Los papeles de la IA, hechos con datos reales
Cuando el DPO, un cliente o una inspección pregunte cómo usáis la IA, tendréis la respuesta por escrito: qué herramientas, con qué datos, qué se protegió y quién ha aceptado la política. Acotia lo prepara con lo que ya registra, sin leer ninguna conversación.
Actualizado
Por qué ahora
Si tu equipo usa la IA con datos de clientes o de pacientes, ya hay obligaciones en marcha. El RGPD pide llevar un registro de las actividades de tratamiento (artículo 30) y, cuando el riesgo es alto, una evaluación de impacto (artículo 35). Y desde febrero de 2025 el artículo 4 del Reglamento europeo de IA (AI Act) pide que la empresa tome medidas para que su personal sepa usar la IA con criterio. Casi ninguna pyme tiene estos papeles al día, y hacerlos a mano lleva semanas.
Estado: qué tenéis y qué falta
Un semáforo de ocho puntos: política de uso publicada, cuántas personas la han aceptado, cuántas han hecho la formación, registro de actividades, evaluación de impacto, contratos de encargo con los proveedores, perímetro de datos activo y datos que salen de la UE. Cada punto en verde, ámbar o rojo, con un botón que lleva a donde se arregla.
Informe para el DPO o para una inspección
Elegís el periodo y Acotia redacta el informe en Word o PDF, en español, catalán o inglés. Incluye qué herramientas y modelos se han usado y dónde están alojados (dentro o fuera de la UE), cuántas peticiones, qué tipos de datos personales se detectaron y qué se hizo con ellos (enmascarados, bloqueados o enviados a un modelo de la UE), las alertas y bloqueos del periodo, los cambios de política, las medidas técnicas, los proveedores que intervienen y quién ha aceptado la política y hecho la formación.
Registro de actividades (artículo 30 del RGPD)
El tratamiento «uso de asistentes de IA» llega ya rellenado con lo que Acotia sabe: categorías de datos vistas en el periodo, proveedores, transferencias fuera de la UE, plazos de conservación y medidas de seguridad. Lo revisáis, completáis lo que falte, marcáis qué contratos de encargo están firmados y lo guardáis.
Evaluación de impacto (EIPD)
Un borrador con doce riesgos típicos del uso de la IA. Los que Acotia ya cubre según vuestra configuración (por ejemplo, datos de salud que se enmascaran o modelos alojados en la UE) se marcan solos. El resto lo completáis vosotros con su probabilidad, impacto y medidas, y cerráis con la conclusión y la aprobación.
Política de uso con aceptación y formación
Una plantilla de política de uso de la IA que podéis editar y publicar por versiones. Cada persona la ve al abrir Acotia y no puede seguir hasta aceptarla; si publicáis una versión nueva, se vuelve a pedir (un cambio menor, como una errata, no). Además, una formación de cinco minutos con cinco lecciones y seis preguntas: queda quién la hizo, cuándo y con qué resultado, nunca sus respuestas. Es la forma más sencilla de demostrar que habéis actuado sobre el artículo 4.
Nunca lee las conversaciones
Todo sale del registro de evidencias: quién, cuándo, con qué modelo, qué categorías de datos se detectaron y qué se hizo. El texto de los chats no se guarda en el servidor y no entra en ningún documento. El registro de actividades y la evaluación de impacto solo contienen lo que escribe quien administra la empresa.
Lo que no hace
No es asesoramiento jurídico: son plantillas orientativas que debe revisar vuestro DPO o vuestra asesoría, y así lo dice cada documento. Solo cubre la IA que pasa por Acotia; si alguien usa otras herramientas por su cuenta, no aparecen. Y no hace a la empresa «conforme» por sí solo: os da las evidencias y los borradores, pero las decisiones, las firmas y las obligaciones de los proveedores de los modelos o de los sistemas de alto riesgo quedan fuera. Lo explicamos también en Confianza.
En qué plan está
El módulo de cumplimiento es del plan Profesional (ver precios). Si una empresa pasa a Esencial, no se borra nada: la política, las aceptaciones, la formación, el registro y la evaluación se conservan y vuelven a estar disponibles al volver a Profesional. Mientras tanto, no se pide aceptar la política a nadie.
Preguntas frecuentes
¿Qué pide el artículo 4 del AI Act a una pyme?
Que tome medidas para que las personas que usan IA en la empresa tengan conocimientos suficientes, según su puesto y el uso que hacen. No exige un título ni un nivel concreto. Una política de uso aceptada por cada persona y una formación documentada son una base razonable, y es justo lo que deja registrado este módulo.
¿Sustituye a mi DPO o a mi asesoría?
No. Les ahorra el trabajo de recoger datos y redactar borradores, pero ellos revisan y deciden. Cada documento lo indica.
¿Ve Acotia lo que escribe mi equipo?
No. Los documentos se generan con metadatos (quién, cuándo, modelo, categoría de dato y acción), nunca con el texto de las conversaciones.
¿Qué pasa si alguien no acepta la política?
Mientras no la acepta, Acotia le muestra la política al abrir y no puede seguir usándola. En el estado de cumplimiento veis quién la ha aceptado y quién no.
¿Está incluido en el plan Esencial?
No, es del plan Profesional. Durante un piloto podemos activarlo hasta el final del piloto.