La inteligencia artificial se ha incorporado rápidamente al entorno empresarial. Herramientas como ChatGPT, Microsoft Copilot, Google Gemini y otras aplicaciones permiten redactar documentos, analizar información, resumir comunicaciones y realizar numerosas tareas relacionadas con la actividad diaria de una empresa.
Sin embargo, su utilización también plantea nuevas responsabilidades legales. Muchas empresas ya utilizan herramientas de inteligencia artificial sin haber revisado previamente las condiciones de uso, los datos que comparten con estas plataformas o las obligaciones normativas que pueden resultar aplicables.
El problema no es utilizar inteligencia artificial. El verdadero riesgo aparece cuando se incorporan estas herramientas a la actividad empresarial sin analizar sus implicaciones legales y sin establecer medidas de control adecuadas.
El Reglamento General de Protección de Datos (RGPD) y el Reglamento Europeo de Inteligencia Artificial (AI Act) establecen obligaciones que deben tenerse en cuenta según el tipo de tratamiento, el uso del sistema y el papel que desempeña la empresa.
Por este motivo, revisar cómo se utiliza e implementa la inteligencia artificial se está convirtiendo en una cuestión importante para la protección jurídica de cualquier organización.
En este artículo explicamos qué debe tener en cuenta una empresa, cuáles son los principales riesgos legales y por qué resulta recomendable realizar una revisión del uso de inteligencia artificial para prevenir posibles incumplimientos.
¿Qué obligaciones legales tiene una empresa que utiliza inteligencia artificial?
Utilizar herramientas de inteligencia artificial en una empresa no implica automáticamente incumplir la normativa. Sin embargo, dependiendo de su funcionamiento y finalidad, pueden surgir obligaciones relacionadas con la protección de datos, la transparencia, la seguridad y la gestión de riesgos.
Las empresas deben analizar cada aplicación y comprobar qué normativa resulta aplicable a su utilización.
El Reglamento Europeo de Inteligencia Artificial (AI Act)
El Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial o AI Act, establece un marco normativo común para el desarrollo, comercialización y utilización de sistemas de inteligencia artificial en la Unión Europea.
Su objetivo es promover una inteligencia artificial segura y fiable, respetando los derechos fundamentales y estableciendo obligaciones en función del riesgo asociado a cada sistema.
El reglamento contempla diferentes categorías de riesgo
- > Riesgo inaceptable: determinados usos de IA están prohibidos por considerarse incompatibles con los derechos y valores fundamentales de la Unión Europea
- > Alto riesgo: determinados sistemas deben cumplir requisitos específicos relacionados con la gestión de riesgos documentación supervisión humana y otras garantías.
- > Riesgo limitado: determinados sistemas están sujetos a obligaciones de transparencia.
- > Riesgo mínimo: la mayoría de estos usos no están sujetos a obligaciones específicas adicionales bajo el sistema de clasificación de riesgos del reglamento.
Es importante tener en cuenta que no todas las empresas tienen las mismas obligaciones. Estas dependen de factores como la finalidad del sistema, su clasificación y el papel de la organización como proveedor o responsable del despliegue.
Además, el Reglamento se aplica progresivamente. A fecha de noviembre de 2026, ya resultan aplicables las obligaciones de alfabetización en IA y las prácticas prohibidas, así como buena parte de las disposiciones generales. Otros requisitos tienen calendarios específicos de aplicación.
Por tanto, las empresas deben comprobar qué obligaciones les afectan realmente y en qué momento deben cumplirlas.
Puedes consultar el texto oficial en el Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689).
La protección de datos personales en el uso de inteligencia artificial
Una de las cuestiones más importantes es el tratamiento de datos personales mediante herramientas de IA.
Cuando una empresa introduce nombres, correos electrónicos, contratos, currículums, datos de clientes o información de trabajadores en una plataforma de inteligencia artificial, puede estar realizando un tratamiento de datos personales sujeto al RGPD.
En estos casos, debe analizarse, entre otros aspectos:
-
- > La finalidad del tratamiento.
-
- > La base jurídica que permite utilizar los datos.
-
- > La información que se facilita a las personas afectadas.
