Cómo usar la IA en una gestoría sin poner en riesgo los datos de tus clientes

En una gestoría pasan cada día por las manos del equipo DNI, IBAN, nóminas, bajas médicas, declaraciones de la renta y escrituras. Es exactamente el tipo de información que la IA ayuda a procesar más rápido, y también el tipo de información que no debería acabar pegada en una herramienta gratuita sin saber adónde va.

La buena noticia es que no hay que elegir entre productividad y cumplimiento. Con unas pocas decisiones claras, una gestoría puede aprovechar la IA para redactar, resumir y revisar sin exponer los datos de sus clientes. Esta guía resume esas decisiones en siete pasos.

Por qué los datos de una gestoría son especialmente delicados

No todos los datos personales pesan lo mismo. En una gestoría conviven varios tipos que el Reglamento General de Protección de Datos (RGPD) trata con especial cuidado:

• Datos identificativos y económicos: nombre, DNI o NIE, dirección, IBAN, salario, deudas con Hacienda o con la Seguridad Social.
• Categorías especiales del artículo 9 del RGPD: los partes de baja revelan datos de salud, el grado de discapacidad aparece en el IRPF y la cuota sindical de una nómina revela afiliación.
• Datos de terceros que no son tus clientes: los trabajadores de las empresas a las que llevas la laboral, los hijos que figuran en una declaración, los herederos de una sucesión.

Además, el artículo 5 de la LOPDGDD impone un deber de confidencialidad a todas las personas que intervienen en el tratamiento, que se mantiene incluso cuando termina la relación con el cliente.

Tu papel ante el RGPD: responsable y encargado

Antes de hablar de herramientas conviene tener claro en qué posición está la gestoría, porque de ello depende lo que puedes hacer con los datos.

Cuando llevas la gestión laboral de una empresa, lo habitual es que la gestoría actúe como encargada del tratamiento: tratas los datos de los trabajadores por cuenta de tu cliente, que es el responsable. El artículo 28 del RGPD exige que esa relación esté recogida en un contrato y que no recurras a otro encargado sin la autorización previa del responsable.

Esto tiene una consecuencia directa: si pegas datos de los trabajadores de un cliente en un servicio de IA externo, ese proveedor pasa a ser un subencargado. Necesitas que tu contrato con el cliente lo permita y que el proveedor ofrezca las garantías del artículo 28. La AEPD tiene unas directrices para redactar estos contratos que sirven de punto de partida.

En otros servicios, como la asesoría fiscal a un autónomo, la gestoría puede ser responsable de los datos que trata. El análisis cambia, pero la pregunta de fondo es la misma: ¿tengo base para entregar estos datos a un tercero, y ese tercero los protege como yo?

Los riesgos reales de usar la IA «a pelo»

La mayoría de los problemas no vienen de un ataque sofisticado, sino de hábitos cotidianos:

• Cuentas personales y gratuitas. Las condiciones de muchos servicios de consumo permiten usar las conversaciones para mejorar sus modelos, y el historial queda en la cuenta de la persona, no de la empresa. Cuando alguien se va, se lleva sus chats.
• Transferencias internacionales sin control. Si los datos salen del Espacio Económico Europeo, el capítulo V del RGPD exige garantías adicionales. Con una herramienta de consumo, normalmente no sabes dónde se procesan.
• Nadie sabe qué se está usando. Es la llamada IA en la sombra: cada persona usa la herramienta que le parece, con su tarjeta, y la dirección no tiene forma de saber qué datos han salido.
• Respuestas que suenan bien y son falsas. Los modelos de lenguaje se equivocan con plazos, tipos impositivos y casillas de modelos. Una respuesta segura de sí misma no es una respuesta correcta.

1. Haz inventario de cómo se usa ya la IA

Es probable que tu equipo ya use la IA, aunque nadie lo haya decidido. Pregunta sin buscar culpables: qué herramientas, para qué tareas y con qué tipo de información. Una encuesta anónima de cinco preguntas suele ser suficiente para descubrir los usos más frecuentes y los más arriesgados.

Ese inventario te dice por dónde empezar: no es lo mismo que alguien pida ideas para un correo de felicitación navideña que pegar una nómina completa para que la IA «revise el cálculo».

2. Elige herramientas de empresa con contrato

Una herramienta adecuada para una gestoría debería permitirte responder «sí» a estas preguntas:

• ¿Hay un contrato de encargo del tratamiento firmado con el proveedor?
• ¿Garantiza por escrito que tus datos no se usan para entrenar sus modelos?
• ¿Sabes dónde se procesan y almacenan los datos, y hay garantías si salen de la UE?
• ¿Puedes dar de alta y de baja a las personas desde un panel de administración?
• ¿Puedes ver qué se usa, cuánto y por quién, sin depender de que cada persona te lo cuente?
• ¿Puedes borrar los datos cuando termine la relación con un cliente?

Si la respuesta a alguna es «no lo sé», todavía no es una herramienta para trabajar con datos de clientes.

