Proteger la información sin perder la finalidad del servicio
La protección empieza antes de pegar una consulta en una herramienta. Primero hay que saber qué información necesita el servicio y quién debe revisar su uso.
Objetivo: Distinguir información personal, categorías especiales y otros datos confidenciales; proponer minimización y coordinar las decisiones pendientes.
No todo lo sensible es un dato personal
La clasificación ayuda a elegir protección, sin mezclar obligaciones distintas.
Una consulta podría contener el nombre de una persona, una captura con su cuenta, una explicación de salud, una contraseña o información comercial. Son ejemplos hipotéticos del ejercicio, no datos aportados por Tech Server IIT Spain.
Los datos personales se refieren a personas identificadas o identificables. Ciertas categorías, como los datos de salud, tienen protección específica. Una contraseña o un secreto comercial puede requerir protección aunque no identifique por sí mismo a una persona. Referencia R2.
En FD-001 no basta con marcar «sensible». Explica qué contenido podría aparecer en DAT-001 a DAT-005, por qué importa y qué función debe revisar su utilización. Una salida generada también puede contener información personal o confidencial.
Minimizar con una pregunta de servicio
Cada dato debe tener una razón relacionada con la tarea.
Para explicar un error técnico, ¿necesitas la captura completa de la pantalla o bastan un código de error y el contexto pertinente? ¿Hace falta el historial de un usuario o solo la versión de la aplicación? Son preguntas de diseño; la respuesta debe mantener la utilidad del servicio.
Una propuesta para DAT-002 podría limitar adjuntos, retirar información innecesaria y explicar qué debe introducir el usuario. Después habría que comprobar el funcionamiento de esas medidas con ejemplos adecuados. Un aviso aislado no demuestra que las entradas se filtren ni que nadie pegue información innecesaria.
La minimización también afecta a lo que guardas en DAT-004. Conserva los datos necesarios para la finalidad del registro, con protección y criterios de conservación. No presupongas que investigar exige copiar toda la conversación.
Distinguir seudonimización y anonimización
Cambiar un nombre por un código no garantiza que la persona deje de ser identificable.
En la seudonimización, la atribución a una persona necesita información adicional que debe mantenerse separada y protegida. Esos datos siguen siendo personales. La anonimización requiere valorar la posibilidad razonable de identificación, también mediante combinaciones de datos y contexto. Referencias R2 y R7.
Para el ejercicio, puedes escribir una consulta completamente inventada. Evita construirla copiando una incidencia real y sustituyendo solo el nombre: el centro, las fechas, el cargo o el contenido podrían permitir reconocerla.
Si una técnica elimina información importante para valorar la urgencia o la utilidad de una respuesta, registra esa limitación. La protección y la calidad deben revisarse juntas; ninguna se demuestra con el mero nombre de una técnica.
Coordinar la revisión antes del uso
La ficha reúne preguntas; las funciones competentes toman las decisiones que les correspondan.
Cuando aplica el RGPD, hay que aclarar finalidades, base jurídica, información a las personas, responsabilidades, condiciones de proveedores y transferencias, cuando procedan. El consentimiento no es la única base posible. Una evaluación de impacto relativa a la protección de datos, EIPD, se exige cuando se cumplen sus condiciones, no por usar IA en cualquier caso. Referencia R2.
La evaluación de impactos de IA considera efectos sobre personas, grupos y sociedad, además de su relación con la organización. La EIPD examina riesgos del tratamiento de datos personales para los derechos y libertades. Pueden coordinarse y compartir evidencia pertinente, pero no se sustituyen automáticamente. No confundas una valoración interna de riesgo bajo con una conclusión jurídica.
Propón qué debe confirmar la función responsable del tratamiento y consulta la función de protección de datos o el delegado de protección de datos, DPD, cuando corresponda. No presupongas que toda organización debe tener DPD ni que este sea quien autoriza todas las decisiones de uso.
Preparar una respuesta cuando aparece información indebida
La actuación debe proteger a las personas y sostener la atención.
Imagina que un usuario adjunta por error una captura con una credencial. La propuesta de respuesta debe evitar ampliar la difusión, activar el cauce de seguridad correspondiente y mantener una alternativa de atención. No esperes a terminar una plantilla para atender una situación urgente.
Si hay posible exposición de datos personales, el análisis y las obligaciones de comunicación requieren el cauce competente. El curso no convierte cualquier adjunto rechazado en una brecha confirmada ni prescribe borrar toda evidencia sin revisar su necesidad.
La actividad termina con un contenido mínimo propuesto, una medida de protección y una comprobación. Si no puedes decidir sobre datos reales, utiliza material sintético y conserva el pendiente. Completar FD-001 no concede una autorización de tratamiento.
Actividad: preparar tu ficha
Define una consulta mínima para pedir soporte sin introducir datos innecesarios. Relaciónala con las medidas, la revisión competente y una alternativa de atención.
Orientación para revisar tu propuesta
La propuesta identifica contenido y finalidad antes de elegir una medida. No presenta la seudonimización como anonimización, no inventa una base jurídica y conserva las decisiones pendientes. La comprobación incluye la utilidad de la consulta y la posibilidad de sostener el servicio cuando una entrada debe limitarse.
Comprueba tu criterio
Explica tus decisiones antes de consultar las orientaciones.
Responde primero con tus palabras. Abre cada orientación después de tu intento.
¿Una contraseña necesita protección solo si contiene un nombre?
No. Puede permitir acceso indebido y requiere protección por su función, aunque no sea por sí misma un dato personal.
¿Sustituir el nombre por un código elimina la aplicación del RGPD?
No necesariamente. Si la persona sigue siendo identificable mediante información adicional o contexto, los datos siguen siendo personales.
¿Toda IA exige automáticamente una EIPD?
No por el mero uso de IA. Hay que valorar las condiciones legales del tratamiento con la función competente. La evaluación del SGIA no sustituye ese análisis.
Lo que te llevas: Has definido qué proteger, qué información resulta necesaria y qué decisiones deben coordinarse. Ahora revisarás accesos, entornos e integraciones.
Audio complementario · Bloque B
017. Calidad y privacidad en IA: datos útiles y protección con criterio
Apoyo opcional a las lecciones 7.3 y 7.4. El contenido escrito permite completar las actividades.