La Evaluación de Impacto en la Protección de Datos (DPIA) es un análisis formal y documentado que las administraciones públicas deben realizar antes de implantar un chatbot de IA que trate datos personales de ciudadanos. No es un trámite opcional: el artículo 35 del RGPD la exige cuando el tratamiento implica un "alto riesgo" para los derechos y libertades de las personas físicas. Un chatbot que gestiona consultas sobre prestaciones, empadronamiento, expedientes tributarios o servicios sociales cumple ese umbral casi sin excepción.
Esta guía detalla cuándo es obligatoria, cómo ejecutarla siguiendo las directrices de la AEPD, y qué exigir al proveedor antes de empezar.
¿Cuándo es obligatoria la DPIA para un chatbot?
El RGPD no obliga a realizar una DPIA en todos los casos, pero sí cuando concurre al menos uno de los criterios del artículo 35.3 o de los nueve criterios del Grupo de Trabajo del Artículo 29 (hoy Comité Europeo de Protección de Datos). La AEPD ha publicado una lista de tratamientos que requieren DPIA: los sistemas de IA que interactúan directamente con ciudadanos y acceden a datos vinculados a servicios públicos están incluidos de forma explícita.
Los criterios que disparan la obligación en el contexto de un chatbot público son:
- Evaluación o puntuación de personas — si el chatbot analiza el perfil del ciudadano para derivar solicitudes o personalizar respuestas.
- Toma de decisiones automatizada con efecto jurídico o significativo — derivar un expediente, denegar información o escalar una queja puede tener ese efecto.
- Vigilancia sistemática — registrar conversaciones de ciudadanos sobre asuntos con la administración cuenta como monitorización de comportamiento.
- Datos sensibles o de naturaleza muy personal — si el chatbot accede a datos de salud, situación social, menores o procedimientos sancionadores.
- Tratamiento a gran escala — cualquier administración con acceso a padrones o bases de datos centrales supera este umbral.
- Uso de tecnologías innovadoras — la AEPD y el CEPD consideran los modelos de lenguaje de gran escala (LLM) como tecnología innovadora que activa este criterio por sí solo.
Además, el Reglamento de IA Europeo (AI Act) clasifica los sistemas de IA que toman decisiones o asisten a decisiones en el ámbito de la administración de prestaciones públicas, gestión de la migración o aplicación de la ley como sistemas de alto riesgo (Anexo III). Para estos sistemas, la documentación técnica y la evaluación de conformidad del AI Act se solapan funcionalmente con la DPIA del RGPD: conviene realizarlas de forma coordinada para no duplicar trabajo.
Los 7 pasos de la DPIA según la AEPD
La Agencia Española de Protección de Datos ha publicado la "Guía práctica para las evaluaciones de impacto en la protección de los datos sujetas al RGPD" (actualización 2023), que estructura la DPIA en siete fases. Esta es la secuencia que debe seguir cualquier administración:
Paso 1 — Descripción del tratamiento
Documentar con precisión qué datos se tratan, con qué finalidad, quién los trata, durante cuánto tiempo y cómo se transfieren. Para un chatbot, esto incluye:
- Categorías de datos que el sistema procesa (nombre, NIF, datos de expedientes, historial de consultas).
- Flujos de datos: desde el ciudadano hacia el chatbot, desde el chatbot hacia los sistemas de backoffice, desde los sistemas de backoffice hacia el proveedor del chatbot (si los hay).
- Ubicación del procesamiento: si el modelo de lenguaje se ejecuta en servidores del proveedor, en la nube pública o en infraestructura propia.
- Plazo de retención de los logs de conversación.
- Identificación del responsable del tratamiento (la administración) y del encargado (el proveedor).
Paso 2 — Evaluación de necesidad y proporcionalidad
Demostrar que el tratamiento es necesario para la finalidad declarada y que no existe una alternativa menos intrusiva con igual eficacia. Aquí se analiza la base jurídica del tratamiento. Para las administraciones públicas, la base habitual es el artículo 6.1.e del RGPD (interés público o ejercicio de poderes públicos), complementado con la Ley 40/2015 o la normativa sectorial correspondiente.
Se deben documentar también las garantías aplicadas: seudonimización de logs, limitación de acceso por roles, políticas de retención mínima.
