Es muy probable que parte de sus empleados ya utilice herramientas de chat con IA: para redactar ofertas, resumir contratos o pulir correos a clientes. Los textos que se pegan en estas herramientas suelen contener datos personales e información comercial. Prohibirlas rara vez funciona; el uso simplemente se vuelve invisible. La Autoridad turca de Protección de Datos Personales lo señala también en su documento de marzo de 2026 sobre el uso de la IA generativa en el lugar de trabajo: los enfoques puramente prohibitivos difícilmente funcionarán en la práctica, y es más adecuado un enfoque basado en la orientación y la concienciación.
Una alternativa más sensata es contar con un asistente interno que trabaje con los documentos y las reglas de acceso de la propia empresa y que se diseñe desde el principio pensando en la protección de datos. Si su empresa opera en Turquía, por ejemplo a través de una filial o de una sucursal, el tratamiento de datos personales allí está sujeto a la Ley turca de Protección de Datos Personales n.º 6698, conocida como KVKK. Esta guía recoge las preguntas que conviene responder antes de crear el asistente, tres opciones básicas de implantación, un plan paso a paso y, si su grupo ya trabaja conforme al RGPD, las diferencias que más importan.
Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico; la información está actualizada a 18 de octubre de 2026. Revise sus propios flujos de datos con su asesor jurídico.
¿Qué hace un asistente de IA interno?
A diferencia de una herramienta de chat genérica, un asistente interno basa sus respuestas en las fuentes de su empresa: procedimientos, documentación de producto, plantillas de ofertas, incidencias de soporte, informes del ERP. Cuando llega una pregunta, busca los documentos pertinentes, genera la respuesta a partir de ellos y muestra en qué documento se basa. Este método se llama generación aumentada por recuperación (RAG) y hace que la respuesta sea verificable.
Asistente de la empresa
¿Con cuántos días de antelación debo solicitar mis vacaciones anuales?
Según el procedimiento de vacaciones, debe enviar su solicitud de vacaciones anuales a su responsable con al menos 10 días hábiles de antelación, mediante el formulario de vacaciones del portal de RR. HH.
- Procedimiento de vacaciones, apartado 2.1
- Preguntas frecuentes de RR. HH., p. 4
Un asistente bien construido solo ve lo que puede ver la persona que pregunta. Un empleado sin acceso a los expedientes de RR. HH. tampoco puede llegar a ellos preguntando al asistente.
Usos habituales:
- Ventas: preparar borradores de ofertas a partir de ofertas anteriores y de la documentación de producto.
- Soporte: responder rápido y con fuentes a las preguntas de los clientes a partir de la documentación de producto.
- RR. HH. y nuevas incorporaciones: consultar los procedimientos de vacaciones, gastos y compras.
- Dirección: obtener resúmenes periódicos y explicaciones de desviaciones a partir de los datos del ERP.
Primero, responda a estas preguntas desde la óptica de la KVKK
¿Qué datos personales tratará el asistente?
Si sus documentos contienen nombres de empleados, datos de contacto de clientes o correspondencia por correo electrónico, el asistente trata datos personales. Defina por escrito qué categorías de datos, de quién y con qué finalidad se tratarán. Si ya dispone de un inventario de datos personales, incluir en él al asistente es un buen comienzo. Según el principio de la KVKK de que los datos deben ser pertinentes, limitados y proporcionados a la finalidad (la minimización de datos, en términos del RGPD), lo más seguro es no incluir ningún dato personal que el asistente no necesite para su tarea.
¿Dónde se tratarán los datos? ¿Salen de Turquía?
Muchos servicios en la nube de grandes modelos de lenguaje funcionan en centros de datos situados en el extranjero. La guía de la Autoridad sobre IA generativa, publicada en noviembre de 2025, indica claramente que, si se transfieren datos personales a través de sistemas utilizados mediante proveedores establecidos en el extranjero, debe hacerse conforme al artículo 9 de la Ley y al Reglamento turco sobre la transferencia de datos personales al extranjero (en adelante, el Reglamento de transferencias). Según la guía de la Autoridad sobre transferencias al extranjero, almacenar datos en una nube en el extranjero también puede considerarse una transferencia.
