Qué datos necesita realmente una IA: la AEPD aclara el RGPD
Los datos y la IA no se llevan mejor porque acumules más información. Se llevan mejor cuando defines para qué vas a utilizarla, eliges solo los datos necesarios y puedes demostrar que el resultado es suficientemente fiable para esa finalidad.
La Agencia Española de Protección de Datos acaba de publicar una nota técnica sobre exactitud, idoneidad, calidad y minimización en tratamientos que incorporan inteligencia artificial. Su conclusión más útil para empresas no es que todos los datos deban ser perfectos. Es que la calidad debe medirse en función del uso concreto y de los efectos que el sistema puede producir sobre las personas.
Qué significa la exactitud de los datos en IA
En el RGPD, la exactitud no equivale simplemente a que cada dato sea verdadero y esté actualizado en todo momento. Los datos deben ser adecuados para cumplir la finalidad del tratamiento. Según el caso, eso puede exigir precisión, granularidad, frecuencia de actualización, ausencia de sesgos, completitud o trazabilidad.
La pregunta correcta no es «¿estos datos son perfectos?», sino «¿son suficientemente adecuados para el propósito que hemos definido y para el impacto que puede tener el resultado?».
Ejemplo: una herramienta que resume tendencias agregadas puede tolerar cierto grado de abstracción. Un sistema que recomienda rechazar a una persona en un proceso de selección, modificarle un precio o bloquearle una operación necesita garantías mucho más intensas.
Más datos no significa mejor IA
La AEPD conecta la exactitud con otro principio esencial: la minimización. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad declarada.
Esto rompe una idea bastante extendida en proyectos de IA: recopilar todo «por si acaso». Si un atributo no mejora de forma relevante la idoneidad del sistema, no debería incorporarse solo porque sea técnicamente posible. Exigir una calidad desproporcionada también puede llevar a tratar más información de la necesaria y entrar en conflicto con la minimización.
En la práctica, cada campo, fuente y permiso debería superar una prueba sencilla:
- ¿Qué finalidad concreta justifica utilizar este dato?
- ¿Mejora de forma verificable la calidad del resultado?
- ¿Podemos conseguir el mismo objetivo con menos información o con datos menos sensibles?
- ¿Durante cuánto tiempo necesitamos conservarlo?
- ¿Quién puede acceder al dato y al resultado generado?
También tienes que medir la calidad de los resultados
Revisar solo los datos de entrada es insuficiente. Las inferencias, predicciones, clasificaciones y decisiones generadas por un sistema de IA también pueden convertirse en datos personales y producir una representación incorrecta o desproporcionada de una persona.
Por eso necesitas métricas que permitan comprobar si el tratamiento cumple su finalidad. No basta con afirmar que el modelo «funciona bien». Hay que decidir qué error es aceptable, sobre quién recae, cómo se detecta y qué ocurre antes de que una salida incorrecta produzca una consecuencia real.
Cuanto mayor sea el efecto sobre una persona, mayor debe ser la exigencia de exactitud y más importante será la revisión humana antes de ejecutar una acción.
La calidad del conjunto puede importar más que cada registro
En sistemas de aprendizaje automático, un conjunto de datos puede contener registros individualmente correctos y seguir siendo inadecuado. Puede no representar a la población sobre la que se utilizará el sistema, ocultar un sesgo o excluir variables necesarias para alcanzar la finalidad prevista.
La AEPD señala que deben documentarse el origen de los datos, las transformaciones aplicadas y los criterios de selección y exclusión. Esa trazabilidad permite entender por qué el sistema produce determinados resultados y defender las decisiones de diseño.
También recuerda que los datos no personales pueden ser relevantes. Si influyen en un resultado que afecta a personas, su calidad forma parte de la idoneidad global del tratamiento aunque esos datos, considerados aisladamente, no estén protegidos por el RGPD.
Datos sintéticos, anonimización y corrección de sesgos
La nota técnica evita una interpretación rígida. Técnicas como la generación de datos sintéticos, la anonimización, la privacidad diferencial o la corrección de sesgos pueden ser compatibles con el principio de exactitud.
Un valor puede no reproducir literalmente la realidad de una persona y, aun así, contribuir a que el conjunto sea más adecuado para una finalidad estadística o de desarrollo. La clave está en justificar la técnica, distinguir entre la fase de desarrollo y la de explotación y comprobar que no genera efectos adversos sobre personas concretas.
Qué debería hacer una empresa que ya utiliza IA
La traducción operativa de la nota de la AEPD puede resumirse en siete pasos:
- Define la finalidad real. Evita descripciones genéricas como «mejorar el servicio».
- Inventaría datos, fuentes y permisos. Incluye las conexiones con CRM, correo, documentos y herramientas internas.
- Elimina lo que no sea necesario. Si un dato no mejora la finalidad, no debería entrar en el sistema.
- Fija requisitos de calidad objetivos. Determina precisión, actualidad, representatividad y sesgos relevantes para el caso.
- Mide también las salidas. Define errores aceptables, mecanismos de revisión y vías de rectificación.
- Refuerza las garantías cuando haya efectos individuales. La supervisión humana debe existir antes de que una salida dudosa perjudique a alguien.
- Documenta y revisa. Conserva evidencias sobre fuentes, transformaciones, métricas, decisiones y cambios durante todo el ciclo de vida.
El criterio importante no es cuánto sabe tu IA
Una IA empresarial no es mejor porque pueda leer todos los correos, todo el CRM y todos los documentos. Es mejor cuando tiene el acceso mínimo necesario, produce resultados adecuados para una finalidad clara y existe una persona responsable de supervisar lo que hace.
Agente IA personalizado
Implanta una IA con permisos, límites y supervisión bien diseñados
Convertimos un caso de uso real de tu empresa en un agente configurado con criterio técnico, jurídico y de negocio. Definimos qué puede consultar, qué puede ejecutar y qué decisiones deben seguir bajo control humano.
Ver el servicioSi primero necesitas ordenar el encaje legal o estratégico, puedes reservar una consultoría 1:1.
