RGPD e IA: lo que la CNIL pide de verdad a las pymes
Pegar un correo de cliente en un chatbot ya es tratamiento de datos. La checklist oficial, sin jerga, para un equipo de 8 personas.
ConformitéEl RGPD no espera un «proyecto de IA». Se aplica en cuanto una persona es identificable en lo que usted escribe, pega o indexa. Un presupuesto, un CV, un hilo de correos: ya es el reglamento.
La CNIL lo ha dicho sin rodeos a microempresas y pymes: la empresa es responsable del tratamiento. No el becario. No OpenAI. Usted.
Ya contábamos lo que pasa cuando se pega un expediente cliente en ChatGPT. Aquí está la otra cara: qué hacer antes de que ocurra.
Lo que dice de verdad la CNIL (no LinkedIn)
Tres documentos oficiales bastan. No un despacho a 400 €/h.
- Las fichas TPE/PME (France Num / CPME / CNIL): no introducir datos confidenciales, personales o estratégicos en una herramienta de consumo.
- La FAQ « desplegar una IA generativa »: si mete datos de clientes o documentación sensible, privilegiar on-site. La API de una nube estadounidense es lo contrario: usted casi no controla nada.
- Las recomendaciones sobre desarrollo de sistemas de IA: finalidad, base legal, minimización. Útil aunque no entrene nada — porque su prompt suele entrenar al proveedor.
El reglamento europeo sobre IA (transparencia de chatbots, etc.) avanza en 2026. El RGPD está ahí desde 2018. No se sobrevive esperando el siguiente texto.
La checklist del lunes por la mañana
No un registro de 40 páginas. Cinco líneas que una asistente puede mantener.
| Pregunta | Si la respuesta es « no » |
|---|---|
| ¿Hemos escrito qué puede ir a un chatbot? | La gente pega. Es humano. |
| ¿Los datos de clientes / RR. HH. / salud quedan fuera de herramientas de consumo? | Ya está en tratamiento no controlado. |
| ¿Sabemos quién es el proveedor, dónde corre, si los prompts reentrenan el modelo? | Relea las CGU. Luego cambie de herramienta. |
| ¿Un humano relee antes de enviar al cliente? | La alucinación es su firma. |
| ¿Podemos borrar o cesar el tratamiento si un cliente lo pide? | Acceso / supresión: es usted, no el chatbot. |
Eso es RGPD en pyme. No « 20 millones de euros ». Es: poder explicar a la CNIL, y a su cliente, qué hizo con sus datos.
Transferencia fuera de la UE: la trampa del « está cifrado »
Una herramienta estadounidense con datacenter en Fráncfort no anula el CLOUD Act. La CNIL lo recuerda: si los datos pueden salir de la UE (matriz, soporte, logs), hace falta marco. « Marcamos RGPD en ajustes » no es un marco.
Lo que proponemos, concretamente
La CNIL dice: datos personales o documentación sensible → on-site, más que una API cuyas claves usted ya no tiene.
Es el oficio de AroBox: índice y archivos en su empresa; inferencia en infra privada Arobass en Francia; borradores a validar. Prueba 15 días, oferta a presupuesto. DPA y contrato aparte — no jugamos al certificado mágico.
Esto no es asesoramiento jurídico. Para un caso concreto: su asesor, o cnil.fr.
Solicitar una prueba — instalamos, delimitamos el perímetro indexado, y pegar en ChatGPT ya no es el plan B del equipo.
Prueba de 15 días
Vea AroBox con sus documentos reales
Sin compromiso. Le diremos con honestidad si encaja en su actividad.
Solicitar la prueba
