IA generativa y CNIL: lo que deben hacer las empresas en Francia

En muchas empresas francesas, ChatGPT, Copilot o Gemini llegaron sin ningún anuncio oficial. Un comercial reescribe una propuesta, una abogada resume un contrato, un reclutador ordena currículos. Ahorran tiempo. Queda una pregunta: ¿qué dice la CNIL cuando estas herramientas reciben datos personales?

La CNIL, la autoridad francesa de protección de datos, ya ha escrito mucho sobre el tema, y parte de sus recomendaciones se dirige directamente a las organizaciones que usan estas herramientas a diario. Esto es lo que espera y cómo convertirlo en acciones concretas.

Lo que la CNIL ha publicado sobre IA

La CNIL presentó un plan de acción sobre inteligencia artificial en 2023 y después publicó una serie de fichas prácticas sobre el desarrollo de sistemas de IA. En julio de 2025 cerró este trabajo con nuevas recomendaciones, dos fichas adicionales (anotación de datos y seguridad del desarrollo) y una lista de puntos que verificar.

Para las empresas que solo usan IA, el texto más útil es del 18 de julio de 2024. Ese día la CNIL publicó sus preguntas y respuestas sobre el uso de un sistema de IA generativa, junto con sus primeras precisiones sobre el despliegue. Responden a la pregunta de todo CIO y DPO: ¿pueden los empleados usar ChatGPT y en qué condiciones?

Partir de una necesidad, no de una herramienta

El primer consejo de la CNIL es sencillo: partir de una necesidad concreta. Desplegar un asistente de IA «para ver qué pasa» no es un enfoque conforme. Hay que identificar los casos de uso, valorar los riesgos de cada uno y elegir la herramienta en consecuencia.

Esto conecta con el principio de limitación de la finalidad del RGPD. Si Recursos Humanos quiere usar la IA para redactar ofertas de empleo, es un uso. Si quiere usarla para clasificar candidatos, es otro mucho más sensible, que exige un análisis propio.

Los empleados y los datos personales

Sobre el uso por parte de los empleados, la CNIL es clara. La organización sigue siendo, en principio, responsable de los malos usos de su plantilla. Por eso recomienda fijar por escrito los usos permitidos y prohibidos. Entre los ejemplos que cita: no introducir datos personales en la herramienta y no delegarle decisiones.

Con los servicios para el gran público va más allá. Los datos personales, los datos de la empresa y sobre todo los protegidos por un secreto no deberían introducirse en ellos. También aconseja acceder a estos servicios con direcciones de correo profesionales dedicadas y no con cuentas personales.

• Introducir solo la información que se está autorizado a compartir.

• Ofrecer plantillas de prompts validadas que eviten los datos sensibles.

• Desactivar la reutilización de datos por el proveedor y, si es posible, el historial.

• Releer y comprobar cada respuesta antes de reutilizarla.

Estas reglas se saltan a menudo sin mala intención. Es el problema de fondo de la IA en la sombra, las herramientas que se usan fuera del marco fijado por la empresa.

Elegir la herramienta y el modo de despliegue

La CNIL pide examinar la seguridad y la robustez de cada solución y solicitar su documentación. Para datos personales o sensibles, prefiere los sistemas desplegados en local. Si la herramienta está en la nube, hace falta un contrato de encargo del tratamiento conforme al artículo 28 del RGPD y garantías adecuadas para las transferencias fuera de la Unión Europea.

Un punto que se olvida a menudo: una empresa que conecta la IA a su propia base documental (RAG) o la ajusta con datos personales pasa a ser responsable de ese tratamiento. En materia de seguridad, la CNIL remite a las recomendaciones de la ANSSI, la agencia nacional francesa de ciberseguridad, sobre los sistemas de IA generativa.

La EIPD: ¿cuándo hay que hacerla?

La evaluación de impacto relativa a la protección de datos (EIPD) es obligatoria cuando un tratamiento puede suponer un alto riesgo para las personas. La CNIL recomienda implicar al DPO desde el principio y realizar una EIPD cuando proceda. También ha publicado una ficha específica sobre la evaluación de impacto de los sistemas de IA.

Rara vez hace falta una EIPD para redactar un correo de marketing. Se vuelve muy probable en cuanto la IA toca datos de salud, datos de RR. HH. o datos de menores, o sirve para evaluar a personas. El Reglamento europeo de IA añade sus propias exigencias para los usos de alto riesgo. Nuestro checklist del Reglamento de IA y el artículo 32 del RGPD ayuda a hacer balance.

Gobernanza: política, formación, controles

La CNIL recomienda una gobernanza que implique pronto al DPO, al responsable de seguridad, al responsable de sistemas de información y a las áreas de negocio. En sus textos se repiten tres frentes:

1. Una política o carta interna que enumere los usos permitidos y prohibidos, en un lenguaje que todos entiendan.

2. Formación de los usuarios sobre cómo funcionan las herramientas, sus límites y sus riesgos.

3. Controles periódicos para comprobar que las reglas se cumplen.

El tercer punto es el más difícil. Una política y una formación no impiden un copiar y pegar con prisas un viernes por la tarde. Lo contamos en nuestro artículo sobre por qué la formación en seguridad de IA no basta.

Pasar a la práctica

Para que estas recomendaciones funcionen, hace falta un control situado donde aparece el riesgo: el momento en que un empleado pega un texto o sube un archivo a un asistente de IA. Esa es la función de una solución de DLP para IA. Detecta los datos personales o confidenciales antes del envío y después los anonimiza, avisa al usuario o bloquea, según la regla elegida.

Este control también deja rastro. En una auditoría o una inspección de la CNIL, la empresa puede demostrar que su política no se quedó en papel. La anonimización que preserva el formato mantiene además respuestas útiles sin exponer los datos reales.

Lo esencial

La CNIL no pide prohibir la IA generativa. Pide usarla con método: una necesidad clara, usos autorizados bien definidos, una herramienta elegida con cuidado, una EIPD cuando el riesgo lo exige, empleados formados y controles reales. Las empresas que documenten estos pasos estarán preparadas el día que se les pregunte.

¿Quiere ver cómo ZeusLock aplica estas reglas directamente en el navegador de sus equipos? Solicite una demo.