-
- > La minimización de los datos compartidos.
-
- > Las condiciones del proveedor de inteligencia artificial.
-
- > Las medidas de seguridad y confidencialidad.
-
- > Las posibles transferencias internacionales de datos.
-
- > La necesidad de realizar una evaluación de impacto, cuando corresponda.
No basta con que una herramienta sea conocida o utilizada habitualmente para considerar que su uso cumple automáticamente con el RGPD.
Cada empresa debe valorar las circunstancias concretas del tratamiento.
Para ampliar esta cuestión puedes consultar nuestro servicio de protección de datos para empresas.
La responsabilidad de la empresa en el uso de herramientas de IA
Una empresa no puede delegar automáticamente toda su responsabilidad legal en el proveedor de una herramienta de inteligencia artificial.
Aunque la plataforma haya sido desarrollada por un tercero, la organización debe revisar cómo la utiliza, qué información introduce y qué decisiones adopta a partir de sus resultados.
Por ejemplo, una empresa que utiliza una herramienta de IA para analizar currículums debe estudiar las implicaciones legales de ese uso, especialmente cuando intervienen decisiones relacionadas con trabajadores o candidatos.
También debe comprobar si el sistema puede encontrarse dentro de una categoría de alto riesgo y qué obligaciones corresponden a su papel en el despliegue.
Por eso, es importante revisar tanto las herramientas contratadas como las aplicaciones utilizadas directamente por los trabajadores.
Principales riesgos legales de utilizar inteligencia artificial en una empresa
La incorporación de IA sin una revisión previa puede generar problemas que van más allá de los errores tecnológicos.
Algunos pueden afectar directamente a la protección de datos, la confidencialidad, las relaciones laborales y la responsabilidad jurídica de la organización.
Compartir datos personales y confidenciales con herramientas de IA
Uno de los riesgos más habituales es introducir información empresarial en plataformas externas sin haber comprobado previamente sus condiciones de utilización.
Entre los datos que pueden compartirse indebidamente se encuentran:
-
- > Información identificativa de clientes.
-
- > Datos personales de trabajadores.
-
- > Currículums y documentación laboral.
-
- > Información económica y financiera.
-
- > Contratos y documentación de proveedores.
-
- > Datos relativos a la salud.
-
- > Información comercial confidencial.
Dependiendo de la herramienta, su configuración y las condiciones contractuales, estos datos pueden estar sujetos a diferentes operaciones de tratamiento y almacenamiento.
La empresa debe conocer qué información se comparte y qué garantías ofrece el proveedor.
Utilizar aplicaciones de inteligencia artificial sin autorización
El fenómeno conocido como Shadow AI aparece cuando los trabajadores utilizan herramientas de inteligencia artificial sin autorización o supervisión de la empresa.
Por ejemplo, un empleado puede utilizar su cuenta personal de ChatGPT para resumir contratos, preparar informes o analizar documentación de clientes sin que la dirección conozca esta práctica.
Esto puede provocar problemas relacionados con la protección de datos, la confidencialidad y la seguridad de la información.
Es recomendable establecer una relación de herramientas autorizadas, definir los usos permitidos y comunicar claramente las normas a los trabajadores.
En CEMEBAL ya hemos tratado esta problemática en nuestro artículo sobre Shadow IT y Shadow AI: riesgos para la protección de datos.
Falta de transparencia sobre el uso de inteligencia artificial
Determinados usos de IA requieren informar a las personas de que están interactuando con un sistema de inteligencia artificial o de que determinados contenidos han sido generados o manipulados mediante estas tecnologías.
El Reglamento Europeo de IA establece obligaciones específicas de transparencia para determinados sistemas y situaciones.
Por otra parte, cuando existe tratamiento de datos personales, también deben cumplirse las obligaciones de información previstas en el RGPD.
La empresa debe analizar qué información debe facilitar, a quién y en qué momento.
Puedes ampliar este aspecto en nuestro artículo sobre cuándo es necesario informar al interesado del uso de inteligencia artificial en una empresa.