Paso 3 — Evaluación de riesgos para derechos y libertades
Este paso es el núcleo analítico de la DPIA. Se identifican las amenazas (acceso no autorizado, uso indebido de datos, sesgos en las respuestas), se evalúa la probabilidad e impacto de cada riesgo, y se determina el nivel de riesgo residual. La AEPD recomienda usar una escala de probabilidad e impacto de tres niveles (bajo, medio, alto) y documentar cada combinación.
Para chatbots de IA, los riesgos prioritarios son los descritos en la sección siguiente.
Paso 4 — Medidas para afrontar los riesgos
Por cada riesgo identificado, se definen medidas de mitigación concretas, asignando responsable y plazo de implementación. Las medidas pueden ser técnicas (cifrado en tránsito y en reposo, auditoría de accesos, anonimización de logs tras N días) u organizativas (formación del personal, procedimientos de respuesta a incidentes, cláusulas contractuales con el proveedor).
Se debe verificar el riesgo residual tras aplicar las medidas: si sigue siendo alto, es obligatorio consultar previamente a la AEPD antes de iniciar el tratamiento.
Paso 5 — Consulta previa a la AEPD (si aplica)
El artículo 36 del RGPD obliga a consultar a la autoridad de control cuando el riesgo residual siga siendo alto tras las medidas adoptadas. En la práctica, esto ocurre cuando el chatbot accede a datos de salud, datos sobre menores, o cuando el tratamiento tiene un potencial efecto discriminatorio derivado del modelo de IA. La AEPD dispone de un procedimiento específico de consulta previa con plazo de respuesta de ocho semanas, ampliable a dieciséis en casos complejos.
Paso 6 — Aprobación del Delegado de Protección de Datos
Las administraciones públicas están obligadas a designar un DPD (artículo 37.1.a del RGPD). El DPD debe ser consultado en el proceso de elaboración de la DPIA y su dictamen debe quedar documentado. Si el DPD plantea objeciones, la administración puede no seguirlas, pero debe documentar los motivos por escrito.
Paso 7 — Revisión periódica
La DPIA no es un documento estático. Debe revisarse cuando cambie el sistema (nuevo proveedor, nueva versión del modelo, nuevas categorías de datos, nueva funcionalidad) o al menos cada tres años si no hay cambios. Conviene establecer un proceso de revisión formal vinculado al ciclo de vida del sistema.
Qué información necesitas recopilar antes de empezar
Antes de redactar la DPIA, la administración necesita respuestas precisas del proveedor del chatbot a las siguientes preguntas:
Sobre el modelo de IA:
- ¿Qué modelo o modelos de lenguaje utiliza el sistema?
- ¿El modelo fue entrenado con datos de la administración? ¿Con qué datos propios del proveedor fue entrenado?
- ¿Las conversaciones se usan para reentrenar el modelo? ¿Bajo qué condiciones?
- ¿Hay fine-tuning del modelo con datos del cliente?
Sobre la infraestructura:
- ¿Dónde se procesan los datos? ¿En qué región o país están los servidores?
- ¿Se utilizan subencargados del tratamiento? ¿Quiénes son?
- ¿Hay transferencias de datos fuera del Espacio Económico Europeo?
Sobre la seguridad y retención:
- ¿Cuánto tiempo se conservan los logs de conversación?
- ¿Qué medidas de cifrado aplican en tránsito y en reposo?
- ¿Cómo se gestiona el derecho de acceso, rectificación y supresión de los ciudadanos?
- ¿Dispone el proveedor de certificación ENS o ISO 27001?
Sin estas respuestas documentadas, no es posible completar los pasos 1 y 3 de la DPIA con rigor suficiente.
Riesgos específicos de los chatbots IA en AAPP
Los chatbots de IA presentan vectores de riesgo que los sistemas de información tradicionales no tenían, y que deben analizarse explícitamente en la DPIA:
Datos de entrenamiento y memorización. Los modelos de lenguaje de gran escala pueden memorizar fragmentos de sus datos de entrenamiento y reproducirlos en respuestas. Si el proveedor entrenó o ajustó su modelo con datos de otras administraciones o con datos que incluyen información personal, existe riesgo de fuga involuntaria de información.
