Actualitat

IA generativa a l’empresa sense filtrar dades: política mínima

Com fer servir la IA generativa a l’empresa sense filtrar dades: què no s’hi introdueix, eines i comptes autoritzats, revisió i registre, amb text base.

Publicat el Per BDR Group8 min de lectura

Una política mínima d’IA generativa cap en una pàgina: quines dades no s’hi introdueixen mai, quines eines són autoritzades i amb quin compte, qui revisa el resultat, què es registra i què es fa si s’ha filtrat alguna cosa. Es treballa dins la Llei 29/2021 a Andorra i dins el RGPD a Catalunya i Espanya.

Quines dades no s’han d’introduir mai

La regla és simple: res d’això va a una eina que no consti a la llista d’autoritzades.

  • Dades personals de clients, pacients, empleats o candidats: noms, documents d’identitat, adreces, correus, historials.
  • Dades de categories especials: salut, afiliació sindical, conviccions, vida sexual, dades genètiques o biomètriques. La Llei 29/2021 en prohibeix el tractament llevat dels supòsits que preveu (article 9).
  • Contractes, ofertes, informació financera i qualsevol document amb una clàusula de confidencialitat.
  • Contrasenyes, claus d’accés, certificats i configuracions de xarxa.
  • Codi font propi o de clients.

El motiu legal és doble. Les dades personals s’han de limitar al que és necessari (article 5.2.c de la Llei 29/2021), i un proveïdor que les tracta per compte de l’empresa és un encarregat: exigeix contracte escrit (article 31 de la Llei 29/2021; article 28 del RGPD) i, si el servei és fora d’Andorra i de la UE, el règim de transferències (articles 42 a 44).

Eines autoritzades: com entra una eina a la llista

Abans d’autoritzar-ne una, demana per escrit cinc coses al proveïdor: si fa servir les dades per entrenar o millorar el servei, quin tractament fa de les metadades i dels registres, on s’emmagatzemen les dades i durant quant de temps, si existeix una modalitat d’empresa administrada per tu i si el contracte inclou una clàusula de no reutilització i un contracte d’encarregat.

L’Agència Espanyola de Protecció de Dades (AEPD) va publicar el novembre de 2025 la seva política interna per a la IA generativa i el gener de 2026 un resum d’obligacions i recomanacions. Està pensat per als processos de la pròpia AEPD, no per a empreses, però recull els mateixos punts: avaluar abans de contractar l’ús de dades per a entrenament, les metadades, la ubicació i la retenció; contractar en modalitat d’empresa amb clàusules de no reutilització; i evitar que s’introdueixin dades personals o confidencials en sistemes no autoritzats explícitament. A la data de consulta no hem localitzat cap guia de l’Agència Andorrana de Protecció de Dades (APDA) específica sobre IA generativa per a empreses.

Compte d’empresa o compte personal

El compte d’empresa és el que permet signar un contracte, administrar usuaris, desactivar les opcions de compartir o entrenar si el proveïdor les ofereix i retirar l’accés quan una persona se’n va. El compte personal, no: les condicions són les de qui l’ha creat, l’empresa no les pot auditar i la informació queda en un espai que no controla. Per això la política hauria de dir que no s’utilitzen comptes personals per a feina. Les condicions canvien segons el pla: demana-les per escrit.

A Catalunya i a la resta d’Espanya, l’empresa ha de fixar criteris d’ús dels dispositius digitals amb la participació dels representants dels treballadors i informar-ne l’equip (article 87.3 de la Llei orgànica 3/2018). A Andorra, l’APDA recomana lliurar a cada treballador els procediments interns i fer-li formació.

Revisió humana i decisions sobre persones

Un model de llenguatge calcula quina paraula té més probabilitat de venir després d’una altra; no sap què és cert, com recordava l’APDA en un article de novembre de 2025. Per això el resultat és un esborrany que revisa una persona: xifres, cites i referències legals es comproven abans d’usar-les.

