AI how-to sheets: las fichas de la CNIL para revisar IA y datos personales

Por Karine Boucher · Especialista en Riesgos Humanos de la IA · Creadora del Método SENSE

Quieres preparar una herramienta de IA y ya tienes una carpeta llena de documentos para probarla. Parece que solo falta subirlos… pero ¿de dónde salieron esos datos? ¿Para qué se recogieron? ¿Incluyen información de personas que no esperan este nuevo uso?

Antes de dar ese paso, te recomiendo consultar las AI how-to sheets de la CNIL, la autoridad francesa de protección de datos. Son fichas prácticas sobre IA y datos personales, no una invitación a reutilizar cualquier información que tengas disponible.

Qué encontrarás en las fichas:

El conjunto aborda cuestiones del desarrollo de sistemas de IA bajo el Reglamento General de Protección de Datos europeo: finalidad, base jurídica, responsabilidades, reutilización de datos, evaluación de impacto, información a las personas, derechos y seguridad, entre otras.

La página en inglés advierte que es una traducción de cortesía y que, si hay diferencias, prevalece la versión francesa. Te conviene tenerlo presente cuando una decisión dependa del significado preciso de una indicación.

Para quién puede ser útil:

Te recomiendo este recurso si participas en un proyecto de IA que utiliza datos personales y necesitas preparar preguntas para quienes lo desarrollan o revisan. No hace falta que seas quien programa para detectar una duda sobre la información que se va a utilizar.

También puede ayudarte si estás comparando proveedores. Te permite pedir explicaciones más concretas que “¿cumplen con privacidad?”. Eso no significa que las reglas francesas o europeas se apliquen automáticamente a toda organización en México. El alcance jurídico depende de cada situación y necesita revisión profesional.

Ejemplo ficticio: un asistente interno con documentos de personal:

Imagina una empresa que quiere que una IA responda preguntas internas. Para probarla, alguien propone utilizar una carpeta de recursos humanos. Allí hay políticas generales, pero también evaluaciones individuales y mensajes sobre situaciones personales.

Yo no empezaría por conectar la carpeta completa. Te propongo separar los documentos que describen procedimientos de los que hablan de personas. Después preguntaría qué necesita realmente el asistente para responder la consulta y quién podrá acceder a cada tipo de información.

También conviene aclarar cómo funciona la herramienta. ¿Recupera fragmentos de los documentos para contestar? ¿El proveedor los conserva? ¿Se utilizan para entrenar un modelo? Si el equipo no lo sabe, todavía falta información para decidir.

Este ejemplo es ficticio y no constituye una autorización de tratamiento. Las medidas adecuadas dependen del proyecto, los datos y las obligaciones que correspondan.

Cómo te propongo trabajar con las fichas:

1. Empieza por el objetivo: escribe qué debe hacer la herramienta y qué no debería hacer. Si el objetivo cambia, vuelve a revisar los datos que necesita.
2. Describe la información: no pongas simplemente “documentos internos”. Identifica qué contienen y a quién se refieren, sin copiar datos sensibles en una ficha de trabajo compartida.
3. Consulta la ficha pertinente: busca la que aborda tu duda concreta y abre sus referencias. No te limites al título del índice.
4. Separa hechos y suposiciones: señala qué explica el proveedor y qué has podido comprobar. Que una función esté anunciada no significa que esté activada en tu cuenta.
5. Decide quién sigue: una pregunta técnica puede necesitar al proveedor; una duda sobre base jurídica necesita la revisión adecuada. No obligues a una sola persona a responder por todo.

Este recorrido es mi propuesta para preparar el trabajo. No sustituye las fichas oficiales ni permite afirmar que un sistema cumple el RGPD.

Qué riesgos humanos te recomiendo observar:

Lo relaciono con Seguridad, privacidad y dignidad, porque usar información personal puede afectar a alguien aunque nunca vea la herramienta. También con Decisiones, organizaciones y sociedad, porque importa quién autoriza el uso, quién lo comprueba y quién responde cuando algo sale mal.

Son familias de mi Taxonomía IAConSentido. No atribuyo esta clasificación a la CNIL ni presento las fichas como respaldo a mis servicios.

Preguntas frecuentes:

¿Son una certificación para mi proyecto?

No. Son orientaciones oficiales que debes interpretar según su alcance y tu contexto. Consultarlas no equivale a una aprobación de la autoridad.

¿Puedo usar una sola ficha y dar por terminada la revisión?

Te recomiendo empezar por la pregunta más urgente, pero comprobar después qué otros asuntos siguen abiertos. Resolver la finalidad, por ejemplo, no responde por sí solo quién puede acceder a los datos o cómo se atenderán los derechos de las personas.

Fuente oficial consultada el 13 de noviembre de 2026. Las recomendaciones prácticas y los ejemplos identificados como ficticios son míos; no implican afiliación ni aval de la institución.