Protección de datos e IA: guía para empresas

Base jurídica para el tratamiento, minimización (usar solo los datos necesarios), un contrato de encargado (art. 28) con los proveedores, medidas de seguridad y, cuando hay alto riesgo, una evaluación de impacto (DPIA). La empresa es responsable del tratamiento. Esto no es asesoramiento legal.

Sí, no es ilegal per se: necesitas un DPA, un mecanismo de transferencia válido (Data Privacy Framework o cláusulas tipo) y, preferiblemente, hosting en la UE. Conviene documentarlo y valorar la sensibilidad del dato.

Cuando el tratamiento es probable que entrañe un alto riesgo para los derechos de las personas (datos sensibles a escala, decisiones automatizadas, observación sistemática). La AEPD publica criterios.

Son categoría especial (art. 9 RGPD) y exigen protección reforzada: base jurídica específica, seguridad y, a menudo, residencia UE o autoalojamiento. Ver los artículos sectoriales (sanidad).