Los secretos de la empresa pueden filtrarse con una simple solicitud: RGPD y límites de seguridad de datos en el uso de la IA en el lugar de trabajo

Entrada

En el ámbito laboral, es cada vez más común que un profesional de recursos humanos suba decenas de currículos a una aplicación de IA y seleccione a los cinco candidatos más adecuados; que un representante de ventas importe una lista de clientes para crear correos electrónicos personalizados; o que un contable cargue una hoja de cálculo de nóminas para comprobar si hay errores. Del mismo modo, un abogado que suba un expediente, un médico que cargue el informe de un paciente o un desarrollador de software que cargue el código fuente en un sistema de IA generativa pueden ahorrar mucho tiempo en tan solo unos minutos.

Sin embargo, la información que el empleado introduce en la IA no se limita a una simple pregunta que aparece en pantalla. Esta información puede transmitirse a los servidores del proveedor de servicios, almacenarse en los registros del sistema, someterse a revisiones de seguridad, transferirse a servidores en otros países o utilizarse en procesos de desarrollo de modelos, según la naturaleza del servicio. Por lo tanto, el uso de la inteligencia artificial en el entorno laboral no solo implica productividad, sino también tratamiento de datos personales, seguridad de los datos, protección de secretos comerciales y la responsabilidad legal del empleador. La Autoridad de Protección de Datos Personales también señala que los sistemas de inteligencia artificial productivos interactúan intensamente con datos personales y que es fundamental que estos sistemas se utilicen de forma transparente, auditable, segura y centrada en el usuario.

Marco jurídico aplicable al uso de la inteligencia artificial en el ámbito laboral en Turquía

En Turquía, aún no se ha promulgado una ley integral que regule los sistemas de inteligencia artificial en todos sus aspectos. Los registros de la Gran Asamblea Nacional Turca muestran que el proyecto de ley de inteligencia artificial de 2024 todavía se encuentra en fase de comité. Por lo tanto, la legalidad del uso de la inteligencia artificial en el ámbito laboral se evalúa actualmente principalmente a través de las disposiciones vigentes sobre protección de datos personales, derecho laboral, derecho contractual, derecho penal, secretos comerciales y propiedad intelectual.

Los principales fundamentos jurídicos en este contexto son los siguientes:

• Ley N° 6698 sobre la protección de datos personales,
• Las disposiciones de la Constitución relativas a la privacidad de la vida privada y la protección de datos personales,
• Los artículos 417 y 419 del Código de Obligaciones turco n.º 6098, relativos a la protección de la personalidad del empleado y al uso de sus datos personales,
• Las disposiciones de la Ley Laboral No. 4857 relativas a la igualdad de trato, las condiciones de trabajo y la terminación,
• Las disposiciones del Código Penal turco relativas a la grabación, adquisición y compartición ilícitas de datos personales,
• Secretos comerciales, secretos de clientes, secretos profesionales y obligaciones de confidencialidad
• Contrato de trabajo, política de seguridad de la información y reglamentos internos del lugar de trabajo.

El artículo 417 del Código de Obligaciones turco impone al empleador la obligación de proteger la personalidad del empleado y de establecer un orden en el lugar de trabajo que se ajuste a los principios de honestidad. Según el artículo 419 del mismo Código, el empleador solo puede utilizar los datos personales del empleado en la medida en que estén relacionados con su idoneidad para el puesto o sean necesarios para la ejecución del contrato laboral. Por lo tanto, el uso de aplicaciones de inteligencia artificial en el lugar de trabajo no permite al empleador recopilar datos ilimitados sobre los empleados ni analizar su comportamiento sin restricciones.

¿Introducir información en un sistema de inteligencia artificial constituye un tratamiento de datos personales?

Que un empleado suba nombres de clientes, números de teléfono, direcciones de correo electrónico, informes de desempeño de empleados, currículos, fotos, grabaciones de voz, información de salud, nóminas, facturas o documentos judiciales a un sistema de inteligencia artificial puede constituir un procesamiento de datos personales.

