Las plantas industriales y las cadenas de manufactura han dejado de ser entornos analógicos. Los sistemas de visión artificial, los gemelos digitales, el mantenimiento predictivo basado en sensores y los modelos de control de calidad por aprendizaje automático procesan hoy millones de eventos por hora. Muchos de esos eventos contienen datos personales: biométricos de operarios, registros de acceso, imágenes de línea de producción con personas identificables. La regulación no esperó a que la industria terminase de adaptarse.
El entorno normativo en el que opera hoy una empresa manufacturera que despliega inteligencia artificial (IA) es, en términos técnicos, una superposición de capas. No es un solo texto legal.
La capa de base la forman el RGPD y la LOPDGDD. Estas normas no distinguen entre una aplicación web de e-commerce y un sistema de visión artificial en una cadena de montaje. Si el sistema trata datos de personas físicas identificadas o identificables, las obligaciones son las mismas. La diferencia está en la escala, en la categoría de los datos y en el riesgo intrínseco del tratamiento.
La capa nueva la aporta el Reglamento de Inteligencia Artificial de la Unión Europea, cuya aplicación progresiva ha comenzado. Este texto introduce la noción de sistemas de IA de alto riesgo. Los sistemas que evalúan el rendimiento de trabajadores, que gestionan infraestructuras críticas o que controlan el acceso a instalaciones industriales quedan, en términos generales, en esa categoría. Para ellos se exigen registros de conformidad, documentación técnica específica y, en ciertos casos, evaluaciones de conformidad por terceros.
¿Qué significa esto en la práctica para el director de operaciones de una planta? Significa que antes de activar un algoritmo de detección de anomalías sobre imágenes del suelo de producción, hay que responder tres preguntas que no son técnicas, sino jurídicas: ¿quién está legitimado para tratar esos datos?, ¿se ha informado al trabajador conforme a la normativa laboral y de protección de datos?, y ¿se ha documentado el riesgo del tratamiento?
En nuestra práctica, hemos observado que la mayoría de los proyectos de IA industrial se inician sin que estas preguntas estén respondidas. El equipo técnico avanza; la cuestión jurídica llega tarde, normalmente cuando el sistema ya está en producción.
La casuística es amplia. Sin pretensión de exhaustividad, los tratamientos que concentran mayor riesgo regulatorio en la industria y la manufactura son los siguientes.
Cada uno de estos tratamientos tiene una base de legitimación diferente, un régimen de información distinto y, en algunos casos, la obligación de negociarlo con la representación legal de los trabajadores antes de implantarlo. Reducir todo ello a una cláusula de privacidad en el contrato de trabajo es, con diferencia, el error más frecuente que encontramos al auditar empresas del sector.
La evaluación de impacto en protección de datos (EIPD) es el instrumento central del cumplimiento cuando el tratamiento presenta un alto riesgo para los derechos y libertades de las personas. No es una formalidad. Es un análisis estructurado que obliga a la empresa a describir el tratamiento, valorar su necesidad y proporcionalidad, identificar los riesgos y establecer las medidas para mitigarlos.
¿Cuándo es obligatoria en un proyecto de IA industrial? La normativa establece que es preceptiva, entre otros supuestos, cuando se realiza una evaluación sistemática de personas basada en un tratamiento automatizado – incluida la elaboración de perfiles –, cuando se tratan datos de categoría especial a gran escala, o cuando se lleva a cabo una observación sistemática de una zona de acceso público a gran escala. La mayor parte de los sistemas de IA descritos en el apartado anterior caen en al menos uno de estos supuestos.
La AEPD ha publicado guías específicas sobre la realización de evaluaciones de impacto. En ellas se establece que la EIPD debe realizarse antes del inicio del tratamiento, no después. Esto tiene consecuencias directas para los calendarios de proyecto: el equipo jurídico y el equipo técnico deben trabajar en paralelo desde el diseño, no en secuencia.
