La autoridad neerlandesa de protección de datos ha puesto a disposición una herramienta de autoevaluación sobre sistemas de inteligencia artificial generativa: un recorrido que lleva a la organización a comprobar si dispone de medidas de gobierno adecuadas, con qué criterio elige un sistema conforme al RGPD, cómo lo pone en funcionamiento y cómo vigila su uso.
Por qué hace falta ahora una herramienta así
El problema práctico de estos meses no es la prohibición: es que la IA generativa entra en las organizaciones por la puerta de servicio. No con un proyecto, sino con una casilla marcada dentro de un programa que el proveedor ha actualizado, o con una suscripción contratada por un departamento sin pasar por nadie. Cuando el DPD se entera, el tratamiento lleva meses en marcha.
Una autoevaluación no resuelve el problema, pero lo hace discutible: da al DPD un documento que poner sobre la mesa y que no parece una objeción personal, y al responsable una secuencia de preguntas que contestar por escrito.
Las cuatro decisiones que hay que escribir
Las preguntas se concentran en cuatro momentos: si existe un gobierno del fenómeno antes de adoptar cualquier herramienta; con qué criterios se elige al proveedor; en qué condiciones el sistema entra en producción; y quién vigila su uso con el tiempo. Son los mismos cuatro puntos por los que pregunta una inspección, y también aquellos sobre los que, normalmente, no hay ni una línea escrita.
Conviene decirlo claro: la herramienta es de la autoridad neerlandesa y no vincula a las demás. No genera presunción de conformidad ni sustituye la evaluación de impacto del art. 35 cuando procede. Pero las preguntas no son neerlandesas: son las que haría un DPD en Italia, en Portugal o en Noruega.
Qué hacer con ella en concreto
Lo útil es usarla como inventario, no como examen. Una ronda de correos a los clientes con tres preguntas —qué herramientas de IA generativa están activas, quién las autorizó, qué datos acaban dentro— casi siempre produce una sorpresa, y esa sorpresa es el verdadero punto de partida.
Y respetar el orden: primero se establece si el tratamiento es lícito y si requiere evaluación de impacto, después se elige proveedor. El orden inverso —sistema elegido y luego evaluación escrita para justificarlo— es la vía más rápida para convertir una obligación en una ficción.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
