L'Elena porta la seva correduria d'assegurances des d'una habitació lliure de casa seva. Són les nou del vespre i fa servir un assistent d'IA per redactar tres pressupostos d'assegurança de cotxe abans d'anar a dormir. Hi escriu la data de naixement d'un conductor, una frase sobre un cop que un client li va comentar per telèfon, i un número de DNI per comprovar el seu historial de sinistres. Llavors s'atura. Pot fer això?
No és l'única que s'ho pregunta. Una enquesta recent de Zapier va trobar que el 76% dels propietaris de petits negocis ja automatitzen alguna part de la seva feina, des d'eines senzilles basades en regles fins a IA que actua amb molt poca intervenció humana. La mateixa enquesta va trobar que la majoria no té cap norma escrita sobre què significa això per a les dades dels seus clients que hi passen. L'adopció ha anat més ràpida que escriure res.
La norma que ja tens
Aquesta és la part que es perd en la conversa sobre IA: no hi ha cap llei diferent per "escriure coses en un chatbot." Si operes a la UE, el RGPD ja et diu què fer amb la data de naixement, el DNI o una dada de salut d'un client, i ho diu des del 2018, tant si ho guardes en un full de càlcul, en paper o en una eina d'IA. Escriure les dades d'un client en un assistent d'IA és tractar dades personals, en el mateix sentit legal que enganxar-les a l'Excel. La pregunta mai va ser "es pot fer servir IA?" És "estic fent el que ja havia de fer, amb una eina nova?"
El que va dir realment el regulador espanyol sobre els agents
Al febrer del 2026, l'AEPD, l'agència espanyola de protecció de dades, va publicar una guia específica sobre la IA "agèntica": la IA que actua pel seu compte, envia un missatge, actualitza un registre, redacta un document, en lloc de limitar-se a respondre una pregunta. Enmig del llenguatge tècnic hi ha una prova realment útil, propera al que alguns anomenen la "regla de dos." Hi ha tres coses que fan arriscat un agent d'IA: que toqui dades sensibles, que actuï sol sense que ningú ho revisi abans, i que tracti la informació d'una manera que no puguis veure ni reconstruir després. Una d'aquestes tres, per si sola, és normal. Dues alhora és la combinació que preocupa el regulador.
Aplicant-ho a l'Elena: la seva eina de pressupostos sí que toca dades sensibles, el DNI, el detall del cop. Però ella continua llegint i enviant cada pressupost en persona. Una casella marcada, no dues. Està bé. Si activés l'enviament automàtic perquè els pressupostos sortissin sense que ella els mirés, aquesta seria la segona casella, i aleshores sí que entraria en la combinació que preocupa la guia.
Ja tens la major part del paperam
Aquesta és la part tranquil·litzadora. Si tractes dades de clients a la UE, des del 2018 estàs obligada a mantenir un Registre d'Activitats de Tractament, un document que anomena quines dades personals tractes i per què. La majoria dels petits negocis que es van donar d'alta correctament ja en tenen un, encara que sigui una pàgina que ningú ha obert en un any. El buit real no és la manca d'un marc nou. És una línia que falta: aquest registre anomena les eines d'IA que ara toquen aquestes dades? Si no, aquesta és l'actualització real que cal fer, no un document nou des de zero.
També val la pena saber qui respon. Un proveïdor d'IA amb un contracte d'encàrrec de tractament en regla actua com el teu encarregat, fa la feina seguint les teves instruccions. Tu continues sent la responsable del tractament. Aquesta responsabilitat no passa a l'eina només perquè sigui ella qui escriu.
L'única pàgina que necessites
No cal cap departament de compliment per a això. Calen cinc línies, escrites aquesta mateixa nit.
- Quines eines estan realment aprovades. No "IA" en general, les aplicacions concretes que tu o qui treballi amb tu podeu fer servir per a la feina amb clients.
- Què no hi ha d'entrar mai. Números de DNI complets, dades de salut, qualsevol cosa que t'hagin explicat en confiança, tret que hi hagi una raó real i hagis pensat si és necessària.
- Qui respon si alguna cosa surt malament. En un negoci d'una sola persona, ets tu. Escriu-ho igualment; una norma sense nom tendeix a ignorar-se.
- On revisa una persona abans que alguna cosa surti. Per a la majoria dels petits negocis, ara mateix, la resposta honesta és tot.
- Una línia al teu paperam del RGPD que anomeni l'eina. Si no saps on és aquest document, aquesta és la tasca real d'aquesta setmana, no la política de cinc línies.
Els límits, amb honestedat
Això no és assessorament legal, i una política d'una pàgina no ho cobreix tot. Les dades de salut, la informació sobre menors i qualsevol dada biomètrica porten normes addicionals que mereixen una conversa real amb una assessoria, no una entrada de blog. I la "supervisió humana significativa" que demana l'AEPD, per a un agent realment autònom amb memòria que arriba a diversos dels teus sistemes, és un projecte més gran que cinc línies: límits d'accés, registres d'activitat, mantenir separat el que pot tocar la dada d'un client i la d'un altre. Això és feina de debò, que val la pena fer bé quan arribi el moment, no simular amb una llista. La guia en si només té uns mesos; encara ningú ha passat una inspecció de petit negoci sota aquesta guia, així que tracta això com avançar-te mentre és senzill, no com una casella marcada per sempre.
Ja vam escriure sobre què passa realment amb les dades dels teus clients que escrius en una eina d'IA, que val la pena llegir juntament amb això si encara no ho has fet: aquell article cobreix cap on van les dades, aquest cobreix qui en respon.
La tasca d'aquesta nit: escriu les cinc línies. Després busca el teu Registre d'Activitats de Tractament i afegeix-ne una que anomeni l'eina que fas servir més. Quinze minuts, i sabràs exactament on ets en lloc d'endevinar-ho a les nou del vespre.