Decisiones automatizadas y supervisión humana
El uso de inteligencia artificial para evaluar trabajadores, seleccionar candidatos, analizar clientes o adoptar decisiones empresariales puede plantear riesgos jurídicos importantes.
El RGPD regula las decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre una persona o le afecten significativamente de modo similar, con las excepciones y garantías previstas en su artículo 22.
Además, determinados sistemas de IA utilizados en ámbitos como la selección de personal o la gestión de trabajadores pueden estar clasificados como sistemas de alto riesgo conforme al AI Act.
Por ello, antes de incorporar estas soluciones es necesario analizar su finalidad, funcionamiento y consecuencias para las personas afectadas.
Incumplimiento de las obligaciones del Reglamento Europeo de IA
El desconocimiento de las obligaciones del AI Act puede provocar que una empresa utilice un sistema sin haber identificado correctamente su clasificación o las responsabilidades que le corresponden.
Entre los aspectos que conviene revisar se encuentran:
-
- > La clasificación del sistema según su nivel de riesgo.
-
- > El papel de la empresa como proveedor, importador, distribuidor o responsable del despliegue.
-
- > Las obligaciones de transparencia.
-
- > Las medidas de alfabetización en inteligencia artificial.
-
- > La supervisión humana cuando resulte exigible.
-
- > La documentación y los procedimientos que correspondan.
No todos estos requisitos afectan a todas las organizaciones. Es necesario realizar un análisis individualizado.
¿Qué debe revisar una empresa antes de implementar inteligencia artificial?
Antes de incorporar una nueva herramienta o permitir que los trabajadores utilicen aplicaciones de IA, conviene realizar una revisión de los aspectos legales relacionados con su utilización.
Esta revisión permite detectar posibles deficiencias y establecer medidas preventivas antes de que se produzcan incidentes.
Identificación de las herramientas y sistemas de IA utilizados
El primer paso consiste en conocer qué herramientas utiliza realmente la empresa.
No basta con revisar las aplicaciones contratadas oficialmente. También es importante identificar las que utilizan los empleados por iniciativa propia.
Conviene elaborar un inventario que recoja:
-
- > Nombre de la herramienta.
-
- > Proveedor del servicio.
-
- > Departamento o trabajadores que la utilizan.
-
- > Finalidad de su utilización.
-
- > Tipo de información que se introduce.
-
- > Modalidad de contratación y configuración.
-
- > Condiciones de utilización.
Este inventario constituye una base importante para analizar los riesgos legales.
Análisis de los tratamientos de datos personales
Cuando las herramientas de IA intervienen en el tratamiento de datos personales, debe comprobarse si el uso previsto se ajusta a las exigencias del RGPD.
La empresa debe revisar las finalidades, bases jurídicas, categorías de datos, destinatarios, plazos de conservación y garantías de seguridad, entre otros aspectos.
También debe analizar si el tratamiento requiere una evaluación de impacto relativa a la protección de datos.
No todos los usos de inteligencia artificial requieren esta evaluación, pero sí debe realizarse cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.
Evaluación de proveedores y condiciones de utilización
Otro aspecto fundamental es revisar las condiciones legales y contractuales de los proveedores.
La empresa debe conocer cómo se gestiona la información que introduce en las herramientas y qué garantías ofrece el servicio contratado.
Conviene prestar atención a:
-
- > Condiciones de privacidad.
-
- > Tratamiento de datos personales.
-
- > Posible intervención de subencargados.
-
- > Ubicación y transferencias internacionales de datos.
-
- > Medidas de seguridad.
-
- > Conservación y eliminación de información.
-
- > Utilización de datos para mejorar o entrenar modelos, cuando proceda.
No todas las plataformas ofrecen las mismas garantías ni las mismas condiciones.
Identificación y evaluación de riesgos legales
Una vez identificadas las herramientas y los tratamientos, es necesario valorar los riesgos que pueden afectar a la organización.
Entre ellos pueden encontrarse:
-
- > Incumplimientos del RGPD.
-
- > Uso de sistemas de IA sin las garantías exigibles.
-
- > Exposición de información confidencial.
-
- > Falta de transparencia.
-
- > Ausencia de controles internos.
-
- > Utilización de sistemas de alto riesgo sin cumplir las obligaciones correspondientes.
