En una gestoria passen cada dia per les mans de l'equip DNI, IBAN, nòmines, baixes mèdiques, declaracions de la renda i escriptures. És exactament el tipus d'informació que la IA ajuda a processar més de pressa, i també el tipus d'informació que no hauria d'acabar enganxada en una eina gratuïta sense saber on va a parar.
La bona notícia és que no cal triar entre productivitat i compliment. Amb unes quantes decisions clares, una gestoria pot aprofitar la IA per redactar, resumir i revisar sense exposar les dades dels clients. Aquesta guia resumeix aquestes decisions en set passos.
Per què les dades d'una gestoria són especialment delicades
No totes les dades personals pesen igual. En una gestoria hi conviuen diversos tipus que el Reglament general de protecció de dades (RGPD) tracta amb una cura especial:
- Dades identificatives i econòmiques: nom, DNI o NIE, adreça, IBAN, salari, deutes amb Hisenda o amb la Seguretat Social.
- Categories especials de l'article 9 del RGPD: els comunicats de baixa revelen dades de salut, el grau de discapacitat apareix a l'IRPF i la quota sindical d'una nòmina revela afiliació.
- Dades de tercers que no són clients teus: els treballadors de les empreses a qui portes la laboral, els fills que figuren en una declaració, els hereus d'una successió.
A més, l'article 5 de la LOPDGDD imposa un deure de confidencialitat a totes les persones que intervenen en el tractament, que es manté fins i tot quan s'acaba la relació amb el client.
El teu paper davant el RGPD: responsable i encarregat
Abans de parlar d'eines convé tenir clar en quina posició és la gestoria, perquè d'això depèn el que pots fer amb les dades.
Quan portes la gestió laboral d'una empresa, el més habitual és que la gestoria actuï com a encarregada del tractament: tractes les dades dels treballadors per compte del teu client, que n'és el responsable. L'article 28 del RGPD exigeix que aquesta relació consti en un contracte i que no recorris a un altre encarregat sense l'autorització prèvia del responsable.
Això té una conseqüència directa: si enganxes dades dels treballadors d'un client en un servei d'IA extern, aquest proveïdor passa a ser un subencarregat. Cal que el contracte amb el client ho permeti i que el proveïdor ofereixi les garanties de l'article 28. L'AEPD té unes directrius per redactar aquests contractes que serveixen de punt de partida.
En altres serveis, com l'assessorament fiscal a un autònom, la gestoria pot ser responsable de les dades que tracta. L'anàlisi canvia, però la pregunta de fons és la mateixa: tinc base per lliurar aquestes dades a un tercer, i aquest tercer les protegeix com jo?
Els riscos reals de fer servir la IA «a pèl»
La majoria dels problemes no vénen d'un atac sofisticat, sinó d'hàbits quotidians:
- Comptes personals i gratuïts. Les condicions de molts serveis de consum permeten fer servir les converses per millorar els seus models, i l'historial queda al compte de la persona, no de l'empresa. Quan algú se'n va, s'emporta els xats.
- Transferències internacionals sense control. Si les dades surten de l'Espai Econòmic Europeu, el capítol V del RGPD exigeix garanties addicionals. Amb una eina de consum, normalment no saps on es processen.
- Ningú no sap què s'està fent servir. És l'anomenada IA a l'ombra: cada persona fa servir l'eina que li sembla, amb la seva targeta, i la direcció no té manera de saber quines dades han sortit.
- Respostes que sonen bé i són falses. Els models de llenguatge s'equivoquen amb terminis, tipus impositius i caselles de models. Una resposta segura de si mateixa no és una resposta correcta.
1. Fes inventari de com es fa servir ja la IA
És probable que el teu equip ja faci servir la IA, encara que ningú no ho hagi decidit. Pregunta sense buscar culpables: quines eines, per a quines tasques i amb quin tipus d'informació. Una enquesta anònima de cinc preguntes sol ser suficient per descobrir els usos més freqüents i els més arriscats.
Aquest inventari et diu per on començar: no és el mateix que algú demani idees per a un correu de felicitació de Nadal que enganxar una nòmina sencera perquè la IA «revisi el càlcul».
2. Tria eines d'empresa amb contracte
Una eina adequada per a una gestoria t'hauria de permetre respondre «sí» a aquestes preguntes:
- Hi ha un contracte d'encàrrec del tractament signat amb el proveïdor?
- Garanteix per escrit que les teves dades no es fan servir per entrenar els seus models?
- Saps on es processen i s'emmagatzemen les dades, i hi ha garanties si surten de la UE?
- Pots donar d'alta i de baixa les persones des d'un panell d'administració?
- Pots veure què es fa servir, quant i qui ho fa, sense dependre que cada persona t'ho expliqui?
- Pots esborrar les dades quan s'acabi la relació amb un client?
Si la resposta a alguna és «no ho sé», encara no és una eina per treballar amb dades de clients.
