IA y protección de datos en una correduría: qué tienes que mirar

Cuando metes inteligencia artificial en tu correduría, los datos de tus clientes pasan por un sistema nuevo. Eso tiene consecuencias legales concretas y conviene tenerlas claras antes, no después de una inspección.

Este artículo no sustituye a un abogado. Sirve para saber qué preguntar.

Tú sigues siendo el responsable

Ante tus clientes y ante la Agencia Española de Protección de Datos, el responsable del tratamiento eres tú, no tu proveedor de software. El proveedor es un encargado del tratamiento y tiene que haber un contrato entre ambos que cumpla el artículo 28 del Reglamento.

Si no tienes ese contrato firmado con quien te da el programa, empieza por ahí.

Las cinco preguntas al proveedor

• ¿Los datos de mis clientes salen de mi entorno? Y si salen, ¿a dónde y con qué garantías?
• ¿Se usan mis datos para entrenar modelos? La respuesta debería ser no, y debería estar por escrito.
• ¿Dónde están alojados los servidores que procesan la información? Dentro o fuera del Espacio Económico Europeo cambia lo que tienes que informar.
• ¿Qué traza queda de lo que hace la IA? Necesitas poder reconstruir qué se consultó y cuándo.
• ¿Puedo limitar a qué información accede cada función? Un agente de campañas no necesita ver siniestros.

Transferencias fuera de Europa

Muchos modelos de lenguaje se ejecutan en servidores de Estados Unidos. Eso no está prohibido, pero exige garantías: una decisión de adecuación, cláusulas contractuales tipo o medidas adicionales.

Y exige que lo digas en tu política de privacidad. Si tu política actual no menciona la inteligencia artificial ni las transferencias internacionales, está desactualizada.

Decisiones automatizadas

El artículo 22 del Reglamento da derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente a una persona.

En la práctica, para una correduría: que un sistema calcule la probabilidad de venta de un producto no es una decisión con efectos jurídicos. Que un sistema rechace por sí solo una prestación, sí lo sería. Mantén a una persona en las decisiones que afectan al cliente.

Lo que conviene tener por escrito

• Contrato de encargado del tratamiento con tu proveedor de software.
• Registro de actividades de tratamiento actualizado, incluyendo el uso de IA.
• Política de privacidad que mencione la inteligencia artificial y las transferencias internacionales, si las hay.
• Un procedimiento para atender los derechos de tus clientes en un mes.