+33-9-7266-3068
contact@gdm-pixel.fr
TL;DR
La doble presión que cambia las reglas para la IA
Un abogado especializado en propiedad intelectual y un inspector de protección de datos entran en la oficina de una startup de IA. No es el principio de un chiste — es el día a día de 2024-2025 para cualquier empresa que desarrolle o integre inteligencia artificial.
Hoy el sector de la IA navega entre dos frentes regulatorios simultáneos: por un lado, las cuestiones de derechos de autor ligadas al entrenamiento de los modelos, ahora enmarcadas por el AI Act europeo. Por otro, autoridades de protección de datos que han multiplicado los controles sobre las violaciones de datos que implican sistemas de IA. Para las pymes que usan estas herramientas — o para las agencias como la nuestra que las integran en su producción diaria — ignorar estas restricciones ya no es una opción.
Esto es lo que está pasando de verdad, y lo que debes entender.
El AI Act y los derechos de autor: el fin del lejano oeste del entrenamiento
Durante años, las grandes tecnológicas entrenaron sus modelos sobre miles de millones de datos extraídos de la web, sin hacerse demasiadas preguntas sobre su origen. Artículos de prensa, obras literarias, código open source, imágenes de artistas — todo valía.
El AI Act europeo, en aplicación progresiva desde 2024, cambia esa lógica. El artículo 53 impone ahora a los proveedores de modelos de IA de uso general — los llamados GPAI (General Purpose AI) — una obligación de transparencia sobre los datos de entrenamiento. En concreto: documentar las fuentes utilizadas, respetar los derechos de autor aplicables y publicar un resumen lo suficientemente detallado como para que los titulares de derechos puedan comprobar si se han usado sus obras.
“Los proveedores de modelos de IA de uso general deberán establecer una política para respetar el Derecho de la Unión en materia de derechos de autor.” — AI Act, artículo 53(1)(c)
No es trivial. OpenAI, Google, Mistral AI, Stability AI — todos están afectados. Y los procesos judiciales se acumulan: el New York Times contra OpenAI, los autores franceses contra editores de modelos, los ilustradores contra Midjourney. La cuestión ya no es teórica.
Lo que esto cambia para ti, en la práctica. Si usas herramientas de IA para generar contenido — textos, imágenes, código — no eres directamente responsable de cómo se ha entrenado el modelo. Pero te conviene elegir proveedores que documenten su cumplimiento. Una herramienta construida sobre datos robados es un riesgo reputacional, y potencialmente jurídico, que también cargas tú.
Las autoridades ante la explosión de violaciones de datos
La otra presión viene de la protección de datos personales. Y ahí las cifras hablan por sí solas.
En 2023, la CNIL recibió más de 4.000 notificaciones de violaciones de datos — un récord. En 2024, la tendencia se aceleró, con atención especial a los sistemas que implican IA generativa. ¿Por qué? Porque estas herramientas plantean problemas inéditos frente al RGPD.
Estos son los tres puntos de fricción principales que los controles han puesto al descubierto:
La conservación de los datos de prompt. Cuando escribes una consulta en ChatGPT o una herramienta similar, esos datos pueden usarse para mejorar el modelo. Si tu prompt contiene información sobre un cliente, un empleado o un paciente, acabas de transferir potencialmente datos personales a un tercero sin base legal válida.
Las alucinaciones y datos inexactos. Un modelo de IA puede generar información falsa sobre una persona real. El RGPD impone un derecho a la exactitud de los datos. ¿Quién es responsable cuando una IA inventa información sobre alguien? La respuesta jurídica sigue siendo difusa, pero los reguladores empiezan a señalar a las empresas que despliegan estos sistemas sin salvaguardas.
Las transferencias fuera de la UE. La mayoría de los grandes modelos están alojados en Estados Unidos. Cada consulta que envías a un LLM estadounidense es potencialmente una transferencia de datos fuera de la Unión Europea — sometida a las reglas estrictas del RGPD sobre transferencias internacionales.
La CNIL abrió de hecho una investigación sobre ChatGPT ya en 2023, uniéndose a sus homólogas italiana (que llegó a bloquear temporalmente la herramienta) y alemana. El mensaje es claro: la IA no es una zona franca frente al RGPD.
Lo que esto cambia concretamente para una pyme o una agencia
Seamos directos. Probablemente no estás desarrollando un LLM. Pero usas herramientas de IA — y esta normativa te afecta igualmente.
Esto es lo que observamos en nuestro día a día de agencia, y lo que nuestros clientes nos preguntan cada vez con más frecuencia.
