5.4RGPD, AI Act y marco legal
Lo esencial en 30 segundos
- Dato personal = vigilancia: minimización, herramienta validada, humano en el bucle para toda decisión con efecto.
- AI Act por riesgos: prácticas a evitar, usos sensibles muy regulados (incluida la contratación), transparencia.
- Su rol: detectar las situaciones sensibles y plantear la pregunta al DPO/jurista — no decidir solo.
Minicaso seguido — Amine y la selección de CV prohibida de improvisar
Amine quiere hacer seleccionar CV por la IA para su proyecto en Argel: datos personales de candidatos + decisión que toca a personas. En vez de improvisar, saca su radar: minimización, humano en el bucle, uso sensible con conformidad reforzada. Prepara 3 preguntas para el DPO en vez de pegar los CV. Continuación de los casos 5.1-5.3 — Amine reconoce el perímetro regulado.
Continuación de los casos 5.1-5.3 — Amine detecta, no decide: el DPO decide.
1. Datos personales y decisiones
Cuando un dato personal entra en juego (clientes, asalariados, candidatos), se aplican los principios generales: base legítima, minimización, derechos de las personas. Y para toda decisión con efecto significativo sobre una persona, el humano sigue en el bucle: ninguna decisión totalmente automatizada que se imponga sin control humano. Amine renuncia a toda selección automática de CV.
2. El AI Act por riesgos, y su rol
El AI Act europeo adopta un enfoque por riesgos: ciertas prácticas deben evitarse, los usos sensibles que tocan a las personas (incluidas la contratación y la evaluación) están muy regulados, con obligaciones de transparencia sobre los contenidos y sistemas IA. Objetivo práctico: los puntos de referencia, no el curso de derecho.
Su rol: detectar, no decidir. Las preguntas normativas se plantean al DPO/jurista — cartografíe sus usos (¿cuáles tocan datos personales? ¿cuáles tocan a personas?) y lléveles 3 preguntas precisas. Seguir la carta interna le pone del lado bueno.
🔎 Ejemplo concreto — El radar normativo
Detectar, no decidir: el radar de Amine.
¿Dato personal? -> minimización, sin decisión auto, herramienta validada.
¿Selección de CV, evaluación? -> uso sensible (conformidad exigente), no improvisar.
-> 3 preguntas para su DPO/referente, sin autointerpretación.
Amine anota: ¿quién valida la conformidad en la organización?Lectura: tres preguntas precisas valen más que una interpretación arriesgada.
Lección: el DPO/jurista es la buena puerta de entrada.
Vocabulario de la sección
- Dato personal
- Toda información sobre una persona: minimización y herramienta validada.
Ejemplo sencillo: Los CV de los candidatos de Amine son datos personales.
Lo que no es: « anonimizado rápido, por tanto fuera de tema » sin comprobación.
Reflejo: ¿este uso toca a personas identificables?
- Humano en el bucle
- Sin decisión con efecto sobre una persona sin control humano.
Ejemplo sencillo: Amine rechaza el descarte automático de candidaturas.
Lo que no es: dejar que la IA seleccione sola « para ir más rápido ».
Reflejo: ¿quién firma humanamente esta decisión?
- AI Act (principios)
- Enfoque europeo por riesgos + transparencia.
Ejemplo sencillo: Amine señala los contenidos sintéticos difundidos al público.
Lo que no es: creer que el AI Act solo afecta a los editores.
Reflejo: ¿mi uso es sensible o sujeto a transparencia?
- Uso sensible
- Contratación, evaluación: zona de conformidad exigente.
Ejemplo sencillo: Amine escala la selección de CV en vez de improvisarla.
Lo que no es: apañar una puntuación de candidatos en una hoja + IA.
Reflejo: ¿quién valida la conformidad de este uso?
- DPO / referente
- El interlocutor de las preguntas normativas.
Ejemplo sencillo: Amine lleva 3 preguntas precisas al DPO.
Lo que no es: autointerpretar los textos entre colegas.
