Herramientas de IA conformes con el RGPD en colegios: lista de comprobación EIPD

Siete pasos. Eso es lo que la Agencia Danesa de TI y Aprendizaje pide a un centro educativo que recorra antes de que una herramienta de IA llegue al aula, en su miniguía sobre el uso legal de la IA (publicada en enero de 2026). Uno de los pasos es un análisis sistemático de riesgos, una evaluación de impacto (EIPD), que según la guía es necesaria en casi todos los casos en que se usa IA. Este artículo trata de las herramientas de IA conformes con el RGPD que los colegios pueden aprobar de verdad: las preguntas que hace el delegado de protección de datos de un municipio y nuestras propias respuestas para GradeAid, por escrito.

En mayo de 2026 el municipio de Jammerbugt, en el norte de Jutlandia, frenó su uso de la IA después de que su delegado de protección de datos advirtiera de que nadie sabía qué herramientas usaba el personal (Version2, 26 de mayo de 2026). Creo que fue una decisión sensata. Un municipio que no sabe en qué herramientas escriben sus docentes no puede hacer una evaluación de impacto de ninguna.

El RGPD no es la razón por la que los colegios no pueden usar IA

Hablamos del RGPD como si fuera el freno de la IA en los colegios. No lo es. Es una lista corta de preguntas que hay que responder antes de activar una herramienta, y la mayoría de los proveedores no las ha respondido con palabras claras.

Las normas danesas dejan claro quién pregunta. La guía sobre el uso legal de la IA del Ministerio danés de Infancia y Educación (mayo de 2025) dice que el centro o el municipio suele ser el responsable del tratamiento y el proveedor, el encargado. El responsable carga con la responsabilidad. La miniguía añade que adoptar una herramienta es una decisión de la dirección, no la elección de un docente en la mesa de la cocina a las 21:00.

La misma guía dice que la autoridad danesa de protección de datos considera la IA una tecnología nueva, así que el riesgo suele ser alto y a menudo será obligatoria una evaluación de impacto. No es un trámite. Es un documento que alguien firma con su nombre.

Es el mismo RGPD en Oslo, Estocolmo, Madrid y Bucarest. La guía danesa es simplemente una de sus versiones escritas más claras, y por eso la usamos aquí.

Las herramientas de IA conformes con el RGPD que los colegios pueden aprobar responden a cinco preguntas

Cuando un delegado de protección de datos lee la documentación de un proveedor, las preguntas acaban siendo las mismas cinco. Aquí están, con el aspecto de una buena respuesta.

1. ¿Quiénes son los subencargados y dónde están?

La guía del ministerio pide al centro que averigüe, antes de empezar el tratamiento, si los datos personales salen de la UE y del EEE, y a qué país. Si salen, el centro necesita una base jurídica para la transferencia y, para un tercer país no seguro, una evaluación del impacto de la transferencia. Un buen proveedor entrega una sola lista: nombre, finalidad, país, garantía.

2. ¿Se usa algo para entrenar un modelo?

La guía dice que un centro normalmente no tiene base jurídica para permitir que un proveedor use los datos personales de los alumnos para sus propios fines, incluido el entrenamiento de nuevos modelos. El caso práctico de la miniguía sobre retroalimentación con IA solo se sostiene si el contrato de encargo del tratamiento excluye el entrenamiento de modelos. Pida esa frase en el contrato, no en una página de marketing.

3. ¿Qué guarda el proveedor de IA y durante cuánto tiempo?

Aquí está la letra pequeña. La página de gobernanza de datos de Gemini en Vertex AI de Google (actualizada por última vez el 30 de octubre de 2026) dice que Google no entrena con datos de clientes sin permiso. La misma página dice que los datos en caché pueden guardarse hasta 24 horas y que Google puede registrar prompts para detectar abusos. La retención cero es posible, pero solo si el proveedor desactiva varios ajustes. Pregunte cuáles están desactivados.

4. ¿Se construyó el propio modelo de forma lícita?