El concepto de "tratamiento" según la Ley Turca de Protección de Datos Personales (KVKK) es bastante amplio. Cargar, transferir, registrar, clasificar, analizar, resumir o cotejar datos con otra información pueden considerarse tratamiento de datos. El argumento de que el sistema de inteligencia artificial se utilizó solo temporalmente o que el empleado cargó la información desde su propia cuenta no exime automáticamente al empleador de responsabilidad legal.

Por ejemplo, si alguien que trabaja en el departamento de ventas sube su lista de clientes a su cuenta personal de IA;

• Los datos personales pertenecientes a los clientes han sido transferidos a un proveedor de servicios externo,
• Los datos han sido eliminados de los sistemas controlados por el empleador,
• Si es así, se ha enviado a servidores en el extranjero
• La política de retención y eliminación de datos del empleador se ha vuelto inaplicable

Podría ser.

Por lo tanto, el enfoque de que "el empleado lo hizo por su cuenta, la empresa no es responsable" no es seguro. Los empleadores tienen la obligación de capacitar a sus empleados, establecer normas de uso, restringir el acceso e implementar los mecanismos de monitoreo necesarios.

¿Cómo se aplican los principios fundamentales de la Ley turca de protección de datos personales (KVKK) en el uso de la inteligencia artificial?

De acuerdo con el artículo 4 de la Ley N° 6698, en el tratamiento de datos personales;

1. Cumplimiento de la ley y de los principios de honestidad,
2. Ser preciso y estar actualizado cuando sea necesario,
3. Tratamiento para fines específicos, explícitos y legítimos,
4. Siendo pertinentes al propósito para el cual se comprometen, limitados y proporcionados,
5. Debe conservarse durante el período necesario

El cumplimiento de estos principios es obligatorio. Estos principios se aplican a todos los procesos empresariales que utilizan inteligencia artificial.

Por ejemplo, en lugar de exigir al departamento de recursos humanos que cargue todos los currículos de los solicitantes de empleo en el sistema para su evaluación, debería eliminar la información de identificación, dirección, foto y contacto que no sea necesaria para la evaluación. Porque si el objetivo es comparar las cualificaciones profesionales de los candidatos, procesar la dirección completa o el número de identificación de la persona no sería proporcional.

De igual modo, al preparar una respuesta a una queja de un cliente, no se deben ingresar en el sistema el nombre completo, el número de teléfono, la dirección ni el número de pedido del cliente. Se pueden utilizar expresiones anonimizadas o generalizadas como "Cliente A", "Pedido con fecha X" o "precio del producto". La Guía de Inteligencia Artificial Generativa 2025 de la KVKK también recomienda que no se ingresen en los sistemas de inteligencia artificial datos que permitan la identificación directa o indirecta, como nombre, apellidos, dirección, número de teléfono e información de identidad; y que se utilicen descripciones anonimizadas y generalizadas siempre que sea posible.

¿El consentimiento explícito resuelve todos los problemas?

Un error común al utilizar la inteligencia artificial en el lugar de trabajo es creer que obtener el consentimiento explícito general de los empleados o clientes hará que todas las actividades de procesamiento de datos sean legales.

Sin embargo, consentimiento explícito;

• Debe estar relacionado con un tema específico
• Debe basarse en información
• Debe explicarse mediante el libre albedrío
• No debería convertirse en una condición obligatoria para otras transacciones.

Debido a la relación económica y jerárquica entre empleado y empleador, es necesario evaluar si el consentimiento del empleado se basa realmente en su libre albedrío. Una declaración general e ilimitada como «Todos sus datos laborales pueden ser procesados ​​por sistemas de inteligencia artificial» no constituye una garantía legal válida.

