar una consulta de un cliente no necesita conocer ni la fecha de nacimiento ni el número de cuenta. Siempre que sea posible, los datos se anonimizan o seudonimizan antes.
Transparencia e identificación
Quien escribe o habla por teléfono con una IA debe saberlo. Por ejemplo, con un aviso como «Soy un asistente de IA» al comienzo. Cómo se tratan los datos debe constar además en la información de protección de datos.
Control humano
Si un resultado afecta directamente a una persona, por ejemplo el rechazo de un candidato, alguien lo revisa antes. Deje constancia por escrito de quién es responsable de qué en su empresa.
Cuándo recurrir a asesoramiento jurídico
A más tardar aquí conviene buscar asesoramiento especializado: con categorías especiales de datos como los datos de salud (es decir, toda consulta médica y fisioterapia), con el secreto profesional y cuando los datos van a terceros países fuera de la UE y del EEE.