Google Gemini y el RGPD / AI Act: la guía para su empresa
·
Actualizado el ·
Por 
Aymeric Guyard · 9 min de lectura
En resumen
- Gemini tiene dos caras. En Google Workspace, sus datos no sirven para entrenar los modelos, no son releídos sin autorización, y están cubiertos por el DPA y opciones de residencia en la UE. La versión de consumo general (gratuita) puede ver las conversaciones releídas y explotadas: a proscribir para los datos profesionales. Google sigue sujeto al CLOUD Act.
Presentación y datos tratados
Gemini es la familia de modelos de IA generativa de Google, disponible como asistente de consumo general (gemini.google.com) e integrada en Google Workspace (Gmail, Docs, Sheets, Meet). Como en el caso de Copilot, solo la oferta empresarial (Workspace) aporta el marco contractual adecuado.
Gemini trata el contenido de los prompts, los documentos/datos de Workspace movilizados, las respuestas y datos técnicos. En Workspace, estos datos están sujetos a su contrato y no se utilizan para entrenar los modelos genéricos. En la versión de consumo general, parte de las conversaciones puede conservarse, releerse y explotarse para la mejora del servicio.
Los riesgos para su empresa
El riesgo n.º 1 es el uso de la versión de consumo general con datos profesionales (relectura humana posible, conservación). A continuación vienen la gobernanza de los accesos en Workspace y las transferencias fuera de la UE.
Principales riesgos RGPD:
- Versión de consumo general: base jurídica ausente y relectura humana problemáticas para datos de terceros.
- Transferencia fuera de la UE: Google está sujeto al CLOUD Act; verificar la residencia de los datos.
- Gobernanza de los accesos en Workspace (comparticiones demasiado amplias).
- Información y derechos de las personas.
Las obligaciones RGPD
- Utilizar Gemini a través de Google Workspace con el DPA y, si es necesario, las opciones de residencia en la UE.
- Prohibir la versión de consumo general para los datos profesionales.
- Inscribir en el registro y realizar una EIPD si hay riesgo elevado.
- Auditar las comparticiones y derechos de acceso.
- Informar a las personas; implicar al DPO.
Obligaciones AI Act y riesgos ciber
Gemini es un GPAI (obligaciones de los proveedores desde el 2 de agosto de 2025). Desplegador: transparencia (artículo 50), supervisión humana, conocimientos sobre IA. Un uso decisional (RRHH, scoring) puede pasar a alto riesgo (Anexo III).
Riesgos ciber: fuga a través de la versión de consumo general; inyección de prompts a través de contenidos ingeridos (correos electrónicos, docs); over-sharing en Workspace; shadow AI. Vectores a integrar para las entidades NIS 2.
Buenas prácticas y checklist
Estandarizar en Gemini for Workspace, bloquear la versión de consumo general en el trabajo. Explotar el DPA y la residencia de los datos en la UE. Proyecto de gobernanza de los accesos antes de la activación. Carta de IA, formación, referente de IA, registro.
- ☐ Gemini utilizado a través de Google Workspace; DPA de Google en vigor
- ☐ Residencia de los datos en la UE si está disponible
- ☐ Versión de consumo general bloqueada para uso profesional
- ☐ Auditoría de las comparticiones; uso en el registro; EIPD si hay riesgo elevado
- ☐ Transparencia art. 50; equipos formados; DPO implicado
Sanciones, conclusión y recomendaciones
Sanciones (acumulables): RGPD hasta 20 M€ o 4 % de la facturación mundial; AI Act hasta 35 M€ o 7 % (prácticas prohibidas) / 15 M€ o 3 % (otros incumplimientos).
Recomendación: Gemini es compatible con el cumplimiento en su versión Workspace, siempre que se prohíba la versión de consumo general para los datos profesionales y se controlen las comparticiones. La frontera entre consumo general y empresa es su principal punto de vigilancia. Compare con ChatGPT, Copilot y la alternativa soberana Mistral.
Pase a la acción
Despliegue Gemini en cumplimiento (Workspace, residencia en la UE, AI Act) con el acompañamiento de Data Comply One.
Descubrir el software AI Act →Probar mi cumplimiento gratuitamente