El empleador debe determinar primero si el tratamiento de datos se fundamenta en otro fundamento jurídico previsto en la ley. Se pueden evaluar, según las particularidades de cada caso, fundamentos como el cumplimiento de una obligación legal, la ejecución de un contrato, el establecimiento o la protección de un derecho, o el interés legítimo, siempre que no vulnere los derechos fundamentales. No obstante, independientemente del fundamento jurídico utilizado, se mantienen vigentes los principios de relación con la finalidad y de proporcionalidad.

Casos de uso de IA arriesgados en la vida empresarial cotidiana

1. Carga de currículums a inteligencia artificial

Cuando un empleado de recursos humanos sube los currículos de los candidatos a un sistema de inteligencia artificial, se procesa una cantidad considerable de datos personales, como identidad, información de contacto, fotografía, formación académica, historial laboral y referencias. El riesgo aumenta si el currículo contiene información más sensible, como discapacidad, estado de salud o antecedentes penales.

Eliminar candidatos basándose únicamente en puntuaciones de IA también puede dar lugar a discriminación y decisiones erróneas. Los sesgos previos en los datos educativos pueden provocar una subestimación sistemática de ciertos grupos de edad, género, escuela o región. La Guía del RGPD establece que los sistemas de IA pueden producir resultados erróneos e inconsistentes, reproducir sesgos en los datos educativos y que los procesos de toma de decisiones de algunos sistemas pueden ser opacos.

2. Grabación y resumen automáticos de las reuniones

La grabación de reuniones en línea mediante inteligencia artificial implica el procesamiento de las voces, imágenes y el contenido de las conversaciones de los empleados. Se debe informar a los participantes con antelación sobre la grabación y el análisis.

Los datos de voz no siempre constituyen datos biométricos. Sin embargo, pueden adquirir características biométricas si se procesan mediante métodos técnicos especiales con el fin de identificar o verificar de forma unívoca la identidad de una persona. El tratamiento de categorías especiales de datos personales también puede ser cuestionable si en la reunión se trata información sobre salud, actividades sindicales, investigaciones penales o vida privada.

3. Analizar las nóminas y las listas de personal

Los registros de nómina pueden contener información sobre salarios, datos bancarios, bonificaciones, deducciones, vacaciones y prestaciones sociales. Subir estos documentos a un sistema de IA de acceso público supone un grave riesgo para la seguridad de los datos. Si se requiere la detección de errores, la información debe anonimizarse, solo deben utilizarse sistemas cerrados aprobados por la institución y deben restringirse los permisos de acceso al sistema.

4. Creación de textos de marketing a partir de listas de clientes

Si un empleado sube una lista de clientes a una IA y le indica que "cree correos electrónicos de ventas para estas personas", esto podría provocar que los datos se utilicen para un fin distinto al previsto originalmente. El hecho de que la información del cliente se haya recopilado para prestar un servicio no significa que esos datos puedan utilizarse para cualquier tipo de análisis de IA o actividad de marketing.

5. Resumir el expediente del caso o el informe del paciente

Los expedientes clínicos, los historiales médicos y los documentos de consulta pueden contener no solo datos personales, sino también información protegida por secretos comerciales y confidencialidad entre cliente y paciente. Eliminar los nombres no siempre es suficiente. La fecha del incidente, el lugar de trabajo, el cargo, el tipo de enfermedad o la información inmobiliaria pueden permitir la identificación indirecta del individuo.

6. Cargar el código fuente a la inteligencia artificial

El código de software puede contener información de clientes, conexiones a bases de datos, claves API, contraseñas, vulnerabilidades de seguridad y secretos comerciales de la empresa. Si un empleado transfiere esta información a un sistema externo para el desarrollo de código, puede producirse una brecha de seguridad de datos y la divulgación de secretos comerciales.

El problema de la transferencia de datos personales al extranjero

Muchos proveedores de servicios de IA tienen su sede en el extranjero y pueden procesar datos en servidores ubicados en diferentes países. Si un empleado sube un archivo a un sistema de IA extranjero, según los términos y condiciones, esto podría implicar la transferencia de datos personales al extranjero.

