Este artículo es para quien dirige una pyme o lleva su protección de datos y acaba de enterarse de que alguien del equipo ha pegado datos de clientes en un chatbot de IA: un listado para ordenarlo, el correo de un cliente para reescribirlo, una hoja de pedidos para resumirla. La pregunta que llega a continuación es siempre la misma: ¿es una violación de la seguridad de los datos personales, y hay que notificarla? La respuesta depende del escenario, y la decisión tiene un plazo que empieza a correr cuando la empresa tiene constancia de lo ocurrido.
Lo que dice la definición
El RGPD define la violación de la seguridad de los datos personales en su Art. 4, punto 12: «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos».
La última parte es la que importa aquí. Para que haya violación no hace falta que se pierda ni se destruya nada: basta con que los datos se comuniquen a quien no estaba autorizado, o con que alguien no autorizado acceda a ellos. Pegar datos en un chatbot es comunicárselos al proveedor que lo opera. La pregunta útil, por tanto, no es «¿se ha perdido algo?», sino «¿estaba autorizada esa comunicación?».
Tres escenarios
Primero: la herramienta corporativa, con contrato. La empresa ha contratado el chatbot, lo tiene en su inventario y ha firmado con el proveedor el contrato de encargo del tratamiento que exige el Art. 28 del RGPD. Ese contrato estipula, entre otras cosas, que el encargado «tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable» (Art. 28.3.a). Si el empleado usa la herramienta para una tarea que la política de la empresa permite, los datos llegan a un encargado con contrato y para la finalidad prevista. En principio, no hay comunicación no autorizada, y por tanto no hay violación.
Segundo: la cuenta personal. El mismo empleado usa su cuenta gratuita de otro chatbot, sin ningún contrato entre la empresa y el proveedor. Los datos de clientes salen hacia un tercero con el que no hay relación de encargo ni instrucciones documentadas. Eso encaja en la «comunicación o acceso no autorizados» de la definición: puede ser una violación de la seguridad de los datos personales, y lo que queda por decidir es cuánto riesgo supone.
Tercero: la herramienta con contrato, usada para otra cosa. La empresa sí tiene contrato con el proveedor, pero para otro uso: el chatbot está autorizado para redactar textos comerciales, y el empleado pega datos de salud de clientes. Hay encargado y hay contrato, pero ese tratamiento queda fuera de las instrucciones documentadas. Si los datos han llegado a quien no debía acceder a ellos es una cuestión de hecho —qué permite el contrato, qué hace el proveedor con lo que recibe, quién puede verlo—, y la respuesta puede ser que sí. Mientras se aclara, conviene tratar el caso como una posible violación.
Notificar o no: dos umbrales distintos
Si hay violación, el RGPD separa dos decisiones, cada una con su umbral.
La primera es notificarla a la autoridad de control. El Art. 33.1 obliga a hacerlo «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas». El plazo corre desde que la empresa tiene constancia, y la excepción es la improbabilidad del riesgo, no la ausencia de daño. Si la notificación llega después de las 72 horas, el mismo apartado exige que vaya acompañada de los motivos del retraso.
La segunda es comunicarla a las personas afectadas. El Art. 34.1 la exige «cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas». El umbral es más alto: una violación puede obligar a notificar a la autoridad y no a informar a los clientes.
Ninguna de las dos se activa por el solo hecho de que haya un chatbot de por medio. Depende de qué datos eran, de cuántas personas, de lo que el proveedor hace con ellos y de si pueden borrarse. Por eso no hay una respuesta que valga para todos los casos, y conviene desconfiar de quien diga que esto se notifica «siempre» o «nunca».
Las primeras 24 horas
Seis acciones, en este orden:
- Contén. Pide a la persona que deje de usar la herramienta con esos datos y que borre la conversación si el servicio lo permite. No arregla lo que ya salió, pero evita que siga saliendo.
- Averigua qué salió. Qué datos, de cuántas personas, en qué herramienta, con qué cuenta y cuándo. Déjalo por escrito desde el principio.
- Lee las condiciones del servicio. Si el proveedor conserva las conversaciones, si las usa para entrenar sus modelos, dónde las trata y si hay un contrato de encargo con la empresa. Es lo que separa el primer escenario del segundo.
- Avisa a quien lleva la protección de datos, el delegado si lo tienes, y decide quién coordina.
- Documenta. El Art. 33.5 obliga al responsable a documentar «cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas». Vale para todas, se notifiquen o no, y es lo que permite después a la autoridad verificar lo que hiciste.
- Decide y deja escrito por qué. Con todo lo anterior, valora si es improbable que haya riesgo (Art. 33.1) y si es probable un alto riesgo (Art. 34.1), y registra la decisión con su motivo, en un sentido o en otro. El plazo de 72 horas no espera a que la investigación esté completa.
Lo que evita el siguiente caso
Lo que separa el primer escenario del segundo no se decide el día del incidente: se decide antes. Una empresa que sabe qué herramientas de IA usa, con qué contrato y para qué, parte del primer escenario. Por eso el inventario es el cimiento de todo lo demás, y por eso una hoja de cálculo deja de servir cuando hay que demostrar desde cuándo consta cada herramienta.
La otra mitad es la formación. El Art. 4 del AI Act, en la redacción del Reglamento (UE) 2026/1744, dice que los proveedores y los responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Es una obligación de medios: la propia norma aclara que no exige garantizar un nivel concreto de alfabetización de «ninguna persona en particular». Que la plantilla sepa qué datos no deben entrar en un chatbot es una medida de ese tipo, y nuestra lista de comprobación del Art. 4 ayuda a ordenarlas. El resto del problema, de dónde sale la IA que nadie ha registrado, lo recoge la página sobre shadow AI.
Y si el proveedor va a tratar datos personales por cuenta de la empresa, el contrato de encargo es lo que convierte el segundo escenario en el primero. Conviene revisarlo con las preguntas que un proveedor de IA debería poder contestar por escrito.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.