Servicio 09.3
Datos e inteligencia artificial
El registro de actividades de tratamiento es el primer documento que pide una inspección. Y el que con más frecuencia no describe lo que la casa hace.
Qué es
El trabajo sobre datos e inteligencia artificial ordena los tratamientos de datos personales, las transferencias internacionales y la clasificación de los sistemas de IA de la entidad. Economía y Diplomacia entrega el registro de actividades, las evaluaciones exigibles y los contratos con encargados y proveedores.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
El régimen sancionador del RGPD alcanza los veinte millones de euros o el cuatro por ciento del volumen de negocio anual mundial, la cuantía que sea superior. Con independencia de la cuantía, un registro de actividades que no describe los tratamientos reales acredita ante la autoridad que el responsable no conoce lo que trata.
Qué recibe
Registro de actividades, evaluaciones y contratos: tratamientos con su base jurídica y plazos, transferencias con su garantía adecuada, evaluaciones de impacto donde procedan y contratos de encargo actualizados.
Fases del encargo
- 01
Inventario
Se levantan los tratamientos reales, incluidos los que ninguna área declara.
- 02
Base jurídica
Se determina la base de cada tratamiento y el plazo de conservación.
- 03
Transferencias
Se identifican las salidas de datos fuera del Espacio Económico Europeo y su garantía.
- 04
Evaluaciones
Se realizan las evaluaciones de impacto en los tratamientos de alto riesgo.
- 05
Contratos
Se actualizan los contratos de encargo y se clasifican los sistemas de IA implicados.
Transferencias internacionales
El capítulo V del RGPD condiciona la transferencia a un tercer país a la existencia de decisión de adecuación, de garantías adecuadas o de una excepción tasada. Usar un proveedor con infraestructura fuera del Espacio Económico Europeo es una transferencia aunque el contrato se firme en España.
Errores frecuentes
Un registro de actividades redactado una vez y no actualizado; contratos de encargo genéricos que no describen el tratamiento concreto ni las medidas exigidas; y tratar el uso de un servicio de IA de terceros como una herramienta más, sin analizar qué datos salen ni con qué base.
Decisiones automatizadas
El artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente. Cuando el sistema de IA decide sobre personas, el análisis debe hacerse en los dos planos: protección de datos y Reglamento europeo de IA.
Lo que preguntan antes de contratar
¿Cuánto cuesta ordenar los tratamientos de datos?
Depende del número de áreas y de tratamientos y de si existe registro previo. Economía y Diplomacia empieza por el inventario real, que suele diferir del declarado, y presupuesta sobre él.
¿Cuánto tarda?
El inventario y la documentación son acotados. La renegociación de contratos de encargo con proveedores y la regularización de transferencias son las partes que dependen de terceros.
¿Cuándo hace falta evaluación de impacto?
Cuando el tratamiento entrañe un alto riesgo para los derechos y libertades, conforme al artículo 35 del RGPD. La autoridad de control publica listas de tratamientos que la requieren, y conviene contrastarlas.
¿Es obligatorio tener delegado de protección de datos?
En los supuestos del artículo 37 del RGPD y del artículo 34 de la Ley Orgánica 3/2018, sí. Fuera de ellos es voluntario, pero su designación voluntaria somete a la entidad al mismo régimen de obligaciones respecto de esa figura.