3. Decide qué datos nunca entran en crudo

No hace falta prohibir la IA para proteger los datos. Basta con acordar qué información se quita o se sustituye antes de escribir una petición. Una tabla como esta, pegada en la pared o en la intranet, evita la mayoría de los errores:

4. Seudonimiza antes de pegar

La seudonimización consiste en sustituir los datos que identifican a una persona por etiquetas, de forma que el texto siga siendo útil para la tarea. Por ejemplo, en lugar de pedir «redacta una carta a Juan Pérez, con DNI 12345678Z, sobre su deuda de 3.212 € con la Seguridad Social», puedes pedir «redacta una carta a un cliente autónomo sobre una deuda de unos 3.000 € con la Seguridad Social, en tono cercano, explicando que puede pedir un aplazamiento».

El resultado es igual de útil y no ha salido ningún dato personal. Después, en tu procesador de textos, rellenas el nombre y la cifra exacta.

Ten en cuenta que, según el considerando 26 del RGPD, un dato seudonimizado sigue siendo un dato personal si alguien puede volver a asociarlo a la persona. Seudonimizar reduce mucho el riesgo, pero no te exime del resto de obligaciones.

5. Escribe una política de uso de una página

Una política de IA no tiene que ser un documento de cuarenta páginas que nadie lee. Para una gestoría, una página con estas secciones suele bastar:

1. Qué herramientas están autorizadas y cuáles no.
2. Qué datos no se introducen nunca en crudo (la tabla del paso 3).
3. Qué tareas son adecuadas y cuáles necesitan revisión de un responsable.
4. Que todo lo que produce la IA se revisa antes de enviarlo a un cliente o presentarlo ante la Administración.
5. A quién preguntar en caso de duda y cómo avisar si alguien se equivoca.

Lo importante es que la política sea concreta y que el equipo la conozca. Una regla clara, como «nunca pegues un IBAN», funciona mejor que una prohibición general que todo el mundo acaba ignorando.

6. Forma al equipo

Desde febrero de 2025, el Reglamento europeo de IA pide a las empresas que usan sistemas de IA que adopten medidas para que su personal tenga un nivel suficiente de conocimientos sobre ellos (la llamada alfabetización en IA, artículo 4). La Comisión Europea ha publicado preguntas y respuestas sobre qué se espera.

Para una gestoría, una sesión práctica de una hora cubre lo esencial: qué hace bien la IA, en qué se equivoca, qué datos no se comparten y cómo se revisa un resultado. Repite la sesión cuando entre alguien nuevo.

7. Revisa siempre lo que produce la IA

La responsabilidad ante el cliente y ante la Administración sigue siendo tuya. Algunas costumbres útiles:

• Contrasta cualquier dato normativo (plazos, tipos, reducciones) con la fuente oficial: el BOE, la sede de la Agencia Tributaria o la de la Seguridad Social.
• Pide a la IA que indique en qué se basa y desconfía de las respuestas sin fuente.
• No envíes a un cliente un texto generado sin leerlo entero.
• Si la IA calcula algo, rehaz el cálculo con tu programa habitual.

Tareas en las que la IA ayuda mucho y arriesga poco

Con estas reglas, hay muchas tareas en las que una gestoría puede ahorrar horas cada semana:

• Redactar comunicaciones a clientes sobre novedades fiscales o laborales, sin datos personales.
• Resumir una norma o una consulta vinculante de la Dirección General de Tributos para explicarla en lenguaje llano.
• Preparar listas de documentación para la campaña de la renta o para un alta de autónomo.
• Revisar la redacción de un correo delicado, por ejemplo para reclamar un pago.
• Crear plantillas de respuesta para las preguntas que más se repiten.
• Traducir comunicaciones para clientes que no hablan español.

Lista de comprobación

• Sabes qué herramientas de IA usa tu equipo y para qué.
• Las herramientas autorizadas tienen contrato de encargo y no entrenan con tus datos.
• Tus contratos con clientes permiten recurrir a esos proveedores cuando tratas datos por su cuenta.
• Hay una tabla de datos que nunca entran en crudo y el equipo la conoce.
• Existe una política de uso de una página y se ha explicado en una sesión de formación.
• Todo resultado se revisa antes de llegar a un cliente o a la Administración.

Si buscas una forma de dar IA a todo el equipo con esta protección de serie, hay plataformas, como Acotia, que protegen los datos sensibles antes de enviarlos a la IA y te dejan ver el uso de toda la gestoría desde un solo sitio.

Fuentes

• Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (artículos 5, 9, 28 y capítulo V; considerando 26).
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (artículo 5, deber de confidencialidad).
• AEPD: Directrices para la elaboración de contratos entre responsables y encargados del tratamiento.
• AEPD: Adecuación al RGPD de tratamientos que incorporan inteligencia artificial.
• Reglamento (UE) 2024/1689, de Inteligencia Artificial (artículo 4, alfabetización en IA).
• Comisión Europea: preguntas y respuestas sobre alfabetización en IA.

TemasRGPDgestoríasprotección de datospolítica de uso de IA