Inteligencia artificial y protección de datos en la empresa: decisiones automatizadas y supervisión humana

Dos marcos que deben leerse conjuntamente

La incorporación de inteligencia artificial a la selección de personal, atención al cliente, evaluación de solvencia o detección de fraude obliga a considerar simultáneamente el Reglamento General de Protección de Datos y el Reglamento europeo de Inteligencia Artificial. El segundo no desplaza al primero cuando el sistema trata datos personales.

La clasificación del sistema bajo el Reglamento de IA y la licitud del tratamiento responden a preguntas relacionadas pero diferentes. Una herramienta puede no estar clasificada como de alto riesgo y, aun así, realizar un tratamiento de datos que requiera base jurídica, información, minimización y medidas de seguridad.

Finalidad, necesidad y calidad de los datos

Antes de desplegar un sistema conviene definir para qué se utilizará y qué datos necesita realmente. Reutilizar información obtenida para otra finalidad, incorporar variables irrelevantes o conservar datos indefinidamente puede vulnerar los principios de limitación de la finalidad y minimización.

La calidad también afecta al resultado. Datos incompletos, históricos o sesgados pueden producir decisiones sistemáticamente erróneas. La exactitud no se limita a que cada dato sea formalmente correcto; exige considerar si el conjunto representa de manera adecuada la realidad sobre la que se pretende decidir.

Decisiones automatizadas y efectos significativos

El artículo 22 del RGPD reconoce garantías frente a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente de modo similar. No toda recomendación algorítmica entra en ese supuesto, pero la intervención humana no puede ser puramente simbólica.

Para que exista supervisión real, la persona revisora debe comprender los elementos relevantes, disponer de autoridad para apartarse del resultado y contar con tiempo e información suficientes. Confirmar de forma rutinaria todas las propuestas de la máquina no transforma necesariamente el proceso en una decisión humana.

Transparencia y explicación

Informar de que se utiliza inteligencia artificial es sólo el principio. Las personas deben conocer, en términos comprensibles, la finalidad, los datos principales, la lógica general y las consecuencias previstas cuando así lo exige la normativa. Transparencia no significa revelar código fuente ni secretos empresariales completos.

Una explicación útil debe permitir comprender qué factores influyeron y cómo cuestionar un resultado. Cuanto mayor sea el impacto sobre empleo, crédito, acceso a servicios o derechos, mayor importancia adquieren la trazabilidad y los mecanismos de revisión.

IA generativa y agentes autónomos

Los sistemas generativos pueden recibir información confidencial, producir datos inexactos o conservar instrucciones y documentos fuera del entorno previsto. Las empresas deben determinar qué información puede introducirse, bajo qué contrato, con qué configuración y cómo se revisan los resultados.

La IA agéntica añade capacidad para ejecutar acciones, consultar herramientas o modificar registros. La AEPD ha destacado riesgos relativos a minimización, exactitud, reversibilidad, auditabilidad y supervisión humana. Cuanta más autonomía operativa se concede, más importante resulta limitar permisos y registrar las actuaciones.

Gobernanza antes que improvisación

Un inventario de usos, la asignación de responsables, la evaluación de riesgos y la formación del personal permiten pasar de experimentos aislados a una gobernanza verificable. En ciertos tratamientos puede ser necesaria una evaluación de impacto en protección de datos; en otros, el Reglamento de IA impondrá obligaciones adicionales según el papel de la empresa y la clasificación del sistema.

La innovación responsable no consiste en impedir toda utilización ni en aceptar cualquier herramienta porque prometa eficiencia. Consiste en conocer el problema que se quiere resolver, comprobar la necesidad del tratamiento y conservar una capacidad humana efectiva para detectar, explicar y corregir errores.