El problema: evaluar a un proveedor nuevo con una plantilla que no encaja
Antes de firmar con un proveedor que va a tratar datos personales por cuenta de tu empresa —un CRM, una gestoría externa, un servicio de mensajería, una herramienta de marketing— el RGPD exige algo más que confiar en su palabra. El artículo 28 obliga a contratar únicamente con encargados de tratamiento que ofrezcan "garantías suficientes" de cumplimiento, y acreditar esa diligencia recae sobre quien contrata, no sobre el proveedor.
El problema es que la mayoría de equipos de compliance usan el mismo cuestionario genérico para todo: da igual si el proveedor va a alojar datos de salud en un hospital en la nube o simplemente va a enviar newsletters a una lista de clientes. Un cuestionario genérico pregunta lo que no toca, se salta lo que sí importa para ese tratamiento concreto, y el proveedor —o el propio equipo legal— acaba perdiendo tiempo en preguntas irrelevantes mientras los riesgos reales quedan sin cubrir.
Adaptar el cuestionario a mano para cada proveedor —tipo de datos, volumen, si hay transferencias internacionales, si hay subencargados, el sector regulado del cliente final— es precisamente el trabajo que consume horas de un responsable de compliance o de un DPO. La IA puede generar ese cuestionario personalizado en minutos, dejando al profesional la tarea de revisarlo y ajustarlo, no de redactarlo desde cero.
Como estimación orientativa, construir un cuestionario de auditoría RGPD a medida —revisando el tipo de tratamiento, redactando preguntas específicas y organizándolas por bloques— puede llevar entre 2 y 4 horas si se hace manualmente desde una plantilla base. Con IA, ese borrador inicial puede estar listo en pocos minutos, dejando el tiempo del profesional para la revisión y el ajuste fino, no para la redacción desde cero.
Cómo funciona la IA para generar el cuestionario
Paso 1: Describir el tratamiento
El usuario indica qué va a hacer el proveedor: tipo de datos (identificativos, de salud, financieros, de menores...), volumen aproximado, finalidad del tratamiento, si habrá acceso a sistemas internos, y si el proveedor subcontratará a su vez a terceros (subencargados).
Paso 2: Identificar factores de riesgo específicos
La IA analiza esa descripción y detecta los puntos que elevan el riesgo del tratamiento: categorías especiales de datos (art. 9 RGPD), transferencias internacionales fuera del Espacio Económico Europeo, uso de subencargados, o tratamientos a gran escala. Cada uno de estos factores activa bloques de preguntas específicas.
Paso 3: Generación del cuestionario por bloques
La IA redacta un borrador de cuestionario organizado en bloques temáticos, adaptado al caso concreto:
- Gobernanza: existencia de DPO o responsable de protección de datos, política de privacidad, registro de actividades de tratamiento
- Medidas de seguridad técnicas y organizativas: cifrado, control de accesos, copias de seguridad, gestión de incidentes
- Subencargados: si existen, quiénes son, y si hay autorización previa para incorporar nuevos
- Transferencias internacionales: país de destino de los datos, mecanismo de transferencia (cláusulas contractuales tipo, decisión de adecuación)
- Gestión de incidentes y brechas de seguridad: plazos y procedimiento de notificación
- Derechos de los interesados: cómo colabora el proveedor para atender solicitudes de acceso, rectificación o supresión
Paso 4: Revisión y envío al proveedor
El cuestionario generado es un borrador. El responsable de compliance o el DPO lo revisa, ajusta el tono y el nivel de detalle según la relación con el proveedor, y añade cualquier requisito contractual específico del sector (por ejemplo, si el cliente final opera en banca, salud o administración pública) antes de enviarlo.