En la práctica de nuestra firma, la EIPD bien construida tiene tres funciones que van más allá del cumplimiento formal. Primera, obliga a la dirección a tomar decisiones sobre el alcance del sistema que de otro modo quedarían delegadas sin control en el equipo técnico. Segunda, sirve como escudo ante una eventual reclamación o investigación de la AEPD: demuestra que la empresa conocía los riesgos y actuó con diligencia. Tercera, es el documento base sobre el que se articula la respuesta ante una brecha de seguridad si esta llega a producirse.
Uno de los debates más frecuentes que encontramos al asesorar a empresas industriales tiene que ver con la base de legitimación para el tratamiento de datos de trabajadores en sistemas de IA. La respuesta corta es que el consentimiento del trabajador es, en la mayoría de los casos, una base inadecuada.
El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco. En una relación laboral, la dependencia económica del trabajador respecto del empleador compromete estructuralmente la libertad de ese consentimiento. La doctrina de la AEPD y la de las autoridades de protección de datos europeas es consistente en este punto.
Las bases de legitimación habitualmente aplicables en entornos industriales son, por este orden: la ejecución de un contrato de trabajo, el cumplimiento de una obligación legal – por ejemplo, en materia de seguridad y salud en el trabajo –, y el interés legítimo del responsable del tratamiento, siempre que se supere el test de balance entre ese interés y los derechos del trabajador.
Para los datos de categoría especial – biométricos, de salud – el margen se estrecha aún más. La normativa exige, como regla general, el consentimiento explícito o que el tratamiento sea necesario para cumplir obligaciones en el ámbito del Derecho laboral. La implantación de sistemas biométricos en plantas industriales sin un análisis previo de esta cuestión es uno de los focos de riesgo que con más frecuencia generan expedientes sancionadores.
Los sistemas de IA amplían la superficie de ataque. Concentran datos de múltiples fuentes, operan en red con proveedores tecnológicos y, en muchos casos, se apoyan en infraestructuras en la nube cuya seguridad depende parcialmente de terceros. Una brecha de seguridad en un entorno de IA industrial puede afectar, de forma simultánea, a datos de miles de trabajadores.
La normativa establece que la notificación de una brecha a la AEPD debe realizarse en un plazo de 72 horas desde que el responsable tenga conocimiento de ella, siempre que suponga un riesgo para los derechos y libertades de las personas. Es un plazo muy corto para una organización que no tiene un protocolo previamente definido.
¿Qué ocurre cuando ese protocolo no existe? En nuestra experiencia, ocurren tres cosas de forma casi invariable. El equipo técnico tarda en escalar la incidencia a la dirección. La dirección tarda en comprender que estamos ante una brecha notificable y no ante una incidencia informática ordinaria. Y para cuando se decide actuar, el plazo de 72 horas ha expirado o está a punto de hacerlo. El incumplimiento del plazo de notificación es, por sí solo, un factor agravante en la valoración de la infracción.
El protocolo de brechas debe estar escrito, aprobado por la dirección, conocido por los responsables técnicos y ensayado. No puede redactarse la noche en que se produce el incidente. Este es uno de los elementos del programa de compliance cuya implantación anticipada reduce de forma directa y cuantificable el coste de un eventual incidente.
La protección de datos en proyectos de IA no es únicamente un asunto de normativa de privacidad. Tiene una dimensión de compliance penal que las empresas industriales con frecuencia subestiman.
El Código Penal español reconoce la responsabilidad penal de las personas jurídicas. Para mitigarla, la empresa debe acreditar que tenía implantados, antes de la comisión del delito, modelos de organización y gestión que incluían medidas de supervisión y control. Un programa de compliance empresa que incluya la protección de datos como componente integrado – no como un módulo aislado – refuerza esa posición defensiva.
La obligación de contar con un canal de denuncias interno añade otra capa. La legislación española en materia de protección de informantes establece que determinadas empresas deben implantar un sistema interno de información que permita la comunicación confidencial de infracciones. Ese sistema, a su vez, genera un tratamiento de datos personales que debe documentarse, con su propia base de legitimación y sus propias medidas de seguridad. Es un círculo que se cierra: la herramienta de compliance también debe cumplir con las normas de protección de datos.