Sesgo algorítmico. Un chatbot que clasifica solicitudes o deriva al ciudadano a diferentes servicios puede introducir sesgos sistemáticos si el modelo fue entrenado con datos que reflejan desigualdades previas. Este riesgo es especialmente relevante en servicios sociales, servicios de empleo o atención a colectivos vulnerables.
Transferencias internacionales. La mayoría de los modelos de lenguaje comerciales de gran escala son desarrollados por empresas estadounidenses y procesan datos en servidores fuera de la UE. Si el proveedor del chatbot usa uno de estos modelos como capa base (incluso si la interfaz está en Europa), puede haber una transferencia internacional de datos que requiere la base jurídica adecuada (Decisión de Adecuación, Cláusulas Contractuales Tipo o Normas Corporativas Vinculantes).
Acceso a expedientes y datos de backoffice. Cuando el chatbot se integra con el gestor de expedientes, el padrón municipal, la sede electrónica o el sistema tributario, el alcance del tratamiento se amplía considerablemente. Cualquier vulnerabilidad del chatbot se convierte en un vector de acceso a datos altamente sensibles.
Alucinaciones con consecuencias jurídicas. Los modelos de lenguaje pueden generar respuestas incorrectas con apariencia de veracidad. Si un ciudadano actúa basándose en información errónea proporcionada por el chatbot, pueden derivarse perjuicios concretos. La DPIA debe analizar este riesgo y documentar las medidas de supervisión humana.
Cláusulas contractuales que debes exigir al proveedor antes de la DPIA
El contrato con el proveedor del chatbot debe incluir las cláusulas del artículo 28 del RGPD relativas al encargado del tratamiento. Antes de firmar —y antes de iniciar la DPIA— asegúrate de que el contrato recoge:
- Prohibición expresa de usar los datos para entrenar modelos propios salvo autorización escrita del responsable.
- Lista completa de subencargados con posibilidad de auditoría y obligación del proveedor de notificar cualquier cambio con antelación suficiente.
- Localización de los datos: compromiso de procesamiento en la UE/EEE o, si no es posible, identificación de la base jurídica para la transferencia internacional.
- Plazo de retención de logs: los logs de conversación no deben conservarse más tiempo del estrictamente necesario para la prestación del servicio.
- Derecho de auditoría: la administración debe poder auditar el cumplimiento del encargado, ya sea directamente o a través de terceros.
- Notificación de brechas de seguridad en el plazo máximo de 72 horas desde que el proveedor tenga conocimiento del incidente.
- Supresión o devolución de datos al finalizar el contrato, con certificado de destrucción segura.
Si el proveedor se niega a incluir alguna de estas cláusulas o propone restricciones significativas, es una señal de alerta que debe constar en la DPIA.
Checklist rápido: ¿necesitas DPIA o no?
Responde sí o no a cada pregunta. Si contestas sí a dos o más, la DPIA es obligatoria:
- ¿El chatbot accede a datos personales de ciudadanos (nombre, NIF, datos de expedientes, historial)?
- ¿El sistema usa un modelo de lenguaje de gran escala (LLM) como GPT, Llama, Gemini o equivalente?
- ¿El chatbot se integra con sistemas de backoffice de la administración (padrón, sede electrónica, gestión tributaria, servicios sociales)?
- ¿Las conversaciones se registran en logs que identifican al ciudadano?
- ¿El sistema puede derivar o priorizar solicitudes de forma automatizada?
- ¿El proveedor procesa datos fuera de la UE/EEE?
- ¿El servicio se presta a colectivos vulnerables (menores, personas en situación de exclusión social, víctimas de violencia de género)?
- ¿El sistema accede a categorías especiales de datos (salud, origen étnico, datos penales)?
Si la respuesta a todas las preguntas es no, la DPIA puede no ser obligatoria, pero sigue siendo recomendable documentar el razonamiento por el que se descarta.
La DPIA no es burocracia: es la herramienta que permite a una administración pública demostrar, ante ciudadanos y ante la AEPD, que implantó el chatbot con rigor y responsabilidad. Realizarla antes de la puesta en marcha —no después— es lo que marca la diferencia entre cumplimiento real y cumplimiento formal.
Para más contexto normativo, consulta nuestra guía sobre el Reglamento IA Europeo para administraciones públicas y nuestra guía sobre ENS e IA en la administración.