Datos de entrenamiento
El entrenamiento de modelos de IA plantea preguntas jurídicas que muchas empresas todavía no tienen resueltas: qué datos pueden utilizarse, si es necesaria una base jurídica para tratar datos personales, cómo afecta el principio de limitación de la finalidad o qué ocurre cuando un modelo memoriza información que no debería conservar.
Analizamos las bases jurídicas disponibles para el uso de datos en el entrenamiento, evaluamos la compatibilidad con la finalidad original del tratamiento y diseñamos flujos de datos que reduzcan el riesgo de incumplimiento sin bloquear el desarrollo del modelo.
Auditoría de cumplimiento normativo
Muchas empresas que ya utilizan sistemas de IA no saben con exactitud si cumplen con el RGPD en todos los tratamientos que esos sistemas implican.
La auditoría revisa el ciclo de vida completo de los datos: recopilación, entrenamiento, inferencia, almacenamiento de resultados y trazabilidad de las decisiones automatizadas.
El resultado es un informe con el nivel de cumplimiento actual, las brechas identificadas y un plan de acción ordenado por urgencia e impacto, con recomendaciones concretas que puedan aplicarse en la organización.
Evaluaciones de impacto en protección de datos
El RGPD exige una Evaluación de Impacto relativa a la Protección de Datos cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas.
Los sistemas de IA que elaboran perfiles, toman decisiones automatizadas con efectos significativos o procesan datos a gran escala pueden entrar en esta categoría.
Realizamos la EIPD completa: identificación de riesgos, análisis de necesidad y proporcionalidad, evaluación de las medidas de mitigación y documentación del proceso conforme a los requisitos de la AEPD. También asesoramos sobre cuándo es obligatoria y cuándo resulta recomendable aunque no exista una exigencia legal expresa.
Representación ante la AEPD
Cuando una empresa recibe una reclamación, está siendo investigada o necesita interlocutar con la Agencia Española de Protección de Datos en relación con un sistema de IA, necesita una defensa que comprenda tanto el funcionamiento de la tecnología como la normativa aplicable.
Gestionamos los procedimientos ante la AEPD en todas sus fases: respuesta a requerimientos de información, alegaciones en procedimientos sancionadores, recursos y compromisos de cumplimiento.
Diseño legal y confidencialidad
La privacidad por diseño no es solo un principio del RGPD. También permite construir sistemas de IA más robustos, confiables y fáciles de auditar.
Asesoramos a los equipos técnicos y de producto para incorporar requisitos legales desde las primeras fases del diseño, antes de que los patrones de tratamiento de datos estén consolidados y sean difíciles de modificar.
También diseñamos marcos de confidencialidad para proyectos con datos sensibles, acuerdos de tratamiento por encargo con proveedores tecnológicos y cláusulas de protección de datos para contratos con clientes.
Transferencias internacionales de datos
Los proyectos de IA suelen utilizar infraestructuras distribuidas en distintos países: modelos alojados fuera de la Unión Europea, proveedores de computación en la nube con centros de datos internacionales o conjuntos de datos compartidos entre filiales y socios.
Cada uno de estos flujos puede constituir una transferencia internacional de datos y exigir un marco jurídico específico.
Evaluamos si las transferencias están correctamente cubiertas, identificamos proveedores y subencargados e implementamos los mecanismos aplicables, como decisiones de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes. También analizamos los riesgos y las medidas complementarias necesarias para cada proyecto.