Según el artículo 9 de la Ley n.º 6698, la transferencia de datos al extranjero debe basarse en uno de los siguientes motivos: una decisión de adecuación, garantías apropiadas o causas excepcionales de transferencia aplicables únicamente en casos fortuitos. Las garantías apropiadas incluyen los contratos tipo publicados por la Autoridad y otros métodos legales de transferencia. Con las modificaciones introducidas en 2024, se reestructuró el régimen de transferencia de datos al extranjero y las nuevas disposiciones entraron en vigor el 1 de junio de 2024.

Por lo tanto, el mero pago por parte del empleador de la aplicación de inteligencia artificial o la aceptación de sus términos de servicio no implica automáticamente que se cumplan las condiciones para la transferencia de datos al extranjero según la Ley de Protección de Datos Personales (KVKK). La empresa debe:

• en qué países se procesan los datos
• quiénes son los subcontratistas
• si las entradas se utilizaron en el entrenamiento del modelo,
• cuánto tiempo se almacenan los datos,
• cómo se atienden las solicitudes de eliminación,
• proceso de notificación de violación de datos

Es necesario revisarlo.

¿Puede un empleador prohibir el uso de la inteligencia artificial?

En el marco de sus facultades administrativas, los empleadores pueden establecer normas sobre el uso de los sistemas informáticos en el lugar de trabajo. Pueden prohibir por completo ciertas aplicaciones de inteligencia artificial por motivos de seguridad de datos, confidencialidad del cliente, protección de secretos comerciales u obligaciones del sector; o bien, solo pueden permitir el uso de herramientas corporativas aprobadas.

Sin embargo, la prohibición o restricción impuesta;

• Debe basarse en un propósito objetivo,
• Esto debe comunicarse a los empleados de forma clara y con antelación
• Debe estar relacionado con la naturaleza del trabajo
• Debe aplicarse con moderación
• Debe aplicarse por igual a los empleados en situaciones similares.

Por ejemplo, que un hospital prohíba subir información de pacientes a sistemas de IA de acceso público podría estar justificado y ser necesario desde la perspectiva de la seguridad de los datos. Sin embargo, monitorear secretamente todas las actividades digitales de los empleados sin ninguna explicación no sería legalmente permisible.

¿Puede un empleador supervisar el uso que hace un empleado de la inteligencia artificial?

Un empleador puede tener un interés legítimo en garantizar la seguridad de la información, proteger los secretos de la empresa y supervisar el uso adecuado de los sistemas corporativos. Sin embargo, esta autoridad no es ilimitada.

La decisión n.º 2023/86 del Comité de Protección de Datos Personales reconoce que los empleadores pueden supervisar los correos electrónicos corporativos en determinadas circunstancias para proteger los secretos comerciales y las herramientas de comunicación de la empresa. No obstante, establece que la supervisión debe limitarse principalmente al tráfico de comunicaciones y a la actividad sospechosa; la revisión del contenido solo debe realizarse cuando sea necesario. Es fundamental que la supervisión se limite al personal pertinente y a fines específicos.

En su decisión número 2021/1187, la Junta dictaminó que acceder a las cuentas de correo electrónico corporativas sin informar a los empleados era ilegal. La decisión hizo hincapié en que es necesaria la notificación previa al empleado, la intervención debe basarse en un propósito legítimo, no debe existir un método menos intrusivo, el control debe limitarse al propósito y debe lograrse un equilibrio justo entre los intereses del empleado y del empleador.

Estos principios también se aplican al monitoreo del uso de la inteligencia artificial. Si un empleador quiere monitorear qué sitios web de IA visitan los empleados o qué archivos suben;

• El propósito de la auditoría es:
• alcance,
• método,
• qué datos se registrarán,
• tiempo de almacenamiento,
• quién puede acceder a él,
• Cómo utilizar los resultados de la auditoría

Los empleados deben ser informados de esto con antelación.

