IA y KVKK en Turquía: 10 controles antes de usar IA generativa con datos de la empresa

Para preparar la reunión de mañana, el director comercial pega la lista de clientes y las ofertas de precios del año pasado en un chatbot y recibe un resumen impecable. La especialista de RR. HH. resume currículums de la misma manera. Contabilidad sube una hoja de cálculo “solo para darle formato”. Nadie tiene mala intención y nadie sabe si está permitido. La dirección de la empresa plantea entonces dos preguntas sobre la IA y la KVKK: ¿cómo conseguimos un uso ordenado de estas herramientas y adónde van los datos? Este artículo explica las normas vigentes en Turquía, donde el uso de IA con datos personales está sujeto a la KVKK, la ley de protección de datos personales de Turquía.

La IA generativa engloba los sistemas de inteligencia artificial que crean contenido nuevo, como texto, imágenes, audio o código de software, a partir de la entrada del usuario; desde el punto de vista de la KVKK, la cuestión es cómo tratar según la Ley n.º 6698 los datos personales procesados con estos sistemas. Este artículo ofrece diez controles basados en la guía de la Autoridad y normas de uso interno.

¿Está la IA sujeta a la KVKK? ¿Qué dice la guía de la KVKK sobre IA generativa?

El 24 de noviembre de 2025, la Autoridad de Protección de Datos Personales de Turquía publicó la “Guía sobre IA generativa y protección de datos personales (en 15 preguntas)”. Su mensaje principal es este: los datos personales tratados en el marco de sistemas de IA también deben tratarse conforme a los principios generales del artículo 4 de la Ley (licitud y buena fe, exactitud, finalidad determinada y legítima, proporcionalidad, limitación del plazo de conservación). La obligación del responsable del tratamiento de adoptar las medidas técnicas y organizativas del artículo 12 se aplica igualmente al uso de IA.

La guía subraya que los roles se determinan más por el control efectivo que por el contrato. Por ejemplo, si una empresa integra un modelo ya existente en su propio proceso de selección y decide ella misma qué datos se suben, con qué finalidad se analizan y cómo se usa el resultado, puede considerarse responsable del tratamiento. En marzo de 2026, la Autoridad publicó además un documento de valoración general titulado “IA agéntica (Agentic AI)”, en el que plantea que los sistemas de IA más autónomos también deben analizarse por separado desde el punto de vista de los datos personales.

Lista de control KVKK para IA generativa: 10 preguntas

Tres puntos a tener en cuenta al aplicar los controles

• Información separada: La guía considera importante informar de forma separada y clara sobre el tratamiento para usar la interfaz de IA y el tratamiento para mejorar el sistema. No podrá hacer esta distinción sin leer las condiciones de uso de datos de su proveedor.
• Transferencias al extranjero: Si usa el servicio de IA de un proveedor establecido en el extranjero, la guía pide que se evalúe conforme al artículo 9 de la Ley y al reglamento correspondiente. Averigüe en el contrato y la documentación en qué país trata los datos el proveedor.
• Evaluación de riesgos: La guía menciona la evaluación de impacto relativa a la protección de datos como ejemplo de buena práctica para los sistemas de IA. No la presenta como obligatoria; aun así, una evaluación de riesgos por escrito antes de iniciar un nuevo uso, aunque sea breve, convierte los diez controles en un documento.

¿Qué usos requieren menos atención y cuáles más?

Política interna de uso de IA: seis normas para los empleados

1. No introduzca en herramientas no aprobadas datos que identifiquen a una persona, como nombre y apellidos, dirección, teléfono, documento de identidad o datos bancarios.
2. No suba a estas herramientas información de terceros, como clientes, empleados o candidatos, sin informarles.
3. No escriba en la herramienta temas sensibles como la salud, la situación financiera o procesos judiciales.
4. Si es posible, describa el caso en términos generales en lugar de con nombres, fechas y lugares.
5. Consulte con informática y con el departamento jurídico qué herramientas están aprobadas y adónde van los datos.
6. Verifique el resultado de la IA antes de usarlo como si fuera su propia decisión; comunique de inmediato cualquier sospecha de fuga de datos.

Copiar y pegar en herramientas de chat generales: dónde funciona y dónde falla

Pegar texto en una herramienta de chat general es rápido y no requiere instalación ni integración; para borradores, resúmenes y lluvias de ideas sin datos personales suele bastar. Con datos de la empresa, en cambio, falla en tres puntos: los datos van a un proveedor fuera del control de la organización y no se sabe adónde; no queda ningún registro corporativo de quién preguntó qué; y como el empleado selecciona y pega los datos a mano cada vez, el riesgo de errores y fugas vuelve a aparecer una y otra vez.

¿Dónde se sitúa la IA empresarial (Fero) frente a estos controles?

Fero, la solución de IA empresarial de YazSis, está diseñada para dar acceso controlado a los datos de negocio autorizados en lugar de hacer que el empleado pegue datos. En Fero, la IA no escribe SQL; a los datos solo se accede mediante 17 herramientas de negocio de solo lectura definidas y no se ejecutan consultas libres. Los KPI, porcentajes y diferencias se calculan en el back end, y el modelo no puede dar una cifra que no esté en el resultado de una herramienta. La aplicación se conecta a la base de datos con una cuenta de solo lectura, así que los datos no pueden modificarse; las pantallas se construyen con 13 componentes aprobados. Esta estructura responde directamente al control 8 (tipo de permiso) de la lista anterior.

Digamos también con claridad cuál es el límite. Hoy la fuente de datos lista es MySQL; las demás fuentes se abordan dentro del alcance del proyecto. Además, no decimos que “los datos no salen de la empresa”: según el funcionamiento del modelo de IA, las preguntas y los resúmenes de los resultados de las herramientas pueden ir a un servicio de IA externo; qué información puede salir y qué proveedor se usará es algo que debe aclararse en el proyecto. Por eso los controles 5, 6 y 9 deben responderse por escrito antes de empezar el proyecto. El marco general de nuestro enfoque para trabajar con IA sobre datos y procesos de la empresa está en la página de IA: limitar los datos y los permisos de acceso, vincular el uso a un problema de negocio real, conectar el resultado al flujo de trabajo y supervisar la calidad y el control humano.

Si desea evaluar un uso de IA basado en herramientas y de solo lectura con los datos de su empresa, en la página de IA empresarial puede ver cómo funciona Fero y solicitar una demostración en vivo.