IA y protección de datos en la empresa de construcción: las reglas del juego antes de subir nada a la nube
Planos con datos de clientes, fotos de obra con trabajadores, conversaciones de chat: usar herramientas de IA con datos de la empresa y de terceros tiene reglas claras. La guía de cumplimiento sin legalese.
La empresa de construcción que adopta IA maneja más datos personales de los que cree: fotos de obra con trabajadores identificables, contratos con datos de clientes y subcontratistas, conversaciones comerciales con compradores que cuentan su hipoteca, nóminas y cuadrillas. Subir cualquiera de esos contenidos a una herramienta de IA externa sin garantías no es un descuido técnico: es un tratamiento de datos personales sin cobertura legal, con sanciones que la Agencia Española de Protección de Datos ya aplica. Las reglas del juego son conocidas; esta guía las ordena.
El principio básico: la IA no es un cajón neutro
El error conceptual de partida es pensar la herramienta de IA como una carpeta privada: cuando el documento sube al modelo de un proveedor externo, los datos salen del control de la empresa y pasan por la infraestructura de un tercero -posiblemente fuera de la UE-. En términos de protección de datos, la empresa sigue siendo responsable de ese tratamiento: necesita base legal, finalidad definida, contrato de encargado de tratamiento con el proveedor y, si hay transferencia internacional de datos, las garantías que la normativa exige.
La distinción de versiones es la primera política de hecho: el servicio gratuito del chatbot general entrena con lo que recibe -es el trato: utilidad por datos-; el servicio corporativo ofrece garantías contractuales de confidencialidad y no entrenamiento -y cuesta lo que cuesta la tranquilidad-. La empresa que deja a sus empleados consultar planos y datos de clientes en la versión gratuita está filtrando su información con una sonrisa: la política empieza por pagar la versión que no se queda con lo tuyo -y prohibir la otra para el trabajo-.
La distinción práctica que ordena todo: las versiones gratuitas o personales de los servicios de IA -donde el contenido puede usarse para entrenar el modelo- no son herramientas de trabajo para datos de empresa; las versiones empresariales -con contrato, compromiso de no entrenamiento, residencia de datos y medidas de seguridad certificadas- sí pueden serlo. Usar la cuenta gratuita con los datos de los clientes es el incumplimiento más común y más evitable.
Los datos sensibles del sector, uno a uno
Las imágenes de obra son el caso más frecuente: la foto del avance con trabajadores reconocibles es tratamiento de datos personales -y si hay videovigilancia o detección de EPIs, con su marco específico de información, proporcionalidad y participación de la representación de los trabajadores-. Subir esas fotos a herramientas de IA externas sin garantías convierte el archivo de obra en una exposición no autorizada.
Los datos de clientes y trabajadores tienen su régimen especial reforzado: la situación económica del comprador -su hipoteca, su nómina en la negociación-, las imágenes de los operarios, los datos de salud de los accidentes -categorías que la ley de protección de datos trata con lupa-. La IA que los procesa necesita base jurídica, información a los afectados y, en los casos de perfilado o decisiones automatizadas, garantías adicionales -el entusiasmo por la herramienta nueva no suspende la ley de siempre: el RGPD no tiene excepción por innovación-.
Los datos de clientes -compradores de vivienda con su situación financiera en el chat, propietarios en las reformas- y los de empleados -cuadrillas, nóminas, formación, salud laboral- son el segundo frente: datos especialmente protegidos por su sensibilidad económica y personal, cuyo tratamiento con IA exige las mismas garantías que cualquier otro sistema de la empresa. La regla de oro: si no se enviaría por correo sin protección, no se sube a la IA sin garantías.
Los datos del proyecto -planos, presupuestos, estrategia de licitación- no son datos personales pero son el activo competitivo: la fuga de la estrategia de precios a un proveedor que entrena con ella es un daño empresarial aunque no una infracción de datos. La confidencialidad comercial y el cumplimiento legal apuntan a la misma práctica: herramientas empresariales con garantías, y política interna clara de qué se sube y qué no.
La política mínima de IA de la empresa
La política escrita mínima cubre cinco puntos y cabe en dos páginas: qué herramientas están autorizadas -y cuáles no-, qué información puede salir del perímetro y qué no -la clasificación simple que todos entienden-, quién aprueba los casos dudosos, qué se hace con los prompts y las salidas sensibles, y la formación básica del equipo. Sin papel, cada empleado decide con su criterio -y el criterio disperso es la fuga dispersa: la política de IA es el reglamento del vestuario nuevo: breve, claro y cumplido-.
La empresa que usa IA necesita una política escrita -no hace falta un tratado: dos páginas bastan- que responda: qué herramientas están autorizadas -las corporativas contratadas con garantías- y cuáles prohibidas para datos de trabajo -las cuentas gratuitas personales-; qué datos pueden subirse y cuáles nunca -datos personales sensibles, estrategia de precios, documentación marcada como confidencial-; quién responde de las decisiones que la IA apoya; y cómo se verifica lo que la IA produce antes de usarlo.
El cumplimiento se completa con tres piezas: el registro de tratamientos actualizado con los nuevos usos de IA, la información a los interesados cuando sus datos se tratan con estos sistemas, y la evaluación de impacto cuando el uso es de riesgo -videovigilancia con IA, decisiones automatizadas sobre personas-. La Agencia Española de Protección de Datos publica guías prácticas sobre IA que son el mejor manual gratuito del mercado.
La conclusión: la IA y la protección de datos no son enemigas -la empresa puede usar las dos- pero la combinación exige hacer los deberes: herramientas empresariales con contrato, política interna de dos páginas, registro actualizado y formación del equipo. La pregunta que ordena todo el sistema: ¿esto se lo contaría a un desconocido? Si la respuesta es no, no se sube sin garantías. La IA es una herramienta potente; la confianza de clientes y trabajadores es más potente aún.
La conclusión de la convivencia: la protección de datos no frena la IA -la ordena-. La empresa con su política clara adopta la tecnología sin sobresaltos: sabe qué puede hacer con cada herramienta y cada dato, y su equipo no improvisa con la información de otros. El RGPD y la IA son compatibles en la práctica diaria con dos inversiones modestas: la herramienta corporativa correcta y la política clara -el coste de hacerlo bien es menor que el de la primera brecha-.
Licencia.ai Entrar en Licencia.ai
Más en IA y tecnología
IA para redactar ofertas de licitación: cómo ganar tiempo sin perder el pliego (ni la empresa)
IA para leer pliegos: cómo analizar quinientas páginas de condiciones en una tarde sin tragarse una cláusula
