Un expediente de arquitectura está lleno de datos personales, aunque no lo parezca: el promotor persona física con su NIF y su teléfono, los técnicos de la contrata, el vecino que firma una autorización de medianería, las personas que salen de fondo en las fotos de la visita, los datos de accesibilidad de un usuario concreto en una reforma. En cuanto ese material se le pasa a una herramienta de inteligencia artificial, deja de ser una cuestión de productividad y pasa a ser una cuestión de protección de datos.
La buena noticia es que el marco ya existe y no es nuevo: el RGPD lleva aplicándose desde 2018 y resuelve casi todas las preguntas. Lo que hace falta es traducirlo a decisiones concretas de estudio.
Quién es quién
El reparto de papeles determina todo lo demás:
- El estudio es responsable del tratamiento. Decide qué datos entran en el expediente, para qué y con qué herramientas. Es quien tiene que informar a los interesados y quien responde ante la Agencia Española de Protección de Datos.
- El proveedor del software es encargado. Trata los datos por cuenta del estudio y solo conforme a sus instrucciones. Esa relación exige un contrato con el contenido del artículo 28 del RGPD: finalidad, duración, medidas de seguridad, confidencialidad y devolución o supresión al terminar.
- Los proveedores del proveedor son subencargados. El alojamiento, el servicio de transcripción y el modelo de IA. Tienen que estar autorizados y declarados por escrito, con su ubicación.
De ahí sale la regla práctica: si no puedes escribir esa cadena en un folio para la herramienta que usas, todavía no puedes meter datos de clientes en ella.
Qué datos personales hay de verdad en un expediente
Merece la pena hacer el inventario una vez, porque casi siempre sale más largo de lo esperado:
- Identificación y contacto del promotor, del constructor y de los industriales.
- Datos de terceros que aparecen en actas y correos: vecinos, arrendatarios, técnicos ajenos.
- Fotografías de obra en las que se reconoce a personas.
- Direcciones postales, que en vivienda unifamiliar identifican a una persona concreta.
- Ocasionalmente, datos de categoría especial: una reforma de accesibilidad justificada por la discapacidad de un usuario contiene datos de salud, y esos exigen más cuidado que el resto.
Las ocho preguntas que hay que hacerle al proveedor
Sirven para cualquier herramienta con IA, sea de arquitectura o no. Las respuestas útiles están por escrito en el contrato o en la política de privacidad publicada; las de una llamada comercial no valen:
- ¿Hay contrato de encargado del tratamiento, y qué instrucciones recoge?
- ¿Quiénes son los subencargados y dónde están alojados los datos?
- ¿Se usa mi contenido para entrenar modelos? ¿Está excluido por escrito?
- ¿Cuánto tiempo se conserva lo que se envía al modelo, y quién puede leerlo?
- Si hay transferencia internacional, ¿en qué garantía se ampara?
- ¿Qué pasa con mis datos si dejo de ser cliente? ¿Puedo exportarlos y se suprimen?
- ¿Puedo desactivar las funciones de IA para un expediente sensible?
- ¿Queda registro de qué generó la IA y de quién lo revisó?
Una cuenta gratuita de un asistente público y un servicio contratado por el estudio pueden usar el mismo modelo y ser cosas jurídicamente opuestas. En la primera, el usuario acepta unas condiciones de consumo y no hay contrato de encargado; en el segundo, el proveedor firma con el estudio y responde. El modelo no es el problema: el contrato sí.
Lo que añade el Reglamento europeo de IA
El Reglamento (UE) 2024/1689 está en vigor desde agosto de 2024 y se aplica por etapas: primero las prácticas prohibidas y el deber de alfabetización, después las obligaciones de los modelos de uso general, y progresivamente el resto. Clasifica los sistemas por riesgo, y ahí está la clave para un estudio: transcribir una visita, resumir un informe o extraer acciones de un requerimiento no es un uso de alto riesgo. Las obligaciones pesadas recaen sobre quien desarrolla y comercializa los sistemas, no sobre quien los usa para tareas administrativas.
Al estudio, como usuario profesional, le corresponde algo mucho más modesto: que quien maneja la herramienta sepa qué hace y qué limitaciones tiene, y que ningún resultado generado por IA salga del estudio como criterio técnico sin que un técnico lo haya revisado y lo firme. El calendario de algunas obligaciones ha sido objeto de revisión en Bruselas, así que conviene confirmar el estado vigente antes de tomar decisiones basadas en una fecha concreta.
En la práctica, eso es usar herramientas que trabajan con tus fuentes y las citan, como NotebookLM en el estudio, y no delegar nunca en un modelo lo que firma un técnico, como la justificación del Código Técnico.
Qué hacer en el estudio esta semana
- Una norma escrita en media página: qué herramientas están autorizadas y qué no se pega nunca en una cuenta personal. Es el documento que evita el 90 % de los problemas.
- Actualiza el registro de actividades de tratamiento con las herramientas que ya estáis usando. Si aparece alguna que nadie había declarado, ese es justamente el hallazgo.
- Revisa la cláusula informativa que firman los clientes: tiene que mencionar el tratamiento por encargados y las transferencias internacionales si las hay.
- Pide por escrito el contrato de encargado a los proveedores que aún no te lo hayan dado. Un proveedor serio lo tiene preparado.
Cómo está montado en Rucob
Preferimos publicarlo antes de que nadie lo pregunte. La aplicación y la base de datos se alojan en infraestructura de Amazon Web Services en la Unión Europea, en las regiones de París e Irlanda, y ahí se hace también la transcripción de las notas de voz. El asistente de IA se apoya en los proveedores de la lista pública de subencargados: modelos alojados en la Unión Europea (Amazon Bedrock, OpenAI con residencia de datos europea) o Anthropic, en Estados Unidos, al amparo de las cláusulas contractuales tipo de la Comisión Europea; en todos los casos con el uso del contenido para entrenar modelos excluido.
Sobre las notas de voz, que es lo más sensible que sale de una obra: cuando hay cobertura el audio se transcribe en directo y no se almacena en ningún momento; cuando no la hay, se queda en el dispositivo, se sube solo para transcribirlo y se borra del servidor en cuanto el texto está escrito. Solo se conserva el texto. El detalle completo, con la lista de encargados y las bases de cada tratamiento, está en la política de privacidad.
Y si lo que buscabas era la parte práctica, qué automatiza hoy la IA en un estudio y qué no, está en el artículo qué automatiza de verdad la IA en un estudio de arquitectura.
Fuentes
Textos oficiales en los que se apoya este artículo, comprobados el 31 de agosto de 2026. La normativa se modifica: conviene abrir siempre la versión consolidada vigente.
- Reglamento (UE) 2016/679 (RGPD): artículo 28 para el contrato de encargado, artículo 32 para las medidas de seguridad y capítulo V para las transferencias internacionales.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: la adaptación española del RGPD.
- Reglamento (UE) 2024/1689, de inteligencia artificial: categorías de riesgo, obligaciones de los proveedores y de los responsables del despliegue, y calendario escalonado.
- AEPD: «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial» (PDF), y sus orientaciones sobre inteligencia artificial agéntica (PDF).
Este artículo explica el marco, no sustituye a un dictamen: cada estudio tiene sus tratamientos y sus contratos. Para lo que hacemos nosotros con los datos, la referencia es nuestra política de privacidad.