Pot una empresa utilitzar la IA amb informació confidencial dels clients?

La incorporació de sistemes d’intel·ligència artificial generativa com ChatGPT, Microsoft Copilot, Google Gemini o Claude en l’activitat empresarial planteja una qüestió jurídica fonamental: fins a quin punt és lícit introduir dades dels clients en aquestes plataformes?

La resposta és clara: només serà possible quan es respectin estrictament les exigències del Reglament General de Protecció de Dades (RGPD), les obligacions de confidencialitat i, si escau, les normes sobre transferències internacionals de dades.

L’RGPD considera tractament de dades qualsevol operació efectuada sobre informació personal. Així, quan un empleat introdueix en una eina d’IA un contracte, una reclamació o un correu electrònic identificable, està realitzant un tractament de dades personals i l’empresa n’assumeix la responsabilitat jurídica. Per tant, no es tracta simplement d’una qüestió tecnològica, sinó d’una activitat sotmesa plenament al RGPD i a la Llei orgànica 3/2018 de protecció de dades personals i garantia dels drets digitals.

L’ús de la intel·ligència artificial no és, per si mateix, il·legal. Tanmateix, les empreses haurien d’adoptar una sèrie de mesures:

• Evitar introduir dades personals identificables quan no sigui estrictament necessari.
• Anonimitzar o pseudonimitzar la informació abans de tractar-la mitjançant eines d’IA.
• Verificar les condicions contractuals del proveïdor tecnològic.
• Elaborar polítiques internes específiques sobre l’ús de la intel·ligència artificial.
• Formar els treballadors en matèria de protecció de dades i ciberseguretat.
• Realitzar, quan sigui procedent, una avaluació d’impacte sobre la protecció de dades.

Aquestes mesures resulten especialment importants després de l’entrada en vigor del Reglament Europeu d’Intel·ligència Artificial (AI Act), que imposa obligacions addicionals de governança, transparència i gestió dels riscos associats a l’ús de sistemes d’IA.

La problemàtica s’intensifica quan el proveïdor d’IA es troba fora de la Unió Europea. Resulta rellevant la Sentència del Tribunal de Justícia de la Unió Europea de 16 de juliol de 2020 (assumpte C‑311/18, Schrems II), que va recordar que les transferències de dades a tercers països només són admissibles si es garanteix un nivell de protecció substancialment equivalent al de la normativa europea.

A més, la protecció no es limita a les dades personals. La Llei 1/2019, de Secrets Empresarials protegeix la informació confidencial que tingui valor econòmic i respecte de la qual s’hagin adoptat mesures de reserva. La revelació d’aquesta informació en plataformes externes podria comprometre la seva protecció i generar responsabilitats contractuals o professionals.

En conclusió, una empresa no hauria d’introduir dades personals identificables ni informació confidencial dels seus clients en eines d’intel·ligència artificial sense una base jurídica adequada, garanties contractuals suficients i mesures d’anonimització o minimització de dades.

La clau no és prohibir la intel·ligència artificial, sinó utilitzar-la respectant els drets dels clients i preservant la confiança que constitueix la base de qualsevol relació professional.