¿Puedo usar IA con los datos de mis clientes?

Son dos normas y se aplican a la vez

Es la confusión más común, y de ella salen la mitad de los miedos. Hay dos marcos distintos:

• El RGPD (y la LOPDGDD en España) regula los datos personales: qué base legal tienes para tratarlos, para qué, cuánto tiempo, quién los ve y qué derechos tiene la persona.
• El Reglamento europeo de IA —Reglamento (UE) 2024/1689, el «AI Act»— regula el sistema: qué usos están prohibidos, qué sistemas son de alto riesgo, qué hay que informar y qué documentación se guarda.

Cumplir uno no exime del otro. Y el orden importa: si tratas datos personales, el RGPD ya te aplicaba antes de que existiera la IA. Que ahora los lea un modelo no cambia la base legal; cambia que tienes que poder explicar ese tratamiento.

Qué te toca a ti, que usas la IA y no la fabricas

El Reglamento reparte papeles. El que construye y pone en el mercado el sistema es el proveedor, y se lleva el grueso de las obligaciones. Tú, que usas una herramienta en tu actividad profesional, eres responsable del despliegue. Tus deberes son bastante más cortos:

• Alfabetización en IA (artículo 4, en vigor desde febrero de 2025): tu personal tiene que tener un nivel suficiente de comprensión de lo que usa. No exige un máster: exige que quien aprueba lo que propone una IA sepa que puede equivocarse y cómo comprobarlo.
• Transparencia (artículo 50, desde el 2 de agosto de 2026): si una persona interactúa con una IA, hay que decírselo, salvo que sea evidente por el contexto. Y el contenido generado o manipulado con IA hay que identificarlo.
• Usar el sistema conforme a sus instrucciones, y con supervisión humana donde el proveedor la exige.
• Lo del RGPD que ya te aplicaba: base legal, información al interesado, minimización, plazos y contrato con el proveedor.

Lo que no te toca, salvo que hagas algo muy concreto: la evaluación de conformidad, el marcado CE y el sistema de gestión de riesgos. Eso es del proveedor.

Qué entró el 2 de agosto de 2026 y qué se aplazó

Aquí hubo un cambio de calendario de última hora que conviene tener claro, porque casi todos los artículos publicados antes del verano de 2026 dan fechas que ya no son. El Reglamento (UE) 2026/1744, el llamado «Ómnibus Digital» sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27, nueve días antes del hito.

Lo que queda:

• En vigor desde febrero de 2025: las prácticas prohibidas (artículo 5) y la alfabetización en IA (artículo 4). No se han tocado.
• Desde agosto de 2025: las obligaciones de los modelos de propósito general y el régimen de gobernanza y sanciones.
• Desde el 2 de agosto de 2026: la transparencia del artículo 50 —avisar de que se habla con una IA, etiquetar contenido sintético y los deepfakes—. Esto no se aplazó.
• Aplazado al 2 de diciembre de 2027: los sistemas de alto riesgo del Anexo III (entre otros, los usados en empleo, educación, servicios esenciales o biometría).
• Aplazado al 2 de agosto de 2028: los sistemas de IA integrados en productos ya regulados por legislación sectorial de seguridad —dispositivos médicos, maquinaria—.

Traducción para una pyme que usa un CRM con IA: lo que te aplica hoy es la transparencia y la alfabetización. Y ojo con el alto riesgo: si usas IA para cribar candidatos en un proceso de selección, eso sí es Anexo III, y el aplazamiento te da tiempo, no un permiso indefinido.

Las cinco preguntas que hacerle a tu proveedor

Esta es la parte práctica. La revisión no va de si la herramienta es bonita, va de por dónde salen tus datos. Pídelo por escrito:

• ¿Se entrenan modelos con mis datos? La respuesta que quieres es «no», y quieres verla en el contrato, no en un blog. Varias plataformas grandes cambiaron su política para entrenar con datos de usuarios, a veces con una casilla de exclusión y a veces sin avisar.
• ¿Quiénes son los subencargados y dónde están? Un CRM con IA suele llamar a un proveedor de modelos. Ese proveedor es un subencargado y tiene que estar en la lista, con su ubicación y su base para las transferencias internacionales.
• ¿Cuánto se retiene lo que se envía al modelo? Muchos proveedores de modelos ofrecen retención cero para uso empresarial. Pregunta si está activada.
• ¿Hay contrato de encargado del tratamiento (artículo 28)? Si tratan datos personales por cuenta tuya, es obligatorio. Sin ese contrato el incumplimiento es tuyo, no suyo.
• ¿Puedo exportarlo todo y darme de baja? Es la pregunta que más dice del proveedor. Un «sí, y aquí está el botón» vale más que cualquier certificado en la web.

Cuándo hace falta una evaluación de impacto

No siempre. La EIPD (o DPIA) se exige cuando el tratamiento entraña un riesgo alto para los derechos de las personas. En la práctica, los casos que aparecen en una empresa normal son tres:

• Tratamiento de datos de categoría especial a escala: salud, biometría, afiliación sindical. Una clínica que mete datos clínicos en una herramienta con IA está aquí de lleno.
• Decisiones automatizadas con efectos jurídicos o que afectan significativamente a la persona, del artículo 22 del RGPD: conceder o denegar un crédito, descartar a un candidato. Si la decisión final la toma una persona con capacidad real de cambiarla, sales de ese supuesto —y ahí está la diferencia entre una IA que propone y una que ejecuta—.
• Observación sistemática de personas, incluida la de tu propio equipo.

La AEPD publicó una guía específica sobre adecuación al RGPD de tratamientos que incorporan IA; es el documento que le va a mirar tu asesor y merece la pena que lo mires tú antes.

Cuatro cosas que puedes hacer esta semana

• Inventario. Lista de herramientas con IA que se usan en la empresa, incluidas las que ha metido alguien por su cuenta. Esta segunda parte suele ser la sorpresa.
• Registro de actividades de tratamiento al día, con el nuevo tratamiento descrito en una línea comprensible.
• El aviso. Si tienes un chat automático de cara al público, que diga que es automático. Es literalmente una frase y es obligación desde agosto.
• Media hora de formación al equipo que va a aprobar lo que propone la IA: qué es una alucinación, qué se comprueba siempre y qué no se aprueba nunca sin mirar. Con eso cubres el artículo 4 y evitas el 90 % de los problemas reales.

Este artículo explica el estado de la normativa a 25 de agosto de 2026 y no es asesoramiento jurídico. Para decisiones concretas —una evaluación de impacto, un contrato de encargado del tratamiento— consulta con tu asesor.