IA generativa en Alemania: cómo desplegarla con el Betriebsrat

En Alemania, un proyecto de IA generativa casi nunca empieza en el despacho del CIO. Empieza en una mesa con el Betriebsrat, el comité de empresa elegido por la plantilla. Mientras no dé su visto bueno, muchas herramientas se quedan en espera.

Bien preparada, la negociación obliga a responder pronto a las preguntas correctas: qué datos pueden enviarse a un asistente de IA, quién ve qué y cómo se demuestra que se cumplen las reglas. Justo ahí encaja una solución de DLP para IA.

Por qué el Betriebsrat tiene voz

La ley alemana de organización de empresas, la Betriebsverfassungsgesetz (BetrVG), concede al comité un derecho de codecisión sobre la introducción y el uso de sistemas técnicos capaces de vigilar el comportamiento o el rendimiento de los empleados (artículo 87, apartado 1, número 6). Los tribunales lo leen en sentido amplio: basta con que la herramienta pueda generar esos datos. No hace falta intención de vigilar.

Desde la reforma de 2021, conocida como Betriebsrätemodernisierungsgesetz, la BetrVG menciona también de forma expresa la inteligencia artificial. El comité debe ser informado de los proyectos que la usan y puede recurrir a un experto cuando tiene que evaluar un sistema de IA.

Lo que dice de verdad la resolución de Hamburgo

En enero de 2024, el tribunal laboral de Hamburgo rechazó la petición de un comité que quería prohibir ChatGPT en su empresa. El empleador solo había permitido usar la herramienta en el navegador, con cuentas privadas de los empleados, y había publicado normas de uso. Para el tribunal, la empresa no recibía ningún dato de uso, así que no había codecisión en ese punto.

Sería imprudente sacar de ahí una regla general. La resolución se dictó en un procedimiento urgente y sobre un caso concreto. En cuanto una empresa ofrece cuentas corporativas, una versión empresarial o una herramienta que registra los prompts, dispone de datos sobre la actividad de la plantilla y la codecisión vuelve a primer plano. Una herramienta de DLP que registra incidentes entra claramente en esa categoría.

El marco de protección de datos: RGPD, DSK y autoridades de los Länder

En materia de datos personales, el texto de referencia es el RGPD, llamado DSGVO en Alemania, completado por la ley federal BDSG. La supervisión se reparte entre el comisionado federal (BfDI) y las autoridades de cada Land, que controlan a la mayoría de las empresas privadas.

En mayo de 2024, la Datenschutzkonferenz (DSK), que reúne a estas autoridades, publicó una guía sobre IA y protección de datos. Se dirige a quienes eligen y usan aplicaciones de IA, sobre todo grandes modelos de lenguaje. Entre sus recomendaciones:

• definir de antemano los usos permitidos y comprobar si de verdad necesitan datos personales;

• facilitar cuentas corporativas en lugar de dejar que se usen cuentas privadas;

• verificar si las entradas sirven para entrenar el modelo y, si es posible, oponerse;

• implicar al delegado de protección de datos y a la plantilla, y redactar normas internas claras.

Ya en noviembre de 2023, la autoridad de Hamburgo había publicado una lista de control muy parecida para chatbots basados en LLM. La IA se puede usar si se controla lo que entra en ella.

Qué debe incluir un acuerdo de empresa sobre IA

Lo habitual es la Betriebsvereinbarung, firmada por la dirección y el comité. Para la IA generativa, muchas empresas firman un acuerdo marco con principios comunes y añaden un anexo por herramienta. Puntos que conviene tratar:

1. La lista de herramientas autorizadas y el procedimiento para añadir otras.

2. Las categorías de datos prohibidas en los prompts: salud, datos de RR. HH., secretos empresariales, datos de clientes identificables.

3. Qué se registra, quién lo hace, durante cuánto tiempo y con qué fin.

4. Una prohibición clara de usar esos datos para evaluar el rendimiento individual.

5. El acceso del comité a informes agregados.

6. Formación y una persona de contacto para dudas.

Dónde encaja la DLP para IA en la codecisión

ZeusLock funciona en el equipo del empleado o en el navegador. Detecta datos sensibles en un prompt o un archivo antes del envío y, según la regla definida, los anonimiza, avisa al usuario o bloquea el envío. Cada incidente queda registrado como prueba de cumplimiento.

Esos registros son justo lo que el Betriebsrat querrá regular. Una buena configuración lo prevé:

• la anonimización que preserva el formato sustituye un nombre o un IBAN por un valor ficticio con la misma forma, de modo que el empleado sigue trabajando sin exponer el dato real;

• los informes pueden mostrarse por departamento o por tipo de dato, no por persona;

• el acceso a los registros detallados puede limitarse a seguridad y al delegado de protección de datos, con un procedimiento escrito en el acuerdo.

Así planteada, la DLP protege al empleado de un error al copiar y pegar tanto como protege a la empresa.

Preparar la negociación sin perder seis meses

Los proyectos que avanzan rápido tienen algo en común: implican al comité antes de elegir la herramienta, no después. Explicar con precisión qué datos se recogen y proponer uno mismo las salvaguardas evita idas y venidas interminables. Nuestro manual de despliegue de DLP para IA en 90 días sirve como calendario de partida. Para la parte europea, la checklist del Reglamento de IA y el RGPD ayuda a preparar la evaluación de impacto.

La formación por sí sola no basta, como explicamos en por qué la formación en seguridad de IA no funciona. Una salvaguarda técnica al enviar completa el acuerdo.

En resumen

En Alemania, la IA generativa se despliega con el Betriebsrat, no contra él. La BetrVG le da un papel en cuanto una herramienta puede generar datos sobre la plantilla. La DSK y las autoridades de los Länder esperan normas claras sobre los datos que se introducen. Una DLP para IA, configurada con informes agregados y anonimización transparente, permite cumplir ambas exigencias a la vez.

¿Está preparando un acuerdo de empresa sobre IA? Solicite una demo de ZeusLock y vea cómo presentar la DLP a su comité.