Asistente de IA en servidor propio en la UE o nube de EE. UU.: qué exige el RGPD con el correo de tu empresa
¿Asistente de IA para el correo en un servidor en la UE o en la nube de EE. UU.? Qué exigen el RGPD y la AEPD: contrato de encargado y transferencias.
Lo más importante
- Una nube de EE. UU. no está prohibida por el RGPD, pero la transferencia necesita una base como el Marco de Privacidad UE-EE. UU. o cláusulas contractuales tipo.
- Con cada proveedor que trate los correos de tus clientes necesitas un contrato de encargado del tratamiento según el art. 28 del RGPD.
- La AEPD recuerda que, con cláusulas contractuales tipo, tienes que evaluar la legislación del país de destino y quizá añadir medidas.
- Pegar correos de clientes en un chat personal es un problema mayor que la ubicación del servidor.
- Con un asistente propio revisas tres puntos: tu buzón, el servidor del asistente y la cuenta en el proveedor de IA.
Un asistente de IA en un servidor en la UE según el RGPD no te exime de nada, y una nube de EE. UU. no está prohibida sin más. Lo que cuenta es en qué puntos se tratan los correos de tus clientes, si cada uno tiene su contrato de encargado del tratamiento y si los datos que salen de la UE tienen una base del capítulo V del RGPD. El asistente de IA de Verselo funciona en un servidor propio y aislado en la UE, solo para tu empresa, y esos puntos los ponemos sobre la mesa antes de empezar.
¿Por qué tu equipo pega correos de clientes en ChatGPT y qué problema plantea eso con el RGPD?
Un ejemplo inventado. Una asesoría de Valencia con ocho personas. Un cliente escribe un correo largo con su DNI, sus nóminas y una duda sobre la renta. La persona que lo atiende lo pega en su cuenta personal de ChatGPT para que le redacte una respuesta clara. La respuesta queda bien. La empresa no sabe nada.
El problema no es la IA. El problema es que no hay ningún contrato entre tu empresa y el proveedor. El art. 28 del RGPD exige un contrato por escrito con cada proveedor que trate datos personales por cuenta tuya, el contrato de encargado del tratamiento. Una cuenta personal no lo tiene. Además, los planes gratuitos y personales pueden usar lo que escribes para entrenar, según cómo estén configurados.
Cómo detectarlo y hablarlo con tu equipo lo explicamos en IA en la sombra en la empresa. Qué cambia entre los planes de ChatGPT lo tienes en ChatGPT y el RGPD en empresas.
Pegar correos en un chat público o tener un asistente de IA en tu propio servidor en la UE: ¿qué cambia en el día a día y en protección de datos?
Las autoridades alemanas de protección de datos (DSK) distinguen en su guía sobre IA y protección de datos del 6 de mayo de 2024 dos tipos de sistema. En los sistemas cerrados controlas lo que entra y lo que sale, y el proveedor no está preparado para seguir entrenando con esos datos. Los sistemas abiertos en la nube tienen el riesgo de que lo que escribes se reutilice para otros fines y suelen implicar transferencias a terceros países.
| Pegar el correo en un chat personal | Asistente propio en servidor en la UE | |
|---|---|---|
| Contrato con tu empresa | Ninguno, cuenta personal | Contrato de encargado para el asistente |
| Quién decide qué se envía | Cada empleado | Reglas fijas que defines tú |
| Entrenamiento con tus correos | Posible según plan y ajustes | Solo cuenta de empresa en el proveedor de IA, sin entrenamiento |
| Dónde queda la respuesta | En el chat, hay que copiarla | Como borrador en tu bandeja |
| Trazabilidad para la empresa | No | Sí, cada cambio de regla queda guardado |
En el día a día la diferencia es igual de grande. En el chat alguien copia correo a correo y explica el contexto cada vez. El asistente propio lee la bandeja directamente y deja la respuesta con tu tono como borrador.
¿Qué datos salen realmente de la UE cuando un asistente de IA responde tus correos?
Aquí conviene ser honesto, porque una frase como "todo se queda en la UE" casi nunca aguanta una revisión. Hay tres puntos donde se trata el texto de un correo.
Tu buzón. Tus correos siguen donde están hoy: en Gmail, Microsoft 365 o tu proveedor IMAP. Para Microsoft 365, Microsoft se compromete con su EU Data Boundary a almacenar y tratar en centros de datos de la UE y la AELC los datos de los tenants dados de alta en la UE o la AELC, con excepciones documentadas. Antes de empezar, revisa el estado actual y la configuración de tu tenant.
El servidor del asistente. Está en la UE y es solo de tu empresa. Solo recuerda los datos que tú has confirmado.
El proveedor de IA. Para redactar una respuesta, el asistente envía el texto necesario a tu propia cuenta de empresa en el proveedor de IA. Si ese texto sale de la UE depende del proveedor y de tu contrato. Ahí está la pregunta de verdad.
