Análisis de interés legítimo para tratamientos con IA

Cómo usar este documento

• Sirve para documentar, antes de empezar, si el interés legítimo puede servir como base legal para entrenar, ajustar o usar un sistema de IA con datos personales, aplicando la prueba en tres pasos: finalidad, necesidad y ponderación.
• Dueños sugeridos: el delegado de protección de datos (DPO) o la función de privacidad, con legal. El dueño del proyecto de IA y el equipo de datos aportan la descripción técnica y las medidas.
• Antes de adoptarla, la organización debe decidir quién firma el análisis, qué resultado obliga a buscar otra base legal y cómo se atenderá el derecho de oposición.
• Complete un análisis por tratamiento y por fase. Entrenar un modelo y usarlo en producción son fases distintas y pueden dar resultados distintos.
• Si el tratamiento incluye datos sensibles, el interés legítimo por sí solo no basta: revise la sección 7 antes de seguir.
• Si el análisis concluye que el interés legítimo no es válido, archívelo igualmente y documente la base alternativa o la decisión de no tratar.
• Conserve solo las variantes de los países donde se realiza el tratamiento y elimine las demás.
• Pida a legal interno o a un asesor externo que revise el análisis, sobre todo la ponderación y las medidas de mitigación, y que el DPO emita su opinión por escrito.
• Apruebe el análisis con la firma de una persona con autoridad sobre el tratamiento, consérvelo con control de versiones y vincúlelo al registro de actividades de tratamiento y, si la hay, a la evaluación de impacto.

Análisis de interés legítimo para tratamientos con IA

Campo	Contenido
Organización	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Tratamiento analizado	[COMPLETAR]
Sistema de IA	[SISTEMA DE IA]
Fase	Desarrollo (entrenamiento o ajuste) / Despliegue (uso en producción) / Ambas
Proveedor del modelo o servicio	[PROVEEDOR]
Dueño del tratamiento	[RESPONSABLE]
Área	[ÁREA RESPONSABLE]
Países	[PAÍS]
Referencia en el registro de actividades	[COMPLETAR]
Evaluación de impacto vinculada	[COMPLETAR] / No aplica
Versión y fecha	[COMPLETAR] / [FECHA]
Contacto de privacidad	[EMAIL DE PRIVACIDAD]

1. Objeto y alcance

1.1. [NOMBRE DE LA ORGANIZACIÓN] realiza este análisis para decidir, y dejar constancia, de si su interés legítimo, o el de un tercero, permite tratar datos personales en el tratamiento descrito sin que prevalezcan los intereses, derechos y libertades de las personas afectadas.

1.2. El análisis se completa antes de iniciar el tratamiento y se revisa cuando cambian la finalidad, los datos, las fuentes, el modelo o el contexto de uso.

1.3. Cada fase del ciclo de vida del sistema de IA se analiza por separado cuando sus características difieren: obtención de datos, entrenamiento o ajuste, evaluación, despliegue y mejora continua con datos de uso.

2. Descripción del tratamiento

Elemento	Descripción
Finalidad concreta	[COMPLETAR: por ejemplo, "entrenar un modelo que detecta transacciones fraudulentas en pagos con tarjeta"]
Funciones del sistema de IA	[COMPLETAR]
Categorías de datos personales	[COMPLETAR]
Fuentes de los datos	Aportados por las personas / Generados por la relación / Obtenidos de terceros / Extraídos de fuentes públicas en internet / Otros: [COMPLETAR]
Personas afectadas	Clientes / Personas usuarias / Personal / Candidatos / Público en general / Otros: [COMPLETAR]
¿Hay menores o personas vulnerables?	Sí / No / No se puede descartar
Volumen aproximado	[COMPLETAR: personas y registros]
Conservación	[COMPLETAR]
Destinatarios y proveedores	[COMPLETAR]
Transferencias internacionales	Sí / No. Expediente: [COMPLETAR]
¿El modelo resultante puede contener datos personales?	Sí / No / Pendiente de comprobar (ver sección 6)