¿Podría el uso de inteligencia artificial ser motivo de despido?

El uso de inteligencia artificial por parte de un empleado no constituye, por sí solo, motivo suficiente para un despido justificado. Al evaluar un despido, deben considerarse todas las circunstancias específicas del caso.

Especialmente;

• si existe una política clara de inteligencia artificial en el lugar de trabajo,
• si el empleado fue informado con anticipación,
• la naturaleza de los datos cargados,
• ya sea que existan datos de clientes o empleados,
• si se ha revelado o no un secreto comercial,
• ya sea que se haya producido un daño real o potencial,
• intención o negligencia del empleado,
• ya sea que la infracción se haya repetido o no,
• si se había dado una advertencia previamente,
• cómo se comportó el empleador en situaciones similares

Debe ser evaluado.

Por ejemplo, si no se ha impartido formación en seguridad de datos, no se han demostrado las herramientas aprobadas y no se ha establecido explícitamente la prohibición, aplicar un despido inmediato por motivos justificados ante la primera infracción podría considerarse desproporcionado. Por el contrario, si un empleado carga la identidad y los datos financieros de miles de clientes en un sistema externo a pesar de una prohibición clara, o divulga a sabiendas secretos de la empresa, podrían considerarse sanciones disciplinarias más severas.

Además, el empleador debe obtener legalmente las pruebas digitales que justifiquen el despido. El uso de datos obtenidos mediante vigilancia ilegal y encubierta podría constituir una violación de la privacidad y, por ende, una filtración de datos personales.

Evaluación del desempeño de los empleados con inteligencia artificial

Cada vez es más común que los sistemas de inteligencia artificial creen puntuaciones de rendimiento para los empleados analizando su tráfico de correo electrónico, el tiempo de finalización de tareas, el tiempo en línea, el volumen de ventas, las interacciones con los clientes o la actividad del teclado.

Sin embargo, evaluar el desempeño de los empleados únicamente a través de sistemas automatizados conlleva riesgos legales significativos. El sistema;

• Puede utilizar datos incompletos o incorrectos
• La discapacidad puede verse afectada indirectamente por factores como la edad, el género o las circunstancias familiares
• Puede que solo tenga en cuenta las actividades cuantificables, no la calidad del trabajo
• Es posible que no puedan explicar el motivo de la decisión.

Por lo tanto, los resultados de la IA por sí solos no deben ser el único factor determinante para las decisiones sobre salario, ascenso, medidas disciplinarias o despido. Una evaluación genuina y efectiva debe ser realizada por un ser humano; el empleado debe ser informado de los fundamentos de la decisión y tener la posibilidad de oponerse a los datos erróneos. El artículo 11 de la Ley de Protección de Datos Personales también otorga a las personas el derecho a oponerse a un resultado que les sea perjudicial, obtenido únicamente mediante análisis de sistemas automatizados.

Responsabilidades del empleador en materia de seguridad de datos

Según el artículo 12 de la Ley nº 6698, el responsable del tratamiento de datos es:

• para prevenir el procesamiento ilícito de datos personales,
• para prevenir el acceso ilícito a datos personales,
• para garantizar la protección de datos personales

El empleador deberá adoptar las medidas técnicas y administrativas necesarias para tal fin. Si el empleador trabaja con un proveedor de servicios de inteligencia artificial que procesa datos en su nombre, también podrá compartir con dicho proveedor la responsabilidad en materia de seguridad.

