Privacidad, IA y las normas que se aplican

Una empresa suiza que usa IA está sujeta a su propia ley de protección de datos desde el primer prompt que contiene un nombre. Si atiende a personas en la UE, entran en juego también el RGPD y el Reglamento de IA de la UE. Este año, varias de esas normas han cambiado.

El mayor riesgo suele ser la costumbre, no la ley. El estudio de IBM de 2025 sobre filtraciones de datos reveló que una de cada cinco organizaciones había sufrido una filtración relacionada con la IA en la sombra, las herramientas que el personal usa sin aprobación, y que un nivel alto de esa práctica añadía de media 670'000 dólares al coste de una filtración. De las organizaciones que sufrieron una filtración en un modelo o una aplicación de IA, el 97 por ciento carecía de controles de acceso adecuados para la IA.

Así están las normas en octubre de 2026, y esto es lo que hace una empresa prudente. Es una visión general, no asesoramiento jurídico.

Suiza: la ley ya se aplica

Suiza aún no tiene una ley de IA, pero la IA no está sin regular. La Ley Federal de Protección de Datos revisada se aplica desde el 1 de septiembre de 2023, y el Comisionado Federal de Protección de Datos e Información, el FDPIC, viene diciendo desde noviembre de 2023, y lo repitió en mayo de 2025, que se aplica directamente al tratamiento de datos personales con ayuda de IA.

El FDPIC espera transparencia sobre la finalidad, el funcionamiento y las fuentes de datos del tratamiento con IA. Las personas tienen derecho a saber si están tratando con una máquina y si lo que introducen se usa para mejorar el sistema. Los tratamientos de alto riesgo requieren una evaluación de impacto en la protección de datos, y el rostro, la imagen o la voz manipulados de una persona identificable deben marcarse siempre con claridad. El comisionado considera prohibidos el reconocimiento facial generalizado en tiempo real y la puntuación social.

Y lo aplica también a las grandes plataformas. En marzo de 2025 cerró una investigación preliminar sobre el uso de publicaciones en X para entrenar a Grok, y recordó que los usuarios pueden oponerse.

Está en camino un marco específico. El Departamento Federal de Justicia y Policía prepara un proyecto de ley que someterá a consulta antes de finales de 2026 para aplicar el convenio del Consejo de Europa sobre IA, centrado en la transparencia, la protección de datos, la no discriminación y la supervisión.

El Reglamento de IA de la UE, tras el ómnibus

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 y se aplica por etapas. Las prácticas prohibidas y la obligación de alfabetización en IA rigen desde el 2 de febrero de 2025, y las obligaciones para los modelos de uso general, desde el 2 de agosto de 2025. La mayor parte del reglamento se aplica a partir del 2 de agosto de 2026, incluidas las normas de transparencia: hay que avisar a las personas cuando hablan con un chatbot, y los deepfakes deben etiquetarse.

El ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, entró en vigor el 27 de julio de 2026. Aplaza las normas para los sistemas de alto riesgo: los que se usan en ámbitos como la biometría, la educación y el empleo asumen sus obligaciones a partir del 2 de diciembre de 2027, y los integrados en productos regulados, como ascensores o juguetes, a partir del 2 de agosto de 2028. También prohíbe, desde diciembre de 2026, la IA que genera imágenes sexuales de personas sin su consentimiento o material de abuso sexual infantil, y extiende una documentación simplificada a las pequeñas empresas de mediana capitalización.

Para la mayoría de las empresas que usan IA en lugar de desarrollarla, el aplazamiento cambia poco. Las obligaciones de transparencia y de alfabetización ya se aplican. El tiempo adicional es para los sistemas que deciden sobre personas, por ejemplo a quién se contrata.

El RGPD, y una reforma que no es ley

El RGPD en sí no ha cambiado. En diciembre de 2024, el Comité Europeo de Protección de Datos expuso cómo lo interpreta para los modelos de IA. Un modelo entrenado con datos personales solo se considera anónimo si es muy improbable identificar a personas a partir de él, ya sea directamente o mediante preguntas al modelo, y eso se valora caso por caso. El interés legítimo solo sirve como base jurídica cuando el tratamiento es estrictamente necesario y se mantiene el equilibrio de derechos. Y un modelo construido con datos tratados de forma ilícita puede afectar a la licitud de su uso posterior, salvo que se haya anonimizado correctamente.