Elegir herramientas de IA conformes con el RGPD
No todas las herramientas valen lo mismo. Microsoft Copilot con parámetros empresa, las soluciones soberanas europeas como Mistral, o los despliegues on-premise ofrecen garantías que la versión grand public de ChatGPT no da. Antes de integrar una herramienta de IA en tu workflow, hazte una pregunta sencilla: ¿adónde van mis datos? ¿Cuánto tiempo se conservan? ¿Se usan para entrenar el modelo?
Documentar tus usos de IA en tu registro de tratamientos
El RGPD exige un registro de tratamientos de datos. Si usas la IA para tratar información de clientes — redactar correos, analizar contratos, generar informes — ese tratamiento debe figurar en él. Es una obligación, no una opción.
No poner datos sensibles en tus prompts
Regla básica, pero violada con frecuencia. Un contable que pega una nómina en ChatGPT para “resumir los elementos clave”, un comercial que pega un historial completo de cliente para preparar una oferta — estas prácticas exponen a tu empresa. Forma a tus equipos. Ahora.
“El cumplimiento del RGPD no se detiene en tu sitio web. Se extiende a todas las herramientas que utilizas para tratar datos, incluidas las IA.” — Posición de la CNIL, 2024
El AI Act: un calendario que se acelera
El AI Act no es una ley lejana. Su despliegue sigue un calendario preciso:
- Febrero de 2025: prohibición de las prácticas de IA con riesgo inaceptable (manipulación, scoring social)
- Agosto de 2025: obligaciones para los modelos GPAI (transparencia, derechos de autor)
- Agosto de 2026: entrada en vigor completa para los sistemas de alto riesgo
Los sectores cubiertos por la categoría “alto riesgo” incluyen sanidad, educación, RRHH, justicia, infraestructuras críticas. Si estás en uno de estos sectores y usas IA, una obligación de cumplimiento específica te será aplicable de aquí a 2026.
Las sanciones previstas por el AI Act son significativas: hasta 35 millones de euros o el 7% de la facturación mundial para las infracciones más graves. Para los GPAI no conformes con los derechos de autor: 15 millones o el 3% de la facturación. No son cifras simbólicas.
Lo que hacemos concretamente en GDM-Pixel
Usamos la IA de forma masiva — Claude Code para generar código, pipelines automatizados para los contenidos, workflows n8n para nuestros clientes. No es una postura de marketing, es nuestra herramienta de producción diaria.
Y precisamente porque la usamos de verdad, hemos tenido que hacernos estas preguntas en serio.
Nuestro enfoque se resume en tres puntos. Primero, nunca metemos datos reales de clientes en nuestros prompts — trabajamos con datos anonimizados o ficticios en las fases de test y desarrollo. Segundo, hemos documentado nuestros usos de IA en nuestro registro de tratamientos RGPD — hecho y actualizado. Tercero, elegimos nuestras herramientas según sus garantías contractuales sobre los datos, no solo según su rendimiento técnico.
¿Esto frena nuestro workflow? Marginalmente. ¿Nos protege jurídicamente y nos permite tranquilizar a nuestros clientes pymes sobre nuestro rigor? Sí, claramente.
Tres puntos para retener ahora
1. Audita tus herramientas de IA actuales. Haz la lista de todas las herramientas de IA que usas. Para cada una, verifica su política de datos. Elimina las que no aporten ninguna garantía sobre el uso de tus prompts.
2. Actualiza tu registro de tratamientos. Si usas la IA para tratar datos personales (clientes, empleados, prospects), añade esos tratamientos a tu registro RGPD. Las autoridades pueden pedirlo en cualquier momento.
3. Forma a tus equipos antes de que ocurra un incidente. La mayoría de las violaciones de datos ligadas a la IA no vienen de un fallo técnico — vienen de un colaborador que metió la información equivocada en la herramienta equivocada. Una hora de formación vale más que una notificación de violación a la autoridad.
El cumplimiento no es un freno a la innovación — es una ventaja competitiva
Esto es lo que observo concretamente: las empresas que se toman en serio el cumplimiento en IA ahora construyen una confianza con el cliente que sus competidores no tienen. En un mercado en el que la IA aún genera desconfianza en muchos decisores, poder decir “usamos IA, y así protegemos vuestros datos” es un argumento comercial real.
El AI Act y el RGPD no van a desaparecer. Los controles se intensificarán. Las sanciones caerán — primero sobre los grandes actores, pero la presión bajará. Mejor estar preparado.
¿Tienes preguntas sobre el cumplimiento de tus herramientas de IA, o quieres auditar tu uso de la IA frente al RGPD? Es exactamente el tipo de diagnóstico que realizamos en GDM-Pixel. Contáctanos — te damos una opinión de campo, sin jerga jurídica innecesaria y sin venderte una refundición si no es necesaria.
Fuentes: Reglamento (UE) 2024/1689 — AI Act, Informe anual CNIL 2023, Recomendaciones CNIL sobre IA generativa
Redes sociales
Analizar con IA