El análisis debe adaptarse a la actividad de la empresa y a los usos reales de la inteligencia artificial.
Establecimiento de políticas internas de uso de IA
La empresa debe establecer unas normas que permitan a los trabajadores conocer qué herramientas pueden utilizar y qué información pueden compartir.
Una política interna de inteligencia artificial puede recoger:
-
- > Herramientas autorizadas.
-
- > Usos permitidos y restringidos.
-
- > Normas sobre datos personales.
-
- > Protección de información confidencial.
-
- > Responsabilidades de los trabajadores.
-
- > Procedimientos de supervisión.
-
- > Obligaciones de revisión de los resultados.
-
- > Actuación ante incidentes o usos inadecuados.
Aunque no existe una obligación universal de disponer de un documento con un formato concreto, contar con unas normas internas adaptadas a la organización constituye una medida preventiva muy recomendable.
¿Por qué es importante realizar una auditoría de inteligencia artificial en la empresa?
Una auditoría o revisión del uso de inteligencia artificial permite conocer cómo está utilizando realmente estas herramientas una organización y comprobar si existen riesgos o posibles incumplimientos normativos.
No se trata únicamente de comprobar qué aplicaciones tiene instaladas la empresa, sino de analizar sus finalidades, los datos que intervienen y las responsabilidades legales asociadas a su utilización.
Detectar usos de IA que pueden generar riesgos legales
La auditoría permite identificar herramientas utilizadas sin autorización, tratamientos de datos que requieren una revisión o aplicaciones cuyo funcionamiento puede generar obligaciones adicionales.
También ayuda a detectar situaciones que pueden pasar inadvertidas para la dirección, como el uso de cuentas personales o el intercambio de documentación confidencial con plataformas externas.
Comprobar el cumplimiento del RGPD
Cuando existe tratamiento de datos personales, es importante verificar que la utilización de las herramientas de IA se integra correctamente en el sistema de cumplimiento de protección de datos de la empresa.
Esta revisión puede incluir las bases jurídicas, la información facilitada a los interesados, las relaciones con proveedores, las medidas de seguridad y las evaluaciones de riesgos que correspondan.
Revisar las obligaciones derivadas del Reglamento Europeo de IA
Revisar las obligaciones derivadas del Reglamento Europeo de IA
También conviene analizar si los sistemas utilizados están sujetos a obligaciones específicas del AI Act.
La clasificación de los sistemas, la finalidad de uso y el papel de la empresa determinan qué requisitos deben cumplirse.
La revisión permite identificar las obligaciones aplicables y planificar las medidas necesarias.
Establecer medidas correctoras y procedimientos internos
Una vez identificados los riesgos, la empresa puede adoptar medidas para corregir las deficiencias detectadas.
Estas pueden incluir la modificación de procedimientos, la actualización de documentación, la revisión de proveedores, la elaboración de políticas internas y la formación de los trabajadores.
El objetivo es que la organización disponga de criterios claros y pueda demostrar que ha adoptado medidas adecuadas para gestionar el uso de inteligencia artificial.
Cómo proteger legalmente a tu empresa en el uso de inteligencia artificial
La prevención es una de las mejores herramientas para reducir los riesgos asociados a la inteligencia artificial.
Las empresas deben evitar que la incorporación de nuevas tecnologías se produzca sin una planificación legal adecuada.
Elaborar una política interna de uso de IA
Disponer de una política interna permite establecer unas reglas comunes para toda la organización.
Debe adaptarse a las herramientas utilizadas, la actividad de la empresa y el tipo de información que se maneja.
No es recomendable utilizar documentos genéricos sin analizar previamente las necesidades y circunstancias de cada organización.
Establecer criterios claros para los trabajadores
Los empleados deben conocer qué herramientas están autorizadas, qué información pueden compartir y qué actuaciones requieren autorización previa.
También deben saber que los resultados generados por IA pueden contener errores y que no deben utilizarse automáticamente para adoptar decisiones importantes.
Formar y concienciar a la plantilla
El Reglamento Europeo de IA contempla obligaciones de alfabetización en inteligencia artificial para proveedores y responsables del despliegue.