El Comité Europeo de Protección de Datos dijo en diciembre de 2024 que un modelo desarrollado con datos tratados ilícitamente puede afectar a la licitud de su despliegue. Un colegio no puede auditar a Google ni a OpenAI. Sí puede preguntar al proveedor qué modelo usa y qué dicen las condiciones del proveedor del modelo, y escribir la respuesta en la evaluación de impacto.

5. ¿Qué entra en el prompt?

La miniguía pide al personal que nunca introduzca datos personales, respuestas de exámenes ni notas. El mejor diseño hace que sea difícil equivocarse: el docente escribe un tema y un nivel, no el nombre de un niño.

Una evaluación de impacto no es un veredicto sobre la IA, es una respuesta por escrito a cinco preguntas sobre adónde van los datos.

Nuestras propias respuestas, por escrito

Sería raro publicar esta lista de comprobación y no aplicárnosla. Aquí está GradeAid, según nuestra política de privacidad (versión del 30 de octubre de 2026).

El alojamiento, la base de datos y el almacenamiento de archivos funcionan en Google Cloud en Bélgica. La generación de contenido se hace con los modelos Gemini de Google a través del endpoint de la UE de Vertex AI. Hoy solo los docentes usan la IA. La parte de la plataforma para los niños está en pausa, y las cuentas que usaron los niños se borran después del 27 de noviembre de 2026.

Lo que enviamos a Gemini es el tema y el nivel del docente sin identificadores personales, más imágenes y texto de páginas cuando un docente sube una página de un libro de texto. Google tiene prohibido por contrato entrenar con ello, y nosotros tampoco entrenamos ningún modelo con material subido.

Ahora la parte incómoda. No todo está en la UE. El correo transaccional pasa por Postmark y la facturación por Stripe, ambos en Estados Unidos, bajo el Marco de Privacidad de Datos UE-EE. UU. con cláusulas contractuales tipo como respaldo. La analítica de uso (PostHog, alojado en Fráncfort) y la medición de anuncios de Meta solo funcionan si el docente las acepta en el banner de cookies. Un delegado de protección de datos debería ver esa lista antes de firmar, no después.

Los ajustes de retención de Vertex AI descritos arriba son una pregunta justa para nosotros, como para cualquier proveedor. La respondemos por escrito, junto con el contrato de encargo del tratamiento, que enviamos a petición.

Qué puede hacer un colegio

1. Haga una lista de todas las herramientas de IA que usa el personal, incluidas las gratuitas abiertas en una pestaña del navegador. Basta una hoja compartida con tres columnas: herramienta, quién la usa, qué se introduce. Unos 30 minutos en una reunión de claustro.

2. Envíe a cada proveedor las cinco preguntas de arriba en un solo correo y pida el contrato de encargo del tratamiento y la lista completa de subencargados. Unos 10 minutos por proveedor. Si no llega nada, la lista de comprobación se detiene ahí.

3. Pase la hoja de cálculo de evaluación de riesgos del ministerio, el anexo de la miniguía, por cada herramienta que responda. De dos a tres horas por herramienta para quien lleve el RGPD, una sola vez.

4. Escriba la lista aprobada en tres líneas: qué herramienta, para qué, con qué datos. Compártala con el personal y las familias. Unos 45 minutos.

5. Ponga una fecha en el calendario para revisarlo dentro de doce meses, o antes si un proveedor cambia sus condiciones. Cinco minutos.

Dónde encaja GradeAid

GradeAid es una plataforma danesa para docentes. El docente escribe el tema y el nivel y en segundos obtiene un plan de clase, una ficha de trabajo, un cuestionario, una presentación y actividades sin pantalla, que también se pueden diferenciar. El material se puede imprimir. Está del lado del docente, y preferimos que un delegado de protección de datos lea nuestra lista de subencargados antes de firmar a que la encuentre después.

Si trabaja en protección de datos en un municipio o dirige un colegio en cualquier lugar de Europa, nos gustaría saber de usted. Escríbanos a founders@gradeaid.ai.