Para establecer un sistema de inteligencia artificial seguro en el lugar de trabajo, se deben tomar al menos las siguientes medidas:

1. Deben definirse claramente los tipos de herramientas de inteligencia artificial permitidas y prohibidas.
2. Se debe realizar una clasificación de datos para clientes, empleados, pacientes, usuarios y datos financieros.
3. En lugar de cuentas personales de acceso público, se deben utilizar cuentas corporativas.
4. Deben priorizarse las opciones institucionales que impidan el uso de datos en el entrenamiento de modelos.
5. Los datos personales deben ser anonimizados antes de ser introducidos en el sistema.
6. Los permisos de acceso deben limitarse a la tarea en cuestión y debe utilizarse la autenticación multifactor.
7. Las actividades de carga de archivos y exportación de datos deben registrarse meticulosamente.
8. Los resultados de la inteligencia artificial deben ser validados por humanos.
9. Se debe establecer un procedimiento de notificación de violaciones de seguridad para casos de resultados defectuosos, fugas de datos o cargas incorrectas.
10. Los empleados deben recibir formación periódica sobre inteligencia artificial y el RGPD.

¿Cómo debería elaborarse una política de empresa para el uso de la inteligencia artificial?

A menudo, no basta con que un empleador publique un anuncio de una sola frase que diga: "Se prohíbe el uso de inteligencia artificial". Una política eficaz sobre el uso de la IA debe regular claramente lo siguiente:

Áreas de uso libre

Se pueden identificar tareas de bajo riesgo, como corregir textos generales que no contengan datos personales ni secretos de la empresa, generar ideas, resumir información disponible públicamente y preparar plantillas de ejemplo.

Las zonas de uso están sujetas a autorización

Actividades como el análisis de datos anonimizados de clientes, el desarrollo de código, la elaboración de resúmenes de reuniones y los procesos de recursos humanos pueden requerir la autorización del responsable de la unidad o del responsable de protección de datos.

Datos prohibidos

Está expresamente prohibido cargar números de identificación, información de salud, datos biométricos, información bancaria, contraseñas, listas de clientes, nóminas, expedientes, historiales de pacientes, secretos comerciales, código fuente y contratos confidenciales en sistemas no autorizados.

Control humano

Deben establecerse normativas para impedir el uso de opiniones legales, cálculos financieros, puntuaciones de rendimiento, recomendaciones de contratación o respuestas de clientes generadas por IA sin la verificación de una persona autorizada.

Notificación de violación de seguridad

Si un empleado sube accidentalmente datos personales, debe informarlo inmediatamente al departamento de seguridad informática o al departamento legal, en lugar de ocultarlo. La notificación temprana es fundamental para la eliminación de datos y para minimizar los daños.

Conclusión

Las limitaciones legales al uso de la inteligencia artificial en el lugar de trabajo no se centran tanto en si se utiliza o no la tecnología, sino más bien en qué datos se utilizan, con qué propósito y bajo qué condiciones de seguridad.

Si un empleador no controla en absoluto el uso de inteligencia artificial, podría transferir sin control datos de clientes, información de empleados y secretos comerciales a sistemas externos. Por otro lado, la monitorización continua y secreta de los empleados sin previo aviso también podría constituir una violación de la ley en materia de protección de datos personales, privacidad y libertad de comunicación.

Los principios fundamentales de un sistema de IA legal en el lugar de trabajo son los siguientes:

• Un propósito de uso claro y legítimo,
• Una condición válida para el tratamiento de datos personales,
• Utilizando una cantidad mínima de datos,
• Informar a los empleados y a las partes pertinentes,
• Cumplimiento de los términos y condiciones para la transferencia de fondos al extranjero,
• Adoptar medidas de seguridad técnicas y administrativas,
• Supervisión humana de los resultados de la inteligencia artificial,
• Capacitar a los empleados con una política clara y comprensible.

Un solo comando introducido en una aplicación de IA puede parecer un proceso que dura solo unos segundos. Sin embargo, si ese comando contiene nombres de clientes, informes médicos, registros de nómina, documentos judiciales o secretos de la empresa, ese proceso de pocos segundos puede convertirse en una infracción a largo plazo del RGPD, la pérdida de secretos comerciales y graves responsabilidades legales para el empleador. Por lo tanto, la regla fundamental en el lugar de trabajo no debería ser "No uses IA", sino más bien " .