La IA de búsqueda y el RGPD no son incompatibles, siempre que se planteen las preguntas correctas. Identificamos tres trampas en las que caen muchas configuraciones y explicamos cómo evitarlas.
Trampa 1: alojamiento en EE. UU. pese a tener filial en la UE
Muchos proveedores de búsqueda conocidos cuentan con una filial en la UE y se promocionan como «conformes con el RGPD». En la letra pequeña: los datos se procesan en servidores estadounidenses, a menudo con subencargados en terceros países. La filial europea es la dirección de facturación, no el lugar de tratamiento.
Qué debería comprobar en concreto:
- ¿Dónde se procesan los datos realmente? (no «dónde tiene su sede la empresa»)
- ¿Qué subencargados se utilizan? Solicite la lista.
- ¿Existen cláusulas contractuales tipo (CCT) de la UE para cada transferencia a terceros países?
Trampa 2: seguimiento de los clientes finales
Muchos proveedores de búsqueda recogen datos de seguimiento a nivel de cliente final: IP, ID de usuario, huella digital del navegador. Forma parte de la «promesa de personalización». Desde la perspectiva del RGPD: requiere consentimiento y debe declararse en el banner de cookies.
En Eywora la personalización es anónima: sin seguimiento de usuarios, sin cookies, sin almacenamiento de IP. El re-ranking personalizado funciona por sesión, de forma anónima. Lo que no se recopila tampoco puede convertirse en un problema de protección de datos.
Trampa 3: IA de caja negra sin explicabilidad
El art. 22 del RGPD permite decisiones automatizadas solo en determinadas condiciones y exige transparencia. Si no puede explicar por qué un producto ocupa el primer puesto, la situación es delicada en términos de protección de datos en cuanto entra en juego la personalización.
Solución: Search Debugger. Para cada resultado puede ver qué factores contribuyeron al ranking y con qué peso. Así la decisión de la IA es explicable, también ante las autoridades de control.
- Alojamiento en EE. UU. en segundo plano
- Seguimiento de IP y de usuarios
- Ranking de caja negra
- Alojamiento exclusivamente en Alemania
- Personalización anónima
- Search Debugger lo explica todo
Qué caracteriza a una IA de búsqueda realmente conforme con el RGPD
- Alojamiento en la UE, idealmente en Alemania. Sin transferencias de datos a terceros países.
- Contrato de encargo de tratamiento incluido, sin costes adicionales ni contratos meramente formales.
- Personalización anónima, sin ID de usuario, sin cookies de seguimiento.
- Explicabilidad mediante Search Debugger o herramientas de transparencia equivalentes.
- Lista clara de subencargados, documentada y modificable con antelación.
- Eliminación en 30 días tras la finalización del contrato, con confirmación.
La postura de Eywora
Hemos desarrollado Eywora a partir de la práctica. «Eywora no recopila datos de clientes» no es un eslogan de marketing, sino un principio técnico de diseño: el sistema está construido de tal forma que no necesita datos de clientes para rendir.
Alojamiento en Alemania, contrato de encargo de tratamiento incluido, ISO 27001 en preparación, TISAX a petición. Los detalles están en la página de protección de datos y en el texto estándar del contrato de encargo de tratamiento.
Tres preguntas que debería plantear a cualquier proveedor
- «¿Dónde se procesan realmente mis datos?»: las ubicaciones de los servidores deberían estar claramente documentadas, no solo la dirección de la empresa.
- «¿Qué datos personales recopilan sobre mis clientes finales?»: la respuesta ideal es ninguno. La realidad: a menudo IP, ID de usuario o seguimiento de sesión. Pida que le entreguen la lista por escrito.
- «¿Pueden explicarme, para un resultado concreto, por qué aparece en esa posición?»: si la respuesta es «eso lo decide la IA de caja negra», corre riesgos respecto al art. 22 del RGPD.