Reflejo: ¿mis 3 preguntas están listas y escritas?
En la práctica — El radar normativo aplicado a sus usos
- Retome sus usos listados en 4.5 y marque los que toquen datos personales: minimización, herramienta validada, humano en el bucle.
- Detecte los usos sensibles potenciales a su alrededor (selección de CV, evaluación): ¿quién, en la organización, valida su conformidad?
- Pruebe el reflejo de transparencia: ¿cuáles de sus contenidos generados deberían señalarse como tales (chatbots de cara al público, contenidos sintéticos)?
- Anote las 3 preguntas para su DPO/referente: es la buena puerta de entrada — no la autointerpretación de los textos.
Guion listo para decir — escalar al DPO
« Preparo un uso IA que toca [datos personales / a personas: describir]. He aplicado minimización y herramienta validada, y mantengo un humano que decide. ¿Validan este uso? ¿Hace falta una transparencia específica o una conformidad reforzada antes de empezar? »
Para dirigir al DPO/referente o jurista con la descripción precisa del uso — antes de empezar.
Modelo para copiar y pegar — radar normativo
MI RADAR NORMATIVO
USOS CON DATOS PERSONALES: _______________ -> minimización + herramienta validada: OK / A REVISAR
USOS SENSIBLES (personas: contratación, evaluación): _______________ -> validado por: _______________
TRANSPARENCIA (contenidos a señalar IA): _______________
MIS 3 PREGUNTAS AL DPO: 1) ___ 2) ___ 3) ___Solo / sin DPO
Amine sin DPO interno: referente + jurista externo o dirección — la pregunta siempre se plantea, incluso sin el título DPO.
Pyme / usos simples
Cartografía corta: 1 página, usos marcados, 3 preguntas — la simplicidad no exime del radar.
Pyme Argelia
Amine en Argel: datos de candidatos y asalariados tratados con la prudencia de la ley 18-07; usos europeos sensibles conocidos como principio general.
Equipo RR. HH.
Ningún uso de RR. HH. que toque a personas sin validación de conformidad: la parrilla de RR. HH. pasa por el DPO antes de arrancar.
✓ Buenas prácticas
- En cuanto haya un dato personal, piense minimización.
- Mantenga un humano en el bucle para toda decisión con efecto.
- Plantee las preguntas normativas al DPO/jurista, no decida solo.
✗ Errores frecuentes
- Poner en marcha una decisión automatizada con efecto sin humano.
- Improvisar un uso sensible (selección de CV) sin conformidad.
- Autointerpretar los textos en vez de consultar al DPO.
Puntos clave
- Dato personal = vigilancia, sea cual sea la herramienta: minimización, herramienta validada.
- Sin decisión con efecto sobre una persona sin humano en el bucle.
- Usos que tocan a personas (contratación, evaluación): zona sensible, no se improvisa.
- Las preguntas normativas se plantean al DPO/jurista: detectar, no decidir.
Reto 48h — aplique mañana
Cartografíe sus usos (¿datos personales? ¿personas afectadas?) y escriba sus 3 preguntas al DPO: ¿contacto planificado?
- Puedo citar el radar en una frase (datos, usos, DPO).
- Mis usos están cartografiados (marcado hecho).
- Mis 3 preguntas al DPO están escritas.
Preguntas frecuentes
¿Los marcos se me aplican a mí, simple usuario en empresa?
Pesan primero sobre las organizaciones — pero le afectan concretamente: formación, usos regulados (transparencia, supervisión humana), prácticas a evitar. Seguir la carta interna le pone del lado bueno. No tiene que dominar los textos, sino reconocer cuándo un uso es sensible.
¿Qué se arriesga en caso de incumplimiento?
Sin entrar en ningún importe ni detalle: los textos prevén consecuencias serias para las organizaciones, y a escala individual el riesgo es disciplinario — razón de más para reglas de equipo claras (5.5) validadas con el DPO o un jurista.
Amine quiere hacer seleccionar CV por la IA. ¿Primer reflejo?