El artículo 9, modificado por la Ley n.º 7499 y en vigor desde el 1 de junio de 2024, supedita las transferencias a las siguientes vías, por este orden:
Decisión de adecuación Aún ninguna
Decisión del Consejo de Protección de Datos Personales (el Consejo, órgano decisorio de la Autoridad) para el país o el sector de destino. La web de la Autoridad indica que aún no se ha adoptado ninguna.
- si no
Garantías adecuadas Para flujos regulares
Un contrato tipo publicado por el Consejo, normas corporativas vinculantes aprobadas por el Consejo (dentro de un grupo de empresas) o un compromiso por escrito con autorización del Consejo. El contrato tipo se usa sin modificaciones y se notifica a la Autoridad en un plazo de cinco días hábiles desde la firma.
- si no
Transferencia ocasional No para flujos regulares
Excepciones tasadas para transferencias no regulares, que se producen una vez o pocas veces. Desde el 1 de septiembre de 2024, el consentimiento explícito solo puede servir de base para una transferencia en estos casos.
El Reglamento de transferencias no considera ocasionales las transferencias continuas que forman parte de la actividad ordinaria; por tanto, el flujo de datos de un asistente que funciona a diario tampoco es ocasional. En consecuencia, o bien debe establecerse una garantía, como un contrato tipo, o bien el tratamiento de los datos personales debe realizarse en Turquía. Si el servicio trata datos en su nombre, de los cuatro tipos de contrato tipo de la Autoridad suele corresponder el de «responsable a encargado». Como recuerda la guía de la Autoridad sobre IA generativa, los roles no los determina solo la redacción del contrato, sino el control efectivo sobre los datos.
¿Qué hace el proveedor con los datos?
Compruebe en el contrato empresarial si los textos introducidos se usan para entrenar el modelo, cuánto tiempo se conservan y en qué países se tratan. A efectos de la KVKK, el proveedor suele actuar como encargado del tratamiento, y la guía de seguridad de datos de la Autoridad recomienda formalizar esta relación mediante un contrato por escrito. Estas condiciones suelen variar entre las cuentas individuales gratuitas y las versiones empresariales.
¿Se ha informado a empleados y clientes?
El artículo 10 de la KVKK establece un deber de información: hay que explicar con qué finalidad se tratan los datos personales, a quién pueden transferirse y qué derechos tiene el interesado. Si el asistente crea una nueva finalidad de tratamiento o una nueva transferencia, actualice sus cláusulas informativas.
¿Son suficientes las medidas de seguridad?
El artículo 12 de la Ley exige medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado para impedir el tratamiento ilícito de los datos personales y el acceso ilícito a ellos, y para garantizar su conservación. Si encarga el trabajo a un proveedor, usted responde de estas medidas conjuntamente con él. Si se produce una violación de la seguridad de los datos, según la interpretación del Consejo debe notificarse al Consejo sin demora y, como máximo, en las 72 horas siguientes a tener conocimiento de ella.
La guía de la Autoridad sobre IA generativa enumera medidas de ejemplo en este ámbito: privacidad desde el diseño, evaluación de impacto relativa a la protección de datos, controles frente a ataques como la inyección de instrucciones (prompt injection), registro de la actividad y formación de los empleados. No es una lista vinculante, sino ejemplos. Los principios de diseño que se exponen más abajo muestran cómo se aplican estas medidas en un asistente.
KVKK y RGPD: ¿qué cambia para un asistente de IA?
