Anexo de IA del registro de actividades de tratamiento

Cómo usar este documento

• Sirve para añadir al registro de actividades de tratamiento la información específica de las actividades en las que interviene un sistema de IA: finalidad, datos, modelo y proveedor, lógica, decisiones automatizadas, transferencias, conservación y vínculo con la evaluación de impacto.
• Suele ser dueño el DPO o la función de privacidad, con el área de gobierno de IA y TI como fuentes de la información técnica.
• Antes de adoptarlo, la organización debe decidir si el anexo vive dentro de su herramienta de registro actual o como hoja aparte, y quién lo actualiza cuando cambia un sistema.
• Complete una ficha (sección 3) por cada actividad de tratamiento con IA, y una fila por ficha en la vista resumida (sección 6).
• Conserve las variantes por país donde trata datos y elimine el resto. Algunas añaden campos o registros ante la autoridad.
• Pida al DPO o a su asesor que revise las primeras fichas, sobre todo la base jurídica, la descripción de la lógica y las transferencias.
• Apruebe el formato, comuníquelo a los dueños de los sistemas e intégrelo en el proceso de alta y cambio de sistemas de IA.

Anexo de IA del registro de actividades de tratamiento

1. Objeto y relación con el registro principal

1.1. Este anexo completa el registro de actividades de tratamiento de [RAZÓN SOCIAL] con la información propia de las actividades en las que interviene un sistema de inteligencia artificial.

1.2. Cada ficha del anexo se vincula a una actividad del registro principal mediante su referencia. Los datos generales que ya figuran en el registro principal no se repiten, salvo que la IA los cambie.

1.3. El anexo se mantiene por escrito, en formato electrónico, y se pone a disposición de la autoridad de protección de datos cuando la solicite.

2. Cuándo se crea o actualiza una ficha

2.1. Se crea una ficha antes de que un sistema de IA empiece a tratar datos personales, incluidos los pilotos con datos reales y las funciones de IA incorporadas a herramientas ya existentes.

2.2. Se actualiza antes de que surta efecto cualquiera de estos cambios: nueva finalidad, nuevos datos o categorías de personas, cambio de modelo o de proveedor, nuevas transferencias, paso de uso asistido a decisión automatizada, o cambio de plazos de conservación.

2.3. Se marca como dada de baja, sin borrarla, cuando el sistema se retira, indicando la fecha y el destino de los datos.