Implantar la IA en la pyme de forma segura: lista de control en 10 pasos

El marco jurídico de un vistazo

• Suiza: todavía no existe una ley específica sobre IA. Pero la ley suiza de protección de datos (DSG) se aplica directamente a las aplicaciones de IA, como señala el Comisionado Federal de Protección de Datos y Transparencia (EDÖB/FDPIC). El 12 de febrero de 2025, el Consejo Federal decidió ratificar el Convenio Marco del Consejo de Europa sobre IA. Un anteproyecto para consulta pública debe estar listo a finales de 2026.
• UE (para Alemania, Austria y empresas suizas con vínculo con la UE): se aplican el RGPD y el AI Act (Reglamento europeo de IA). El art. 4 (alfabetización en IA) se aplica desde el 2 de febrero de 2025, y la mayoría de las demás normas, desde el 2 de agosto de 2026. El «Digital Omnibus» aplazó las obligaciones para los sistemas de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, respectivamente.

Los 10 pasos

1. Hacer inventario: ¿quién usa qué IA?

• Pregunte abiertamente en el equipo qué servicios de IA se usan y para qué, también con cuentas personales. Sin buscar culpables; de lo contrario, solo oirá media verdad.
• Anote el servicio, el tipo de cuenta y la finalidad en una lista sencilla.

Más información: Shadow AI en la pyme.

2. Definir casos de uso y clases de datos

• Elija dos o tres casos de uso concretos con un beneficio claro, como redactar textos, resumir actas o explicar código.
• Clasifique los datos en categorías sencillas, por ejemplo: públicos, internos, confidenciales, datos personales, datos sensibles y datos sujetos a secreto profesional.
• Defina qué categoría puede ir a qué herramienta. Lo que nunca debe introducirse lo explica la guía IBAN, número de la seguridad social y otros.

3. Elegir herramientas y cuentas

• Plan de empresa en lugar de cuenta personal: elija una oferta con contrato. Quien comunica datos personales a un proveedor debe asegurarse de que este puede garantizar la seguridad de los datos (art. 9 DSG). En la UE se necesita un contrato de encargo del tratamiento (art. 28 RGPD).
• Aclarar la ubicación de los datos y los subencargados: si los datos salen al extranjero, se aplican los art. 16 y 17 DSG o los art. 44 y ss. RGPD.
• Revisar el entrenamiento: aclare si el proveedor usa lo que se escribe para entrenar y desactívelo siempre que sea posible. Guía: Desactivar el entrenamiento de IA. Para entornos de Microsoft: Copilot y protección de datos.

4. Comprobar si hace falta una evaluación de impacto

• Si un tratamiento puede suponer un alto riesgo para las personas afectadas, es necesaria una evaluación de impacto relativa a la protección de datos previa (art. 22 DSG, art. 35 RGPD). La propia DSG cita un ejemplo: el tratamiento a gran escala de datos sensibles, como los datos de salud.
• En el trabajo cotidiano con textos sin datos personales no suele ser el caso. Aun así, compruébelo y déjelo documentado brevemente. El EDÖB ofrece una ficha informativa al respecto.
• Cuidado con las decisiones sobre personas, por ejemplo al clasificar candidaturas: la IA para la selección de personal se considera de alto riesgo en el AI Act (anexo III, punto 4).

5. Redactar una política de IA

• Bastan una o dos páginas: herramientas permitidas, datos prohibidos, uso de los resultados, punto de contacto para incidentes.
• Regule también el uso de los resultados: revisar textos, cifras y fuentes generados por la IA antes de transmitirlos.
• Haga que todos la confirmen. Gratis para adaptar: Plantilla de política de IA.

6. Formar a la plantilla

• Para las empresas a las que se aplica el AI Act, el art. 4 exige medidas de alfabetización en IA del personal. Según la Comisión Europea, no hace falta ningún certificado.
• Una hora con ejemplos del propio día a día es un buen comienzo. Deje constancia de quién recibió formación y cuándo.

Contenidos y desarrollo: Alfabetización en IA según el art. 4 del AI Act.

7. Establecer barreras técnicas

• Cuentas: gestionar de forma centralizada las cuentas de empresa y excluir las cuentas personales para datos de la empresa.
• Accesos: antes de implantar asistentes de IA que leen correos y archivos, ordenar los permisos.
• Detectar los descuidos: la mayoría de los errores ocurren al pegar con prisas, por ejemplo una contraseña o una lista de clientes. Una solución DLP o una extensión de navegador revisa lo que se escribe antes de enviarlo. Comparativa: DLP para herramientas de IA.

8. Ser transparente cuando sea necesario

• Según el EDÖB, las personas que hablan con un chat de IA tienen derecho a saber que se comunican con una máquina. Esto afecta, por ejemplo, a un chatbot en su sitio web.
• Si datos personales de clientes van a un proveedor de IA, debe indicarse en la política de privacidad (destinatarios y países, art. 19 DSG, art. 13 y 14 RGPD).
• En la UE, el art. 50 del AI Act exige, entre otras cosas, revelar los deepfakes y los textos generados por IA sobre asuntos de interés público si no han pasado por una revisión editorial.

9. Notificar y gestionar incidentes

• Designe un punto de contacto. Quien notifica con rapidez no es sancionado.
• Ante un descuido: sustituir de inmediato las contraseñas y claves afectadas, después borrar el chat y los enlaces compartidos y registrar el incidente. Borrar no basta, porque el texto ya ha llegado al proveedor. Véase Contraseña pegada en ChatGPT: ¿qué hacer ahora?.
• Compruebe si hay que notificar: en Suiza, al EDÖB «lo antes posible» si es probable un alto riesgo para los afectados (art. 24 DSG); en la UE, sin dilación indebida y, si es posible, en un plazo de 72 horas, salvo que sea improbable que exista un riesgo (art. 33 RGPD).

10. Revisar periódicamente

• Una vez al año y con cada herramienta nueva: actualizar la lista, la política y la formación.
• Siga de cerca la situación jurídica, por ejemplo la consulta pública suiza sobre la regulación de la IA y los plazos del AI Act.

¿Quién hace qué?

Preguntas frecuentes