RGPD y RAG: qué revisar antes de lanzar su proyecto de IA
Antes de lanzar un asistente basado en RAG sobre documentos de su empresa, revise cuatro cosas: qué datos personales contienen esos documentos, con qué base jurídica los trata, quién actúa como encargado de tratamiento y dónde se alojan los datos. Esta guía repasa, punto por punto, lo que el RGPD le va a pedir en la práctica, con una checklist y una tabla de evidencias para no improvisar.
Qué datos personales se esconden en los documentos que sube a su base RAG
Cuando monta una base de conocimiento para que un asistente conteste preguntas, no sube «información» en abstracto: sube documentos concretos, y la mayoría de documentos de una empresa están llenos de datos personales aunque el proyecto no tenga nada que ver con recursos humanos o con clientes. Un manual técnico puede parecer inofensivo, pero el acta de la reunión donde se aprobó, el correo de una incidencia o el contrato de mantenimiento adjunto ya no lo son tanto.
- Contratos y acuerdos con nombre, DNI, dirección o firma
- Nóminas, expedientes de personal y evaluaciones de desempeño
- Historiales médicos, bajas o partes de mutua en sector salud o prevención
- Correos electrónicos exportados con nombres, cargos y opiniones personales
- Actas de reuniones con intervenciones atribuidas a empleados concretos
- Tickets de soporte con datos de contacto y, a veces, de salud o de pago
- Currículums recibidos para procesos de selección
El primer paso, antes de subir nada, es hacer un inventario documental rápido: qué carpetas van a alimentar la base, si contienen categorías especiales de datos (salud, afiliación sindical, orientación sexual, origen étnico) y si esas categorías son realmente necesarias para que el asistente responda preguntas de negocio. Si no lo son, redactarlas o excluirlas antes de indexar es casi siempre la opción más sencilla.
Base jurídica: subir un PDF a una IA no es un salvoconducto
Tener el documento en su poder no le da automáticamente derecho a tratarlo con una IA. El RGPD exige una base jurídica concreta para cada finalidad: interés legítimo para un asistente interno de productividad, ejecución de un contrato para responder consultas de un cliente, o consentimiento cuando no hay otra base razonable. Si el mismo documento se usa para dos finalidades distintas (por ejemplo, atención al cliente y, además, entrenar respuestas que luego se venden a terceros), cada finalidad necesita su propio análisis.
Cuando el tratamiento es a gran escala, implica categorías especiales de datos o supone una monitorización sistemática de personas, el RGPD obliga a hacer una evaluación de impacto (EIPD) antes de arrancar. Si además el asistente toma decisiones con efectos sobre personas (por ejemplo, prioriza o descarta candidaturas), entran en juego tanto el artículo 22 del RGPD como las obligaciones de transparencia del AI Act europeo. Repasamos este tipo de controles con más detalle en cómo crear un chatbot que cumpla el RGPD, con una lista de verificación pensada para proyectos de atención al cliente.
El proveedor de RAG como encargado de tratamiento
Si contrata un servicio externo para indexar y consultar sus documentos, ese proveedor actúa como encargado de tratamiento según el artículo 28 del RGPD, y eso exige un contrato específico (el conocido como DPA), no basta con los términos de servicio genéricos. El contrato debe recoger el objeto y duración del tratamiento, las instrucciones del responsable, las medidas de seguridad, el deber de notificar brechas, la lista de subencargados autorizados y el derecho del responsable a auditar o pedir evidencias.
A la hora de elegir proveedor, compruebe si ofrece bases privadas donde nadie más que usted y sus claves de API puede consultar los documentos. En Kopik, por ejemplo, una base privada solo responde a su propietario o a las claves de API que haya generado: nadie navega el catálogo público ni ve las preguntas que se hacen, lo que simplifica mucho firmar un encargo de tratamiento claro, con un único responsable y un solo encargado en la cadena. Esto es justo lo contrario de subir documentos con datos personales a un cuaderno compartido o a un chat genérico sin contrato de por medio, un error que tratamos con más detalle en un ChatGPT privado para los documentos de su empresa.