Asesoramos con regularidad a empresas industriales que abordan estas dos obligaciones por separado, con equipos distintos y calendarios no coordinados. El resultado habitual es duplicación de esfuerzo, incoherencias documentales y, en ocasiones, que el propio canal de denuncias genere una exposición en materia de protección de datos. La adaptación RGPD y el compliance penal deben diseñarse de forma integrada desde el principio.
El nivel de decisión que requieren los proyectos de IA en entornos industriales ha ascendido. Ya no es una decisión que pueda delegarse íntegramente en el director de tecnología o en el proveedor del sistema. Hay cuatro decisiones que corresponden a la dirección de la empresa.
El coste de tomar estas decisiones antes del despliegue del sistema es significativamente menor que el coste de gestionarlas una vez que el sistema está en producción. Esta es una de las tesis centrales que defendemos en nuestro asesoramiento a empresas del sector.
La experiencia acumulada en proyectos de IA industrial nos permite identificar un patrón recurrente. Las empresas que contratan el análisis jurídico-regulatorio en la fase de diseño del proyecto incurren en costes de cumplimiento menores, detectan incompatibilidades entre el sistema proyectado y la normativa antes de invertir en desarrollo, y llegan al despliegue con una documentación que les permite responder ante cualquier requerimiento de la AEPD con solidez.
Las empresas que contratan el asesoramiento tras el despliegue enfrentan una situación diferente. En ese punto, algunas de las decisiones ya no son reversibles o solo lo son a un coste elevado. La base de legitimación utilizada puede no ser válida y no puede cambiarse sin informar de nuevo a los afectados. El contrato con el proveedor puede requerir una renegociación. La EIPD, si no se realizó, debe hacerse ahora sobre un sistema ya en funcionamiento, lo que modifica su naturaleza de instrumento preventivo.
El RGPD introduce el principio de privacidad desde el diseño y por defecto. No es una recomendación. Es un mandato que la normativa dirige al responsable del tratamiento. Su incumplimiento es, en sí mismo, una infracción. Hay empresas que descubren esto únicamente cuando reciben una actuación de inspección de la AEPD.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la diferencia entre los proyectos que llegaron con tiempo suficiente para hacer bien el diseño jurídico y los que llegaron con el sistema ya activado fue notable: en los primeros, el proceso fue ordenado y documentado; en los segundos, fue reactivo y costoso.
Dicho esto, el punto de partida más relevante no es el ideal, sino el real. Si su empresa ya tiene un sistema de IA en producción sin la documentación adecuada, el análisis de la situación y la regularización son posibles. La cuestión no es cuándo debería haberse hecho, sino cuándo se empieza. Cada día de exposición sin protocolo es un día de riesgo que puede evitarse.
A modo de herramienta de diagnóstico inicial, las siguientes comprobaciones permiten a la dirección evaluar el nivel de exposición de su organización.
Una respuesta negativa o incierta a cualquiera de estos puntos es una señal de exposición que conviene valorar con criterio jurídico antes de que se materialice en un incidente o en una actuación inspectora.
Para una perspectiva complementaria sobre cómo estas cuestiones se proyectan en el sector de la automoción, con sus especificidades de cadena de suministro y proveedores de primer nivel, puede consultarse nuestro análisis sectorial en protección de datos en proyectos de IA en el sector de la automoción. Las bases son las mismas; los tratamientos más frecuentes y los focos de riesgo difieren.
La documentación de la diligencia debida (due diligence) en materia de protección de datos es también relevante en procesos de compraventa o inversión en empresas industriales. Encontrará orientación práctica al respecto en nuestra guía sobre cómo documentar la diligencia debida en materia de protección de datos.
El asesoramiento en protección de datos para proyectos de inteligencia artificial se integra con otras prácticas con las que guarda una relación directa. La implantación de un programa de compliance empresa, la revisión de contratos tecnológicos y la gestión de la relación con los representantes de los trabajadores son cuestiones que abordamos de forma coordinada con nuestra práctica de protección de datos y compliance. Cuando el proyecto de IA industrial se enmarca en una operación de inversión o de adquisición, la dimensión de compliance se integra en el proceso de diligencia debida y afecta a la valoración del activo y a las garantías que se negocian.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.