En 30 segundos:
- El registro de actividades de tratamiento (art. 30 RGPD) es la lista de qué datos personales tratas, para qué, con quién y cómo los proteges.
- La exención para empresas de menos de 250 trabajadores casi nunca se aplica: basta con que el tratamiento no sea ocasional, como las nóminas o la gestión de clientes.
- Si usáis IA con datos personales, añade esa actividad: finalidad, datos permitidos, proveedores con su contrato y medidas de seguridad.
¿Lo necesita tu empresa?
El artículo 30.5 del RGPD libera del registro a las organizaciones de menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo para las personas, no sea ocasional o incluya categorías especiales de datos (salud, por ejemplo) o datos penales. Llevar la facturación de clientes o las nóminas del personal no es ocasional, así que la inmensa mayoría de pymes con empleados o clientes debe tenerlo.
Si aún no tienes registro, la AEPD ofrece gratis la herramienta Facilita RGPD, pensada para empresas que hacen tratamientos de poco riesgo. Te genera los documentos básicos, y puedes añadir después la actividad de IA de esta página.
Gratis: la checklist «10 reglas para usar IA en tu empresa sin riesgos». Una página para imprimir y pegar junto a la impresora.
Quiero la checklistEjemplo de entrada para el uso de IA
| Campo (art. 30.1 RGPD) | Ejemplo para una pyme |
|---|---|
| Responsable | Nombre de tu empresa, NIF, dirección y email de contacto. |
| Finalidad | Redactar, resumir, traducir y organizar información de trabajo con herramientas de IA aprobadas, según la política de uso de IA. |
| Interesados | Clientes y sus contactos, proveedores y personal de la empresa. |
| Datos | Solo los que permite el semáforo de la política: datos identificativos básicos, anonimizados o seudonimizados cuando sea imprescindible. Excluidos los datos de salud, los bancarios y las credenciales. |
| Destinatarios y encargados | Los proveedores de las herramientas aprobadas (por ejemplo, el de ChatGPT Business o el de Microsoft 365 Copilot), con contrato de encargo del tratamiento. |
| Transferencias internacionales | Si el proveedor trata datos fuera del Espacio Económico Europeo, indica el país y la garantía: Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo. |
| Plazo de supresión | Cuánto se conserva el historial de conversaciones según la configuración de cada herramienta, y cuándo se borra. |
| Medidas de seguridad | Política de uso firmada, cuentas de empresa con verificación en dos pasos, entrenamiento desactivado, formación del personal y protocolo de incidentes de 72 horas. |
La base jurídica no figura entre los campos obligatorios del artículo 30, pero conviene anotarla: lo habitual es la ejecución del contrato con el cliente o el interés legítimo de la empresa. Revísala con tu asesor si tratas datos sensibles.
Los tres errores más comunes
- Anotar una herramienta sin contrato. Si usáis cuentas personales gratuitas, no hay contrato de encargo: con ellas solo debería usarse información sin datos personales. Lo explicamos en ChatGPT y RGPD: qué plan usar.
- Escribir «todos los datos». El registro debe reflejar lo que de verdad permites. Si tu política prohíbe los datos de salud, el registro no puede incluirlos.
- Hacerlo una vez y olvidarlo. Cada herramienta nueva que apruebes cambia los encargados y quizá las transferencias. Actualízalo a la vez que el anexo de herramientas de tu política.
Por qué te lo van a pedir
El registro es lo primero que solicita la AEPD si investiga una reclamación, y cada vez aparece más en los cuestionarios de seguridad de los clientes. Tenerlo al día, junto con la política firmada y los contratos de los proveedores, es la forma más rápida de demostrar que controlas el uso de la IA.
Preguntas frecuentes
¿Una pyme de menos de 250 trabajadores tiene que llevar registro de actividades de tratamiento?
Casi siempre sí. El artículo 30.5 del RGPD exime a las organizaciones de menos de 250 personas solo si el tratamiento es ocasional, no entraña riesgo y no incluye categorías especiales de datos ni datos penales. La gestión de clientes o de nóminas no es ocasional.
¿Tengo que anotar ChatGPT en el registro de actividades de tratamiento?
Si tu equipo lo usa con datos personales, sí: es una actividad de tratamiento y su proveedor es encargado del tratamiento. Si solo se usa con información sin datos personales, no es un tratamiento de datos personales.
¿Hay que enviar el registro a la AEPD?
No. El registro se guarda en la empresa y se pone a disposición de la AEPD si lo solicita.
Todo esto, redactado y listo para firmar
El kit completo incluye la política en Word, el expediente de cumplimiento (acta de aprobación, entrada para el registro de tratamiento, contratos con proveedores y carta al comité de empresa), las cláusulas para contratos y un curso online para tu equipo con certificado automático.
Pago seguro con Stripe · Descarga inmediata · Factura con IVA · Garantía de 14 días
Este artículo es informativo y no constituye asesoramiento jurídico. Los requisitos del registro están en el artículo 30 del RGPD; verifica la configuración de conservación de cada herramienta antes de anotarla.