Cambiar una herramienta de inteligencia artificial no obliga siempre a empezar de cero una evaluación de impacto en protección de datos. Sí exige comprobar si han cambiado el tratamiento y sus riesgos. El RGPD prevé revisar la evaluación cuando sea necesario, al menos si cambia el riesgo que representan las operaciones.
¿Basta con que el proveedor diga que la nueva versión es más segura? No. Necesitas entender qué cambia para tus datos: acceso, usos, destinatarios, decisiones y funcionamiento. Una mejora comercial puede incorporar funciones que alteren la evaluación anterior.
Compara el uso anterior con el que vas a activar
No centres toda la revisión en el nombre de la aplicación. Una herramienta puede conservar la marca y añadir una conexión con los documentos de la empresa. También puedes cambiar de proveedor y mantener un uso muy limitado con información que no identifica a personas.
Describe qué datos entran, para qué se utilizan y quién recibe el resultado. Después identifica las funciones nuevas. Si antes resumías un texto y ahora el sistema puntúa clientes o recomienda decisiones sobre personas, el cambio merece un análisis diferente.
Esta descripción debe reflejar el uso real previsto. No sirve evaluar una demostración sencilla si el equipo va a conectar después toda su carpeta de trabajo sin una comprobación adicional.
Qué dice el RGPD sobre revisar la evaluación
El artículo 35 regula la evaluación de impacto para los tratamientos que entrañan el riesgo previsto en él. Su apartado sobre revisión exige comprobar la conformidad del tratamiento con la evaluación cuando sea necesario y, al menos, si cambia el riesgo.
Por tanto, hay dos preguntas diferentes: si el tratamiento requiere una evaluación y si una evaluación ya realizada necesita actualizarse. No deben responderse con una regla automática que exija el mismo documento para todas las aplicaciones de IA.
Una plantilla puede ayudar a ordenar la información, pero no convierte la revisión en un trámite de rellenar casillas. Las respuestas deben describir el tratamiento, los riesgos que se han identificado y las medidas que realmente van a aplicarse.
Cambios que conviene poner sobre la mesa
| Cambio previsto | Qué necesita revisar la empresa |
|---|---|
| Más datos o documentos conectados | Finalidad, necesidad y acceso a esa información |
| Nuevas personas que reciben resultados | Destinatarios y permisos adecuados |
| Funciones de clasificación o recomendación | Consecuencias para las personas y supervisión prevista |
| Otro proveedor o nuevas condiciones | Tratamiento que realiza y compromisos aplicables |
Esta lista no decide por sí sola la necesidad de una evaluación. Sirve para que el responsable de la revisión disponga de información concreta. Un cambio pequeño en la interfaz puede ser irrelevante, mientras que una conexión nueva puede ampliar mucho el acceso a los datos.
No actives primero y preguntes después qué datos ha podido consultar. Prepara una prueba limitada y acuerda qué condiciones deben cumplirse antes de ampliar el uso.
Un ejemplo de cambio que parece menor
Imagina un despacho que utiliza una herramienta para mejorar la redacción de textos sin datos de clientes. La nueva función permite buscar automáticamente dentro de una carpeta compartida. Es un ejemplo ilustrativo que no identifica a personas ni empresas reales.
Antes de activarla, habría que comprobar qué documentos contiene esa carpeta, quién puede acceder al resultado y cómo funciona la búsqueda. La evaluación anterior de una tarea sin datos personales no describe necesariamente ese nuevo uso.
La conclusión puede ser limitar el acceso, cambiar la configuración, ampliar el análisis o no activar la función. Lo que no permite decidir es la frase «ya evaluamos la IA el año pasado» sin comparar las operaciones.
Deja una decisión clara antes de ampliar el uso
Quien vaya a utilizar la herramienta debe conocer qué funciones están permitidas y con qué datos. Si la revisión exige condiciones previas, comprueba su cumplimiento antes de abrir el acceso a todo el equipo.
Para preparar el proceso, puedes apoyarte en nuestra guía de gestiones digitales. Cuando corresponda una evaluación de impacto o su revisión, debe abordarse con las personas que tengan la responsabilidad y conocimientos adecuados sobre ese tratamiento.
Habla con Taxea para ordenar qué cambia en tu proceso antes de sustituir la herramienta de IA.
