He participado en varias auditorías internas de datasets para IA, y hay un patrón común: los equipos técnicos confían en que «si el dato está limpio, ya está». Y los equipos legales confían en que «si hay un consentimiento genérico, ya está». Ambos se equivocan.
Auditar un dataset para RGPD no es repasar una checklist. Es preguntarse cosas incómodas.
Lo que no funciona: el checklist superficial
Muchas consultoras venden una auditoría tipo «marca las casillas»: ¿tienes base legal? ¿has informado? ¿hay plazos de supresión? Eso sirve para proyectos sencillos, pero no para un dataset de entrenamiento de IA con miles de documentos heterogéneos.
El problema es que el RGPD no es una lista. Es un sistema de principios. Y los principios (licitud, lealtad, transparencia, minimización, exactitud, integridad, confidencialidad) tienen que aplicarse caso por caso.
Las cuatro preguntas reales de una auditoría seria
Para auditar un dataset documental para IA, no empieces por el formato. Empieza por estas cuatro preguntas:
- ¿De dónde vienen los documentos originales? (Fuente: ¿página pública, contrato, cliente, expediente interno? Cada fuente tiene reglas distintas).
- ¿Qué base legal ampara cada tipo de dato? (No sirve una sola base legal para todo. Los datos sensibles necesitan autorización explícita o excepción legal).
- ¿Se ha informado a los interesados de que sus datos irán a un modelo de IA? (Si la respuesta es «no» o «no específicamente», hay riesgo alto).
- ¿Qué derechos pueden ejercer los interesados sobre el modelo? (Acceso, rectificación, supresión, oposición. ¿Puedes atenderlos técnicamente?)
Si no puedes responder con documentos, tu dataset no está listo.
El caso especial de la reutilización de datos
Uno de los puntos más conflictivos es cuando usas documentos recopilados para un fin (por ejemplo, atender un cliente) y los reutilizas para entrenar una IA. El RGPD exige que la nueva finalidad sea compatible con la original, o que tengas una nueva base legal.
En la práctica, la compatibilidad no es automática. Una auditoría debe evaluar: ¿hay relación entre ambos fines? ¿El contexto es razonablemente esperado por el interesado? ¿El impacto en sus derechos es asumible?
En muchos casos, la respuesta es «no» y toca anonimizar o pedir nuevo consentimiento.
Cómo documentar la auditoría para que sirva ante la AEPD
Una auditoría útil no es un informe interno que se archiva. Es un conjunto de evidencias:
- Un registro de actividades de tratamiento (art. 30 RGPD) actualizado con el dataset de IA.
- Una evaluación de impacto (DPIA) si el modelo implica alto riesgo.
- Las justificaciones escritas de minimización (por qué cada campo).
- Las pruebas de seudonimización o anonimización aplicadas.
- Los acuerdos con proveedores si el dataset se procesa externamente.
Sin esto, cualquier inspección te encontrará vulnerable.
Conclusión
Auditar un dataset antes de entrenar no es un lujo. Es la única forma de que tu modelo de IA no se convierta en un pasivo legal. No delegues esta tarea solo en técnicos o solo en abogados. Haz que trabajen juntos desde el primer minuto.