Que los datos vayan a EE. UU. no es ilegal por sí mismo. Con la Decisión de Ejecución (UE) 2023/1795 del 10 de julio de 2023, la Comisión Europea reconoce un nivel de protección adecuado para las empresas de EE. UU. certificadas en el Marco de Privacidad de Datos UE-EE. UU. Si el proveedor no está certificado, hacen falta otras garantías, como las cláusulas contractuales tipo.
¿Qué exigen el RGPD y la AEPD en concreto: contrato de encargado, transferencias internacionales y nada de entrenar modelos con tus datos?
Para una empresa de 5 a 50 personas se resume en cuatro puntos (no es asesoramiento jurídico):
- Contrato de encargado con cada proveedor. Con quien opera el asistente y con el proveedor de IA, como pide el art. 28 del RGPD. Para el funcionamiento del asistente firmas el contrato de encargado con Verselo.
- Base para cada transferencia internacional. El capítulo V del RGPD (arts. 44 a 46) solo permite transferencias fuera del EEE con decisión de adecuación o garantías adecuadas. La AEPD explica que una transferencia basada en una decisión de adecuación, como la del Marco de Privacidad UE-EE. UU., no necesita su autorización. Con las cláusulas contractuales tipo de 2021, en cambio, tras la sentencia Schrems II tienes que evaluar la legislación del país de destino y, si hace falta, añadir medidas complementarias.
- Nada de entrenar con tus correos. Comprueba por escrito las condiciones de tu plan. Un ejemplo: Anthropic indica en su Privacy Center que por defecto no usa las entradas ni las respuestas de sus productos comerciales, como los planes de empresa y la API, para entrenar sus modelos, salvo que el cliente envíe comentarios o lo acepte expresamente.
- Derechos de los interesados. El proveedor de IA, como encargado, tiene que ayudarte a atender solicitudes de acceso y supresión (art. 28.3.e del RGPD). Si un cliente pregunta qué ha pasado con su correo, necesitas poder contestarle.
En una asesoría esto pesa todavía más, porque los correos traen DNI, nóminas y datos fiscales. Cómo funciona ahí lo ves en asistente de IA para asesorías.
¿Cómo evaluar en 14 días si un asistente de IA encaja con los requisitos de protección de datos de tu empresa?
- Llamada de 30 minutos. Nos enseñas qué correos llegan a tu bandeja. Te decimos con sinceridad si el asistente te compensa y qué puntos querrá ver tu delegado de protección de datos.
- Puesta en marcha. Montamos tu servidor propio en la UE y conectamos correo y calendario. Firmas el contrato de encargado con nosotros y repasamos contigo los tres puntos donde se trata el texto de los correos.
- Dos semanas de borradores. El asistente no envía nada por su cuenta. Cada respuesta queda como borrador en tu bandeja y tú la apruebas.
- Automático a tu medida. Tras unos 14 días decides, tipo de correo por tipo de correo, qué puede salir solo. Precios y compromisos siguen siendo borrador.
¿Cuándo no te compensa? Si en tu bandeja entran pocos correos de clientes al día. Entonces basta con dar al equipo una cuenta de empresa con reglas claras. Más sobre el servidor y los accesos en nuestra página de seguridad.
Conclusión
Servidor en la UE o nube de EE. UU., el RGPD no pregunta por la etiqueta sino por los contratos y las bases: contrato de encargado con cada proveedor, base para cada transferencia fuera de la UE y nada de entrenar con tus correos. Un asistente propio en un servidor en la UE hace que esos puntos sean pocos y fáciles de revisar. Cómo quedaría en tu bandeja lo vemos en una llamada de 30 minutos.
Preguntas frecuentes
¿Puede un asistente de IA en la nube de EE. UU. tratar los correos de mis clientes?
En principio sí, si la transferencia tiene una base del capítulo V del RGPD. Puede ser la decisión de adecuación del Marco de Privacidad UE-EE. UU., si el proveedor está certificado, o las cláusulas contractuales tipo. Además necesitas un contrato de encargado del tratamiento.
¿Basta con que el servidor del asistente esté en la UE?
No por sí solo. Revisa cada punto donde se trata el texto de un correo: tu buzón en el proveedor de correo, el servidor del asistente y el proveedor de IA que redacta la respuesta. En cada uno necesitas contrato y, si los datos salen de la UE, una base para la transferencia.
¿Se usan mis correos para entrenar un modelo de IA?
Depende del plan del proveedor de IA. Muchos proveedores excluyen por defecto el entrenamiento en sus planes de empresa y en la API, pero no siempre en las cuentas gratuitas. Comprueba por escrito las condiciones de tu plan.
¿Qué querrá ver mi delegado de protección de datos antes de empezar?
Una lista de los puntos donde se tratan los correos, los contratos de encargado, la base de cada transferencia internacional y la garantía de que tus datos no se usan para entrenar. En Verselo repasamos estos puntos contigo antes de empezar.