Dónde se alojan sus datos: UE, transferencias internacionales y cláusulas tipo
La ubicación de los servidores no es un detalle técnico, es una cláusula contractual. Si el proveedor aloja los datos fuera del Espacio Económico Europeo, necesita una base para esa transferencia internacional: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo (SCC) con las garantías adicionales que exige la jurisprudencia Schrems II, o normas corporativas vinculantes. Para sectores sensibles (salud, abogacía, administración pública, menores) muchas organizaciones optan directamente por proveedores que alojan en la UE para evitar ese análisis caso por caso.
Pida siempre al proveedor la lista de subencargados y la ubicación de cada uno: un sistema de RAG típico puede implicar, además del alojamiento principal, un servicio externo de generación de texto, otro de almacenamiento de archivos y otro de analítica. Cada eslabón de esa cadena debe estar cubierto, bien porque está en la UE, bien porque tiene las garantías de transferencia adecuadas. El texto completo del RGPD puede consultarse en el Diario Oficial de la Unión Europea si necesita citar el artículo exacto en su análisis.
Minimización, retención y derecho de supresión en una base vectorial
Un sistema RAG no guarda el documento tal cual: lo trocea en fragmentos (chunks) y genera representaciones numéricas (embeddings) de cada uno para la búsqueda semántica. Eso significa que «borrar» no es tan simple como eliminar un archivo: hay que eliminar también los fragmentos indexados y sus embeddings asociados, o la información sigue siendo recuperable aunque el documento original ya no exista. Antes de contratar un proveedor, pregunte explícitamente cómo gestiona el borrado en cascada cuando se elimina un documento o toda una base.
La forma en que se trocean los documentos también afecta a la minimización: un chunking demasiado amplio puede mezclar datos personales con contenido genérico en el mismo fragmento, dificultando borrar solo lo que afecta a una persona. Si quiere entender cómo se decide el tamaño de los fragmentos y por qué importa, tiene más detalle en estrategias de chunking para RAG. En paralelo, fije una política de retención explícita (por ejemplo, borrar tickets de soporte indexados a los 24 meses) y documente el procedimiento para atender solicitudes de supresión en el plazo de un mes que marca el RGPD.
Bases públicas vs privadas: cuidado con lo que comparte en un marketplace de conocimiento
Los marketplaces de conocimiento, como el catálogo de Kopik, permiten publicar una base de conocimiento para que terceros paguen por consultarla, con el creador fijando el precio y quedándose con la mayor parte de cada venta. Este modelo funciona muy bien para guías técnicas, normativa sectorial o documentación propia que no contiene datos de terceros, pero no es el sitio para subir expedientes de clientes, nóminas o historiales médicos sin anonimizar antes. Si su objetivo es monetizar conocimiento experto, conviene separar desde el diseño lo que es «conocimiento genérico vendible» de lo que es «dato personal de un cliente concreto», y mantener este último siempre en una base privada. El modelo de negocio y los aspectos a cuidar al vender conocimiento se explican con más detalle en vender su conocimiento a agentes de IA.
¿Necesita una evaluación de impacto (EIPD)?
Como regla práctica, plantéese una EIPD si su base RAG trata datos de categoría especial a gran escala, si monitoriza sistemáticamente a empleados o clientes, o si las respuestas del asistente tienen efectos legales o similares sobre personas (selección de personal, concesión de crédito, priorización de atención). La AEPD publica listas orientativas de tratamientos que requieren EIPD; revísela antes de decidir que su caso no la necesita.
