Automatizar con IA sin ordenar la privacidad es construir sobre una deuda que cobra con intereses: una filtración, una multa o un cliente que se va. Esta checklist es lo mínimo que una pyme debe tener resuelto antes de conectar agentes a datos reales. No reemplaza asesoría legal; ordena la casa para que el abogado trabaje sobre algo concreto.
1. Inventario: qué datos tocan tus flujos
Lista por cada flujo: qué datos entran (clientes, empleados, proveedores), dónde se guardan (qué apps, qué países), quién los ve (personas y sistemas) y cuánto tiempo se conservan. Sin este mapa, toda decisión de privacidad es adivinanza. Una tarde alcanza para los primeros cinco flujos.
2. Minimiza y anonimiza
El dato que no entra no se filtra. Para pruebas usa datos sintéticos o anonimizados siempre. En producción, recorta campos: si el flujo clasifica consultas, no necesita DNI ni historial completo. Revisa los prompts guardados: suelen acumular ejemplos reales que nadie limpió.
3. Permisos por conexión
Cada integración con tus herramientas es un permiso. Aplica lo mismo que con personas: mínimo acceso necesario, solo lectura primero, escritura habilitada acción por acción. Revisa qué retiene cada proveedor de IA (entrenamiento con tus datos, logs, subprocesadores) en su documentación actual, no en lo que crees recordar.
4. Contratos y consentimiento
Con proveedores: qué procesan, dónde, por cuánto, quién accede, cómo se elimina. Con clientes: avisa cuando una IA atiende o decide sobre ellos, y respeta su derecho a hablar con humano. Guarda evidencia de ambas cosas: el consentimiento que no se puede probar no protege.
5. Plan de respuesta escrito
Una página basta: quién decide, cómo se contiene (cortar accesos, revocar claves), a quién se notifica y en qué plazos según tu normativa, y cómo se documenta. Ensáyalo una vez con un caso ficticio. El plan que nunca se probó es un deseo, no un plan.
Por dónde empezar esta semana
Elige tu flujo con más datos sensibles y pásale los puntos 1 a 3. Después agenda la revisión legal del punto 4 con el inventario en mano: al abogado le ahorras horas y a ti te ahorras honorarios. La guía de agentes y la de MCP para negocios ponen los límites técnicos que acompañan esta checklist.