3. Decideix quines dades no entren mai en cru
No cal prohibir la IA per protegir les dades. N'hi ha prou d'acordar quina informació es treu o se substitueix abans d'escriure una petició. Una taula com aquesta, penjada a la paret o a la intranet, evita la majoria dels errors:
| Dada | Exemple | Què cal fer abans de fer servir la IA |
|---|---|---|
| Nom i cognoms | Maria López Garcia | Substituir per «Treballadora A» o «Client 1» |
| DNI, NIE, NIF | 12345678Z | Eliminar; gairebé mai no cal per a la tasca |
| IBAN i targetes | ES91 2100 … | Eliminar sempre |
| Número d'afiliació | 08/1234567890 | Eliminar |
| Dades de salut | Baixa per ansietat | Generalitzar: «una incapacitat temporal» |
| Imports exactes | 2.347,18 € | Arrodonir si la xifra exacta no importa |
| Adreces i telèfons | C/ Major 3, 2n B | Eliminar o deixar només la província |
4. Pseudonimitza abans d'enganxar
La pseudonimització consisteix a substituir les dades que identifiquen una persona per etiquetes, de manera que el text continuï sent útil per a la tasca. Per exemple, en lloc de demanar «redacta una carta a Joan Puig, amb DNI 12345678Z, sobre el seu deute de 3.212 € amb la Seguretat Social», pots demanar «redacta una carta a un client autònom sobre un deute d'uns 3.000 € amb la Seguretat Social, en to proper, explicant que pot demanar un ajornament».
El resultat és igual d'útil i no ha sortit cap dada personal. Després, al processador de textos, hi omples el nom i la xifra exacta.
Tingues en compte que, segons el considerant 26 del RGPD, una dada pseudonimitzada continua sent una dada personal si algú la pot tornar a associar a la persona. Pseudonimitzar redueix molt el risc, però no t'eximeix de la resta d'obligacions.
5. Escriu una política d'ús d'una pàgina
Una política d'IA no ha de ser un document de quaranta pàgines que ningú no llegeix. Per a una gestoria, una pàgina amb aquests apartats sol ser suficient:
- Quines eines estan autoritzades i quines no.
- Quines dades no s'introdueixen mai en cru (la taula del pas 3).
- Quines tasques són adequades i quines necessiten la revisió d'un responsable.
- Que tot el que produeix la IA es revisa abans d'enviar-ho a un client o de presentar-ho davant l'Administració.
- A qui cal preguntar en cas de dubte i com avisar si algú s'equivoca.
L'important és que la política sigui concreta i que l'equip la conegui. Una regla clara, com «no enganxis mai un IBAN», funciona millor que una prohibició general que tothom acaba ignorant.
6. Forma l'equip
Des del febrer de 2025, el Reglament europeu d'IA demana a les empreses que fan servir sistemes d'IA que adoptin mesures perquè el seu personal tingui un nivell suficient de coneixements sobre aquests sistemes (l'anomenada alfabetització en IA, article 4). La Comissió Europea ha publicat preguntes i respostes sobre què s'hi espera.
Per a una gestoria, una sessió pràctica d'una hora cobreix l'essencial: què fa bé la IA, en què s'equivoca, quines dades no es comparteixen i com es revisa un resultat. Repeteix la sessió quan entri algú nou.
7. Revisa sempre el que produeix la IA
La responsabilitat davant el client i davant l'Administració continua sent teva. Alguns costums útils:
- Contrasta qualsevol dada normativa (terminis, tipus, reduccions) amb la font oficial: el BOE, el DOGC, la seu de l'Agència Tributària o la de la Seguretat Social.
- Demana a la IA que indiqui en què es basa i desconfia de les respostes sense font.
- No enviïs a un client un text generat sense llegir-lo sencer.
- Si la IA calcula alguna cosa, refés el càlcul amb el teu programa habitual.
Tasques en què la IA ajuda molt i arrisca poc
Amb aquestes regles, hi ha moltes tasques en què una gestoria pot estalviar hores cada setmana:
- Redactar comunicacions a clients sobre novetats fiscals o laborals, sense dades personals.
- Resumir una norma o una consulta vinculant de la Direcció General de Tributs per explicar-la en llenguatge planer.
- Preparar llistes de documentació per a la campanya de la renda o per a una alta d'autònom.
- Revisar la redacció d'un correu delicat, per exemple per reclamar un pagament.
- Crear plantilles de resposta per a les preguntes que més es repeteixen.
- Traduir comunicacions per a clients que no parlen català ni castellà.
Llista de comprovació
- Saps quines eines d'IA fa servir el teu equip i per a què.
- Les eines autoritzades tenen contracte d'encàrrec i no entrenen amb les teves dades.
- Els contractes amb els clients permeten recórrer a aquests proveïdors quan tractes dades per compte seu.
- Hi ha una taula de dades que no entren mai en cru i l'equip la coneix.
- Hi ha una política d'ús d'una pàgina i s'ha explicat en una sessió de formació.
- Tot resultat es revisa abans d'arribar a un client o a l'Administració.
Si busques una manera de donar IA a tot l'equip amb aquesta protecció de sèrie, hi ha plataformes, com Acotia, que protegeixen les dades sensibles abans d'enviar-les a la IA i et deixen veure l'ús de tota la gestoria des d'un sol lloc.
Fonts
- Reglament (UE) 2016/679, Reglament general de protecció de dades (articles 5, 9, 28 i capítol V; considerant 26).
- Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals (article 5, deure de confidencialitat).
- AEPD: Directrius per a l'elaboració de contractes entre responsables i encarregats del tractament (en castellà).
- AEPD: Adequació al RGPD de tractaments que incorporen intel·ligència artificial (en castellà).
- Reglament (UE) 2024/1689, d'intel·ligència artificial (article 4, alfabetització en IA).
- Comissió Europea: preguntes i respostes sobre alfabetització en IA (en anglès).