Qué es el consentimiento en IA

Ejemplo ilustrativo: una tienda de muebles de Valladolid quiere preparar una newsletter, un boletín comercial para quienes lo han solicitado. Es un caso ficticio, no un cliente ni un resultado medido de Ciade. El asistente recibe el catálogo y una promoción aprobada para redactar el borrador. No necesita la lista de destinatarios para escribirlo. El responsable comprueba después los precios, las condiciones, la lista vigente y el mecanismo de baja antes de autorizar el envío.

Quien dejó su correo para recibir una factura no ha dado permiso universal para campañas o para entrenar una IA: usar su historial para mejorar el modelo. Tener el dato permite localizarlo, pero no decide qué puedes hacer con él. Tampoco basta con que el texto del boletín lo revise una persona: esa revisión y el uso de los contactos son decisiones diferentes.

No. El consentimiento es una de seis bases jurídicas: las razones legales que permiten tratar datos personales. También existen la relación contractual, la obligación legal, los intereses vitales, el interés público o ejercicio de poderes públicos y el interés legítimo. No son permisos acumulativos ni opciones que puedas escoger por comodidad. Debes identificar la que corresponda, documentarla e informar a la persona.

Si planteas interés legítimo, tienes que identificar el interés, comprobar la necesidad y ponderar los derechos e intereses de las personas. Ponderar significa valorar cómo les afecta el uso frente al interés que persigues. Que los datos estén en internet no evita ese análisis.

Un encargado del tratamiento es quien utiliza datos por cuenta de tu empresa. Cuando el proveedor ocupa ese papel, la relación debe documentarse mediante el contrato correspondiente. Revisa las instrucciones que recibe, la confidencialidad, la seguridad, las empresas que subcontrata y qué ocurre con los datos al terminar. Si hay transferencias fuera del Espacio Económico Europeo, necesitan su propio análisis.

Que un proveedor ya lleve las nóminas no significa que su contrato cubra cualquier función nueva de IA. Examina el uso que se añade, las responsabilidades y la información a la plantilla antes de activarlo. Para fijar las reglas dentro del equipo, consulta qué es una política de uso de IA. Esa política organiza el trabajo; no sustituye la base jurídica de cada tratamiento.

Quitar el nombre no basta si la combinación del puesto, la localidad o las fechas permite deducir de quién se trata. La anonimización efectiva exige que no sea razonablemente posible identificar a la persona. Además, anonimizar datos personales es en sí un tratamiento: esa operación también necesita una base que la ampare. Para preparar la primera prueba, utiliza información totalmente ficticia. Una conexión innecesaria puede exponer los originales: consulta qué es una fuga de datos con IA antes de conectar archivos reales.

Busca una revisión especializada si intervienen datos especialmente protegidos o decisiones con efectos importantes para las personas. En España, el consentimiento por sí solo no basta si la finalidad principal es identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. La propiedad del contenido generado plantea otra pregunta: se trata en de quién es lo que genera la IA.