La KVKK se inspiró en gran medida en la Directiva europea de protección de datos de 1995 (Directiva 95/46/CE), y la reforma de 2024 acercó al RGPD sus normas sobre categorías especiales de datos y sobre transferencias al extranjero. Si su grupo ya trabaja conforme al RGPD, gran parte le resultará familiar. Para un asistente de IA, estas son las diferencias que más importan:
| Tema | RGPD | KVKK |
|---|---|---|
| Transferencias entre la UE y Turquía | Turquía no cuenta con una decisión de adecuación de la UE; las transferencias de la UE a Turquía requieren garantías como las cláusulas contractuales tipo de la UE | Según la web de la Autoridad, el Consejo turco aún no ha adoptado ninguna decisión de adecuación; las transferencias desde Turquía requieren, por ejemplo, el contrato tipo propio de la KVKK, usado sin cambios y notificado a la Autoridad |
| Consentimiento explícito como base de una transferencia | Excepción para situaciones específicas (art. 49), de interpretación restrictiva según el CEPD | Desde el 1 de septiembre de 2024, solo para transferencias ocasionales |
| Evaluación de impacto relativa a la protección de datos (EIPD) | Obligatoria para tratamientos de alto riesgo (art. 35) | Sin obligación legal; la guía de la Autoridad sobre IA generativa la incluye entre las medidas recomendadas |
| Notificación de violaciones de seguridad | Sin dilación indebida y, de ser posible, en un plazo de 72 horas; no es necesaria si es improbable que suponga un riesgo para las personas (art. 33) | Sin demora y como máximo en 72 horas (interpretación del Consejo); la ley no prevé un umbral de riesgo |
En la práctica, esto significa que sus cláusulas contractuales tipo de la UE no cubren los datos que salen de Turquía: si se opta por contratos tipo, la KVKK exige los suyos propios. El acceso remoto desde el extranjero también puede considerarse transferencia (véase la sección «Tres opciones de implantación»). Este artículo trata el Derecho turco. Si el RGPD también es aplicable al tratamiento (art. 3; por ejemplo, por un establecimiento del responsable en la UE), se aplica en paralelo y, según el uso, también puede aplicarse el Reglamento de IA de la UE.
Tres opciones de implantación
| Opción | Control de los datos | Implantación y coste | Cuándo conviene |
|---|---|---|---|
| Servicio de modelos en la nube con contrato empresarial | Depende de los compromisos del proveedor; si se envían datos personales, se aplican las normas de transferencia al extranjero | La más rápida; pago por uso | Hay pocos datos personales o pueden enmascararse antes del envío |
| Modelo alojado en un centro de datos en Turquía | Mayor; los datos permanecen en Turquía (aun así se aplican las normas sobre la comunicación de datos a terceros dentro de Turquía) | Media; requiere servidores e instalación | Trabajos con muchos datos personales o condiciones contractuales estrictas |
| Modelo de código abierto en sus propios servidores | Máximo; los datos no salen de la empresa | Requiere hardware, instalación y mantenimiento | Datos sensibles (salud, finanzas, sector público) y organizaciones que quieren el control total |
No es obligatorio elegir una sola opción. En muchas empresas funciona una estructura mixta: las preguntas con datos personales se resuelven con el modelo en sus propios servidores, y las tareas generales sin datos personales, con el servicio en la nube.
También en el alojamiento en Turquía conviene vigilar un punto: según el Reglamento de transferencias, poner los datos a disposición de un responsable o encargado en el extranjero también se considera transferencia. Aclare en el contrato desde dónde pueden acceder a los datos el equipo de soporte del proveedor o sus subcontratistas. Lo mismo vale dentro de su grupo: si el departamento de TI de una sociedad matriz en el extranjero puede acceder en remoto a los datos del asistente, aunque solo sea para verlos con fines de soporte o de resolución de incidencias, eso también puede considerarse una transferencia.
Principios de diseño de un asistente seguro
Hasta que se responde, una pregunta pasa por varios pasos dentro del asistente, y las medidas de seguridad se sitúan en esos pasos.
Pregunta
El empleado escribe su pregunta en lenguaje natural.
Control de permisos
A partir del directorio de usuarios de la empresa se determinan los documentos a los que puede acceder la persona.
Búsqueda de documentos
Los fragmentos pertinentes se buscan solo dentro de esos documentos.
Enmascaramiento
Campos como el número de identidad turco, el teléfono o el IBAN se ocultan antes de llegar al modelo.
Respuesta y registro
El modelo genera la respuesta a partir de esos fragmentos y muestra la fuente; se registran la pregunta y los documentos utilizados.
- Permisos a nivel de documento: el asistente trabaja con los documentos a los que la persona que pregunta ya tiene acceso; los permisos proceden del directorio de usuarios de la empresa (por ejemplo, Active Directory o Google Workspace).
- Enmascaramiento: campos como el número de identidad turco, el teléfono o el IBAN se enmascaran antes de enviarse al modelo.
- Registro y plazo de conservación: se registra quién preguntó qué y cuándo, y qué documentos se usaron; el tiempo de conservación de los registros se fija desde el principio.
- Protección frente a la inyección de instrucciones: las instrucciones ocultas en documentos o correos pueden engañar al asistente. Se limitan las acciones que puede realizar, y las operaciones críticas, como pagos o el borrado de registros, requieren aprobación humana.