Un ómnibus distinto suavizaría partes del RGPD y del Reglamento de Datos. El 7 de octubre de 2026, los embajadores de los Estados miembros aplazaron su votación sobre la posición del Consejo, después de que Alemania y Francia pidieran más tiempo, y en su reunión del 11 de octubre el texto no se debatió ni se votó. Berlín quiere una categoría de responsables del tratamiento de bajo riesgo que liberaría a las pequeñas empresas y a las organizaciones sin ánimo de lucro de muchas obligaciones. Nada de esto se aplica todavía, y planificamos con el RGPD tal como está redactado hoy.

Contratos y transferencias

La mayor parte de la IA en el trabajo pasa por un proveedor que trata datos personales por cuenta de la empresa, y es en el contrato donde viven las reglas de la empresa. Debe decir qué puede hacer el proveedor con los prompts y los archivos, cuánto tiempo los conserva, a ellos y a sus registros, qué subencargados usa y dónde, y qué ocurre con los datos al final. Si un proveedor dice que no entrena con tus datos, busca esa frase en el contrato que firmaste.

Los datos que salen de Suiza hacia Estados Unidos necesitan una base jurídica. Desde el 15 de septiembre de 2024, el Marco de Privacidad de Datos entre Suiza y EE. UU. permite transferencias a empresas estadounidenses certificadas sin más garantías, así que comprueba la certificación de cada proveedor y de cada subencargado. El equivalente de la UE superó su primera impugnación ante el Tribunal General de la UE el 3 de septiembre de 2025. El recurso, presentado el 31 de octubre de 2025, no se ha resuelto, que sepamos. Ten claro cuáles de tus herramientas dependen de una transferencia a EE. UU. y qué harías en su lugar.

Lo que hace ahora una empresa prudente

Nada de esto requiere un gran programa. Requiere una lista, unas cuantas decisiones y alguien que se haga cargo de ellas.

Haz la lista: cada herramienta de IA en uso, los datos que entran en ella, el proveedor, el país y el contrato. Pregunta a los equipos qué usan realmente, no qué se aprobó.

Clasifica los datos en públicos, internos y confidenciales, y deja escrito en una página qué categoría puede ir a qué herramienta.

Ofrece algo bueno. La IA en la sombra crece donde la herramienta aprobada es peor que la gratuita. Un asistente aprobado que funciona elimina casi todos los motivos para pegar datos de clientes en una cuenta privada.

Controla el acceso. Las herramientas de IA reciben los mismos roles, el mismo inicio de sesión y la misma baja de usuarios que cualquier otro sistema. Un asistente que puede leerlo todo acabará mostrándoselo algún día a la persona equivocada.

Informa a las personas y evalúa los casos de riesgo. Indica en la web cuándo un cliente está hablando con una máquina, y haz la evaluación de impacto antes de que la IA toque datos sensibles o decida sobre personas.

Asígnale un responsable. En el estudio de Cisco de 2026, tres de cada cuatro organizaciones tenían un órgano de gobernanza de la IA, y solo el 12 por ciento consideraba maduro el suyo. Y deja a una persona junto al botón de enviar: lo que puede hacerse con los datos de alguien es una cuestión de criterio, y el criterio sigue en manos de las personas.

Cómo lo tenemos en cuenta al construir

Nuestros productos siguen las mismas reglas. Kontor redacta ofertas y facturas en bexio y no almacena nada por su cuenta: los datos se quedan en bexio, y el envío, los cobros y los recordatorios siguen en manos de una persona.

Twin da a cada rol solo la parte del cerebro de la empresa que necesita, y cada escritura se firma por usuario. Funciona en Suiza o en la UE, o en el propio hardware del cliente, y los datos nunca entrenan un modelo público.

Cuando los datos no deben salir de la empresa en absoluto, Eigna, desarrollado por nuestro socio Eigna Labs, funciona como modelo privado en la nube de la propia empresa o en sus propios servidores, diseñado para el RGPD y el Reglamento de IA de la UE.

Las normas seguirán cambiando. Una empresa que sabe adónde van sus datos puede seguirles el paso.