Hi ha un límit més estricte: una persona té dret a no ser objecte d’una decisió basada únicament en un tractament automatitzat que produeixi efectes jurídics o l’afecti significativament (article 25 de la Llei 29/2021; article 22 del RGPD). Cap selecció de personal, crèdit o sanció no hauria de dependre només d’una eina. A més, el Reglament europeu d’IA, en la redacció del 2026, demana als qui fan servir sistemes d’IA que adoptin mesures per fomentar l’alfabetització en IA del seu personal, sense exigir un nivell concret (article 4).

Registre i incidents

Mantén una llista de les eines autoritzades amb propietari, finalitat, tipus de dades permeses, data d’aprovació i contracte. Si una eina tracta dades personals, hauria de constar al registre d’activitats de tractament (article 34 de la Llei 29/2021), que l’APDA recomana mantenir internament.

Si algú ha enganxat dades que no tocava, ha d’avisar de seguida la persona responsable. Si hi ha dades personals i la violació pot suposar un risc per als drets i les llibertats de les persones, s’ha de notificar a l’APDA sense dilació indeguda i, si és possible, en un màxim de 72 hores (article 36 de la Llei 29/2021; article 33 del RGPD).

Text base de la política

Adapta aquest text a la teva empresa:

  1. Només es fan servir les eines de la llista d’autoritzades, amb el compte d’empresa.
  2. No s’hi introdueixen dades personals, dades de categories especials, contractes, informació confidencial de l’empresa o de tercers, claus ni contrasenyes, llevat que la llista digui que una eina ho permet.
  3. El resultat és un esborrany: qui el fa servir el revisa i en respon.
  4. Cap decisió sobre persones es pren només amb el resultat d’una eina.
  5. Els usos nous s’aproven abans amb [responsable].
  6. Si s’ha introduït una dada que no tocava, s’avisa de seguida [responsable].
  7. L’empresa manté un registre de les eines i dels usos autoritzats i revisa la política cada sis mesos.

Una alternativa privada

Tenim interès en aquest tema: MIA és un assistent d’IA corporatiu privat i és un producte de BDR Group. Segons el web del producte, les dades de l’empresa no entrenen models públics, l’accés es defineix per equip, rol o àrea, hi ha traçabilitat i es pot desplegar en cloud privat, entorn dedicat o on-premise. Pot ser l’eina autoritzada de la llista, però no substitueix la política: les regles d’ús, la revisió humana i el registre continuen sent necessaris.

Què fer ara

  1. Pregunta a l’equip quines eines fa servir i amb quina informació.
  2. Fes la llista d’eines autoritzades, amb el contracte d’encarregat revisat.
  3. Adapta el text base, informa’n tothom i fes una sessió breu de formació.
  4. Decideix qui aprova usos nous i qui rep els avisos d’incidents.
  5. Revisa la política cada sis mesos i cada cop que canviï una eina.

Preguntes freqüents

Cal prohibir totes les eines gratuïtes?

No cal prohibir-ho tot, però no s’hi han d’introduir dades de l’empresa. Prohibir sense alternativa rarament funciona; millor una eina autoritzada i unes normes clares.

Quant temps hi ha per notificar una filtració de dades personals?

Sense dilació indeguda i, si és possible, en 72 hores des que se’n té constància, tret que sigui improbable que suposi un risc per a les persones.

A Catalunya, he de consultar els representants dels treballadors?

L’article 87.3 de la Llei orgànica 3/2018 diu que els criteris d’ús dels dispositius digitals s’elaboren amb la participació dels representants dels treballadors i que els treballadors n’han de ser informats.

Fonts

Vols una IA privada amb la documentació de la teva empresa?

Si vols veure com pot funcionar un assistent privat amb els teus documents, consulta la fitxa: MIA, l’assistent d’IA corporatiu privat. El detall del producte és a mia360.ad.

Torna a Actualitat

Actualitat

Altres articles