IA y LOPDGDD: lo que la ley española añade por encima del RGPD
Casi todo lo que se lee sobre IA y protección de datos habla del RGPD y se queda ahí. En España hay una capa más: la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que desarrolla el Reglamento y además incorpora un título entero de derechos digitales que no está en el texto europeo. Y es justo esa capa la que toca cuando la IA entra en el puesto de trabajo.
Confidencialidad y bloqueo: dos artículos que se notan
El artículo 5 extiende el deber de confidencialidad a los responsables, a los encargados y a todas las personas que intervengan en cualquier fase del tratamiento. Dicho de otro modo: no es un deber que se firma con el proveedor, es uno que alcanza a quien tenga las manos dentro. Cuando quien tiene las manos dentro es un sistema que corre en una máquina, la pregunta de qué máquina es deja de ser técnica.
El artículo 32 obliga a bloquear los datos cuando se rectifican o se suprimen: identificarlos y reservarlos, con medidas técnicas y organizativas, para impedir su tratamiento. Eso es difícil de garantizar cuando una copia del documento vive en el servidor de un tercero al que se la subiste para que un modelo la leyera. Si el fichero no llegó a salir de tu carpeta, el bloqueo es una operación sobre tu propio disco.
El Título X: la IA aterriza en el puesto de trabajo
La LOPDGDD dedica su Título X a los derechos digitales, y en el ámbito laboral concreta cuatro que conviene tener delante antes de automatizar nada que roce a la plantilla: el derecho a la intimidad en el uso de los dispositivos digitales puestos a disposición por la empresa (artículo 87), el derecho a la desconexión digital (artículo 88), el derecho a la intimidad frente a la videovigilancia y la grabación de sonidos (artículo 89) y el derecho a la intimidad ante el uso de sistemas de geolocalización (artículo 90).
La lectura práctica es sencilla y poco cómoda: un agente con acceso a carpetas compartidas o a un buzón corporativo puede acabar leyendo cosas que esos artículos protegen. Por eso el reparto de acceso importa tanto como el cifrado: en Mycel se registran solo las carpetas con las que el agente trabaja, y a cada persona del equipo se le concede un rol y unas carpetas concretas. Lo que no se registra no existe para el agente.
Qué aporta Mycel y qué sigue siendo tuyo
Aporta que el dato no se mueva: el Nodo es un ejecutable que corre en tu equipo o en tu servidor, y las columnas del contenido de las tareas están eliminadas del esquema de nuestro servidor. Y aporta traza: quién lanzó cada tarea, qué herramienta usó y qué devolvió, exportable en JSON.
No aporta cumplimiento. La política interna de desconexión digital que el artículo 88 pide elaborar, la información a los trabajadores, la base jurídica y el registro de actividades del tratamiento los sigue haciendo tu organización, y dependen de para qué uses la herramienta y no de la herramienta. Ninguna herramienta hace cumplir a nadie, y esta página es información general, no asesoramiento jurídico.
Cómo funciona, paso a paso
- Instalas el Nodo en la máquina donde ya viven los datos, o en un servidor tuyo.
- Registras solo las carpetas necesarias y dejas fuera las que rozan la intimidad de la plantilla.
- Repartes rol y carpetas persona a persona, con el permiso de comandos de shell apagado.
- Exportas la traza en JSON como rutina de tu revisión interna, no como reacción.
Qué necesitas
- Una máquina bajo tu administración: ahí está el perímetro que la ley te va a preguntar.
- Para el modo 100 % local, Ollama con un modelo de 30B (~24 GB). Si no llega, tu clave de API.
- Tu documentación de cumplimiento y tus políticas internas. Eso no lo genera un producto.
Qué te llevas
- La actividad del Nodo exportable en JSON, con autor, herramientas y resultado.
- Borrado que llega al dato: la plataforma solo retira su apunte cuando el Nodo confirma.
- Copia de la versión anterior de cada fichero modificado o borrado, en tu propio disco.
Más preguntas
¿Puedo dar al agente acceso al buzón corporativo de un empleado?
Es exactamente la decisión que los artículos 87 y siguientes obligan a pensar antes, y no la resuelve un producto. Lo que Mycel ofrece es la granularidad para acotarla: se registran carpetas concretas, se reparten por persona y el agente no envía correo por su cuenta, porque el envío lo aprueba una persona desde la pantalla de Correo.
¿Necesito delegado de protección de datos por usar IA?
La obligación de designarlo depende del tratamiento y de la organización, no de la tecnología que uses para tratarlo. Es una decisión que toma tu responsable de cumplimiento con el caso delante, y no la puede tomar una página web.
¿Esto me deja conforme con la LOPDGDD?
No, y desconfía de quien te lo diga. Mycel da soberanía sobre el dato y traza de lo que ocurre; el cumplimiento es de cada empresa según su uso. Esta página es información general y no sustituye a tu asesor.
Pruébalo con tus propios documentos
Creas la cuenta, abres el Nodo y le encargas la primera tarea. Es gratis e ilimitado: el cómputo lo pone tu equipo, así que no hay nada que racionar.