La empresa debe adoptar medidas para garantizar un nivel adecuado de conocimientos en función de las circunstancias, el uso de los sistemas y las personas que intervienen en su utilización.
La formación también permite reducir errores relacionados con la protección de datos y la confidencialidad.
Revisar periódicamente las herramientas y proveedores
Las herramientas de IA evolucionan y sus funcionalidades, condiciones y formas de utilización pueden cambiar.
Por eso, es conveniente revisar periódicamente las aplicaciones autorizadas y comprobar si siguen ofreciendo las garantías necesarias.
También deben analizarse las nuevas herramientas que se incorporen a la actividad empresarial.
¿Cómo puede ayudar CEMEBAL a proteger legalmente tu empresa en el uso de inteligencia artificial?
En CEMEBAL ofrecemos asesoramiento a empresas de Mallorca y Baleares para analizar y organizar el uso de inteligencia artificial desde una perspectiva de protección de datos y cumplimiento normativo.
Nuestro objetivo es ayudar a las organizaciones a conocer sus responsabilidades, identificar posibles riesgos legales y establecer las medidas necesarias para utilizar estas herramientas de forma adecuada.
Nuestro servicio de asesoramiento en inteligencia artificial puede incluir:
-
- > Diagnóstico de las herramientas de IA utilizadas actualmente.
-
- > Revisión de los usos realizados por los trabajadores.
-
- > Análisis de los datos personales y confidenciales que se introducen en las plataformas.
-
- > Revisión de las condiciones de utilización de los proveedores.
-
- > Identificación de posibles riesgos relacionados con el RGPD y el Reglamento Europeo de IA.
-
- > Elaboración de normas internas para regular el uso de inteligencia artificial.
-
- > Recomendaciones sobre herramientas y usos permitidos.
-
- > Formación y concienciación de los trabajadores.
-
- > Documentación de las medidas adoptadas por la empresa.
Cada organización tiene unas necesidades diferentes. Por eso, el alcance del asesoramiento debe adaptarse a su actividad, las herramientas utilizadas y los riesgos identificados.
No se trata de prohibir la inteligencia artificial ni de limitar innecesariamente su utilización, sino de establecer las garantías legales necesarias para que la empresa pueda aprovechar sus posibilidades sin asumir riesgos evitables.
Puedes conocer todos los detalles de nuestro servicio de asesoramiento en inteligencia artificial para empresas.
También puedes consultar nuestras soluciones de protección de datos para empresas.
Protege legalmente tu empresa antes de que aparezcan los problemas
La inteligencia artificial ofrece nuevas posibilidades a las empresas, pero su utilización debe ir acompañada de una gestión adecuada de las responsabilidades legales.
No basta con contratar una herramienta o permitir que los trabajadores la utilicen. Es necesario conocer qué información se comparte, qué sistemas intervienen, qué obligaciones normativas resultan aplicables y qué medidas deben adoptarse para proteger a la organización.
Revisar el uso de inteligencia artificial permite anticiparse a posibles incumplimientos, mejorar el control interno y reducir los riesgos relacionados con la protección de datos y la normativa europea.
En CEMEBAL te ayudamos a analizar, auditar y organizar el uso de inteligencia artificial en tu empresa para que puedas utilizar estas herramientas con las garantías legales adecuadas.
Si tu empresa ya utiliza ChatGPT, Copilot, Gemini u otras aplicaciones de IA, o está pensando en incorporarlas, contacta con nosotros y estudiaremos cómo adaptar su utilización a las necesidades y obligaciones de tu organización.
CEMEBAL: asesoramiento y protección legal para empresas en el uso de inteligencia artificial.
Preguntas frecuentes sobre inteligencia artificial en la empresa
En CEMEBAL SOLUTIONS somos expertos en dar soluciones globales y personalizadas para la implantación de la LOPDGDD, en todo tipo de empresas.
Si necesitas información sobre nuestros servicios, estaremos encantados de ayudarte.
Puedes contactar con nosotros llamando al teléfono:
Tef. +34 971 912 723
Si lo prefieres, también puedes enviarnos un correo