Checklist práctica antes de lanzar su proyecto RAG
- Inventariar los documentos que alimentarán la base y marcar los que contienen categorías especiales de datos
- Definir y documentar la base jurídica para cada finalidad de uso del asistente
- Firmar un contrato de encargo de tratamiento (art. 28 RGPD) con el proveedor, incluyendo la lista de subencargados
- Confirmar la ubicación de los servidores y las garantías de transferencia internacional si aplican
- Establecer una política de retención y un procedimiento real de borrado en cascada (documento, fragmentos, embeddings)
- Decidir, documento por documento, si la base debe ser privada o puede ser pública en un marketplace
- Añadir el aviso de transparencia correspondiente si el asistente está sujeto al AI Act
- Comprobar que las respuestas citan la fuente exacta, para poder verificar y corregir datos erróneos sobre una persona, como se explica en cómo verificar una respuesta de IA con sus fuentes
Checklist RGPD por fase del proyecto
| Fase | Qué revisar | Evidencia a conservar |
|---|---|---|
| Diseño | Base jurídica y necesidad de EIPD | Registro de actividades de tratamiento, análisis de riesgo |
| Contratación | Encargado de tratamiento y subencargados | Contrato art. 28, lista de subencargados actualizada |
| Alojamiento | Ubicación de servidores y transferencias internacionales | Cláusulas tipo (SCC) o decisión de adecuación |
| Operación | Minimización, chunking y retención | Política de borrado, logs de eliminación de fragmentos |
| Derechos | Atención a solicitudes de acceso, rectificación o supresión | Procedimiento documentado con plazo de un mes |
Controle quién consulta sus documentos
Cree una base privada en Kopik y decida exactamente quién puede hacerle preguntas: usted, sus claves de API o nadie más. Es el punto de partida más sencillo para construir un proyecto de RAG que supere una revisión de protección de datos.
Preguntas frecuentes
Antes de cerrar el proyecto, conviene resolver algunas dudas que surgen casi siempre en la revisión legal interna o al hablar con el delegado de protección de datos.
Preguntas frecuentes
¿El RGPD se aplica a un asistente de IA que solo usan mis empleados internamente?
Sí. El RGPD se aplica a cualquier tratamiento de datos personales con medios automatizados, incluidos los asistentes internos de productividad. Que el acceso esté restringido a empleados reduce el riesgo, pero no elimina la obligación de tener base jurídica, informar a los afectados y firmar el contrato de encargo correspondiente con el proveedor.
¿Necesito el consentimiento de mis clientes para usar sus datos en un sistema RAG?
No siempre. Si el tratamiento es necesario para ejecutar el contrato con el cliente (por ejemplo, responder sus consultas de soporte citando su propio historial), la base jurídica suele ser la ejecución contractual o el interés legítimo, no el consentimiento. El consentimiento se vuelve necesario cuando no existe otra base razonable, por ejemplo si se reutilizan esos datos para una finalidad distinta a la original.
¿Puedo usar un proveedor de IA que aloje los datos fuera de la Unión Europea?
Sí, siempre que exista una base válida para la transferencia internacional: decisión de adecuación, cláusulas contractuales tipo con garantías adicionales tras Schrems II, o normas corporativas vinculantes. Para datos sensibles muchas empresas prefieren directamente proveedores con alojamiento en la UE para simplificar este análisis.
¿Qué pasa si un documento contiene datos de salud o afiliación sindical?
Son categorías especiales de datos (art. 9 RGPD) y exigen una base jurídica reforzada, casi siempre con medidas de seguridad adicionales y, en tratamientos a gran escala, una evaluación de impacto obligatoria. Si esos datos no son estrictamente necesarios para que el asistente responda, la opción más segura es redactarlos o excluir esos documentos de la indexación.
¿Cómo elimino los datos de una persona de una base vectorial ya indexada?
No basta con borrar el archivo original: hay que eliminar también los fragmentos (chunks) generados a partir de él y sus embeddings asociados en el índice de búsqueda. Compruebe con su proveedor que el borrado de un documento dispara automáticamente el borrado en cascada de esos elementos derivados, y pida confirmación por escrito para poder documentar el cumplimiento del derecho de supresión.
Reciba la newsletter de Kopik
Nuevas bases de conocimiento, guías sobre RAG y novedades del producto. Un correo cada una o dos semanas, baja con un clic.
Al suscribirse, acepta recibir nuestra newsletter. Nunca compartimos su dirección.