Cómo auditar el cumplimiento legal de tu IA comercial

El RGPD no solo exige cumplir —exige poder demostrar que se cumple. Es el principio de responsabilidad proactiva: el responsable del tratamiento no solo aplica las medidas, sino que las documenta y las muestra cuando se le pide. Un sistema de IA comercial que procesa datos personales sin DPIA, sin registro de tratamiento y sin trazabilidad cumple a medias —cumple de hecho, pero no puede demostrarlo. Y cuando llega la pregunta —del cliente, del regulador, del equipo legal— la ausencia de la prueba se lee como ausencia de cumplimiento.

La auditoría es lo que cierra ese hueco. No es un trámite posterior —es la arquitectura que registra el cumplimiento a medida que se produce. El consentimiento se registra al capturarlo; el tratamiento se documenta al definirlo; el riesgo se evalúa al desplegarlo. Auditar no es añadir burocracia al final —es diseñar el sistema para que deje huella del cumplimiento que ya tiene.

La DPIA (Data Protection Impact Assessment, evaluación de impacto sobre la protección de datos) es el documento que evalúa el riesgo del procesamiento y las medidas que lo mitigan. En un sistema de IA comercial, la DPIA describe qué datos procesa el agente, con qué propósito, qué riesgos genera (grabación, derivación, almacenamiento) y qué medidas los controlan (consentimiento, minimización, retención, cifrado). No es un documento de compliance que se firma y se archiva —es el análisis que diseña el tratamiento responsable.

La DPIA es obligatoria cuando el procesamiento es de alto riesgo —y la IA comercial que graba conversaciones, deriva decisiones o procesa datos a escala suele cumplirlo. Pero más allá de la obligación, la DPIA es la herramienta que te obliga a pensar el riesgo antes de desplegar: si no puedes describir el riesgo y la medida, es que no has pensado el tratamiento. La DPIA bien hecha no es burocracia —es la arquitectura del procesamiento responsable hecha visible.

El registro de tratamiento (o registro de actividades de tratamiento, RAT) es el inventario que justifica cada acto de procesamiento con su base legal. Para un sistema de IA comercial, documenta: qué datos procesa el agente (identidad, historial, señales), con qué propósito (cualificación, enrutamiento, derivación), con qué base legal (consentimiento, interés legítimo), durante cuánto tiempo (retención) y con qué medidas (cifrado, acceso, trazabilidad). Cada campo del CRM y cada acto del agente se justifica en el registro.

La trampa es tener un registro genérico que cubre 'el CRM' sin detalle. El registro que importa es el que justifica cada tratamiento específico: el WhatsApp con su base, la grabación de voz con la suya, la derivación con la suya. Un registro que dice 'procesamos datos comerciales con consentimiento' no justifica la grabación de voz sin consentimiento específico. El registro detallado es lo que demuestra que cada acto tiene su base —y lo que falta cuando un acto se procesa sin ella.

La trazabilidad es la capacidad de reconstruir qué pasó con cada lead y cada dato: quién consintió, cuándo, qué se procesó, qué se derivó, qué se borró. En IA comercial, la trazabilidad vive en los logs del agente y del CRM: el consentimiento con fecha y canal, el tratamiento con propósito y base, la derivación con motivo y destinatario. Sin trazabilidad, un derecho de acceso no se puede responder y un incidente no se puede reconstruir. Con ella, cada acto es auditable.

La cuarta pieza es el due diligence del proveedor de IA: el proveedor que procesa los datos (el modelo, la infraestructura) tiene que cumplir lo mismo que tú. El contrato de encargado del tratamiento (art. 28 RGPD) define sus obligaciones; el due diligence verifica que las cumple. Un proveedor que no firma el encargado, que no cifra, que no localiza los datos o que los usa para entrenar sin consentimiento es un riesgo que heredas. Auditar al proveedor es parte de auditar el sistema —no un extra.