- Citar fuentes y saber decir «no lo sé»: cada respuesta muestra el documento en el que se basa; si la respuesta no está en los documentos, el asistente no se la inventa, sino que dice que no lo sabe.
Plan de implantación paso a paso
- Empiece con un único caso de uso. Elija un objetivo medible, por ejemplo el tiempo que tarda el equipo de soporte en responder preguntas sobre productos.
- Inventario y clasificación de datos. Enumere los documentos que usará el asistente; marque cuáles contienen datos personales y quién puede acceder a ellos.
- Marco jurídico. Concrete con su asesor jurídico la cláusula informativa, el mecanismo de transferencia y el contrato con el proveedor.
- Arquitectura e implantación. Elija el modelo y la opción de alojamiento; conecte la búsqueda de documentos y los permisos al directorio de usuarios de la empresa.
- Piloto. Póngalo en marcha con un solo equipo durante unas semanas; mida la precisión, el uso y las opiniones.
- Despliegue y formación. Explique a los empleados qué hace y qué no hace el asistente, y qué información no debe introducirse.
Le acompañamos en cada uno de estos pasos: desde el análisis de casos de uso hasta la implantación, la integración y la formación del equipo. Encontrará más detalles en nuestras soluciones de IA; para el trabajo de cumplimiento de la KVKK y la seguridad de la infraestructura, nuestros servicios de ciberseguridad también forman parte del proceso.
Preguntas frecuentes
Ya cumplimos el RGPD. ¿Eso cubre también la KVKK?
No automáticamente. Los principios son parecidos y buena parte de su documentación del RGPD puede reutilizarse, pero la KVKK tiene normas propias. Para un asistente de IA, una de las diferencias más relevantes está en las transferencias al extranjero: si se recurre a contratos tipo, la KVKK exige los suyos, publicados por el Consejo, que se usan sin cambios y se notifican a la Autoridad. Las cláusulas contractuales tipo de la UE no los sustituyen.
¿Infringe la KVKK que los empleados usen ChatGPT?
Lo determinante no es la herramienta, sino los datos que se tratan y en qué condiciones. Un uso sin datos personales, como mejorar la redacción de un texto general, entraña poco riesgo. En cambio, compartir datos de clientes o de empleados mediante cuentas individuales puede causar problemas tanto de transferencia al extranjero como de seguridad. El documento de la Autoridad sobre el lugar de trabajo también recomienda establecer una política corporativa clara, definir qué herramientas pueden usarse para qué tareas, limitar el acceso mediante dispositivos corporativos y enfoques basados en roles, e informar y formar a los empleados.
¿Son suficientemente buenos los modelos de código abierto?
Para la mayoría de las tareas empresariales, como resumir documentos, responder preguntas con fuentes y clasificar, sí. En tareas que exigen razonamiento en varios pasos, los grandes modelos comerciales siguen por delante. Por eso una estructura mixta suele ser la solución más equilibrada.
¿Cuánto tarda la implantación?
Depende del alcance. Un piloto con un solo equipo y un conjunto limitado de documentos puede estar funcionando en pocas semanas; el despliegue en toda la empresa, con permisos y formación, lleva más tiempo.
Fuentes
- Ley n.º 6698 de Protección de Datos Personales, traducción al inglés (KVKK)
- Ley n.º 6698, texto oficial en turco (mevzuat.gov.tr)
- Reglamento sobre los procedimientos y principios de la transferencia de datos personales al extranjero (Boletín Oficial, 10 de julio de 2024; en turco)
- KVKK: transferencias al extranjero y situación de las decisiones de adecuación (en turco)
- KVKK: contratos tipo (en turco)
- KVKK: guía sobre la transferencia de datos personales al extranjero (enero de 2025; en turco)
- KVKK: IA generativa y protección de datos personales, guía en 15 preguntas (noviembre de 2025; en turco)
- KVKK: uso de herramientas de IA generativa en el lugar de trabajo (marzo de 2026; en turco)
- KVKK: recomendaciones sobre la protección de datos personales en el ámbito de la IA (en turco)
- KVKK: guía de seguridad de los datos personales, medidas técnicas y organizativas (en turco)
- KVKK: notificación de violaciones de seguridad (en turco)
- RGPD, Reglamento (UE) 2016/679 (EUR-Lex)
- Comisión Europea: decisiones de adecuación (en inglés)