Una pyme puede conectar un asistente a su CRM en pocos días y, aun así, obtener recomendaciones inútiles. Direcciones antiguas, estados comerciales ambiguos, duplicados y notas sin contexto no desaparecen al añadir inteligencia artificial: pasan a formar parte de sus respuestas.
La Agencia Española de Protección de Datos publicó el 21 de julio de 2026 una nota técnica que aclara una cuestión relevante para cualquier empresa que trate datos personales con IA: la calidad no consiste en acumular el máximo de datos ni en exigir que todos sean perfectos. Debe evaluarse según la finalidad, el contexto y los efectos sobre las personas.
Esta guía permite decidir si un conjunto de datos sirve para una automatización concreta, qué comprobar antes de una prueba y cómo medir tanto la entrada como el resultado. El contenido es informativo y no sustituye una revisión jurídica o técnica del tratamiento.
Respuesta breve: La calidad de datos para IA es la capacidad de los datos y de los resultados del sistema para cumplir una finalidad empresarial concreta con un nivel de error aceptable. Una pyme debe definir primero el uso, revisar relevancia, exactitud, representatividad y trazabilidad, minimizar los datos personales, medir las salidas y mantener supervisión humana cuando puedan afectar a personas.
La calidad de datos para IA depende de la finalidad
Un dato no es «de calidad» en abstracto. Puede ser suficiente para estimar la demanda mensual y resultar inadecuado para decidir si se concede financiación a una persona. La finalidad determina qué grado de actualidad, detalle, cobertura y precisión se necesita.
La nota técnica de la AEPD sobre exactitud, idoneidad y calidad diferencia dos conceptos relacionados, pero no equivalentes. La calidad abarca datos personales y no personales y comprende requisitos técnicos y funcionales. La exactitud del RGPD se aplica a datos personales y debe interpretarse respecto a la finalidad del tratamiento.
Esto evita alimentar una automatización con cualquier dato disponible y también exigir una base perfecta cuando el proceso no la necesita. El exceso puede aumentar costes y contradecir la minimización.
Hay que evaluar registros, conjuntos y resultados
Revisar unas filas no demuestra que el conjunto represente el proceso real. Una base puede tener registros completos y pocos ejemplos de una provincia, un tipo de cliente o una incidencia poco frecuente.
La evaluación tampoco termina en la entrada. La AEPD señala que deben existir métricas objetivas para los resultados: inferencias, predicciones, recomendaciones, contenidos o decisiones. Un CRM ordenado no garantiza que un modelo asigne bien las oportunidades comerciales o responda con la política vigente.
Cuando una salida se refiere a una persona identificada o identificable, puede ser un dato personal aunque se haya generado por inferencia. Cuanto mayor sea su efecto —por ejemplo, priorizar candidatos, detectar fraude o limitar un servicio—, más exigentes deben ser la comprobación individual, la posibilidad de rectificación y la supervisión.
Checklist de calidad de datos antes de automatizar
La revisión puede empezar con una hoja sencilla, pero debe responder por escrito a las siguientes preguntas.
1. Definir una finalidad verificable
«Usar IA en ventas» no permite evaluar nada. Una finalidad útil sería: resumir el historial de una oportunidad para que un comercial prepare una llamada, sin modificar el estado del cliente ni enviar comunicaciones.
Conviene documentar usuario, entrada, salida, decisión apoyada y acción prohibida. Así se distingue una ayuda interna reversible de una decisión que afecte a una persona.
2. Inventariar datos y procedencia
Para cada campo, archivo o fuente hay que registrar propietario, origen, fecha, transformaciones, permisos y frecuencia de actualización. También conviene identificar texto libre, adjuntos y copias locales: suelen contener información personal que no aparece en el esquema formal.
La trazabilidad permite localizar una fuente incorrecta, retirarla y saber qué procesos la utilizaban.
3. Comprobar relevancia y minimización
El artículo 5 del RGPD exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario; también exige exactitud y, cuando sea necesario, actualización respecto a los fines.
Por tanto, una empresa no debería copiar el CRM completo «por si acaso». Para resumir una incidencia pueden bastar el motivo, las actuaciones y el estado. El documento de identidad, la cuenta bancaria o conversaciones ajenas al caso añadirían exposición sin mejorar necesariamente el resultado.
La pregunta práctica es: ¿si retiramos este campo, la métrica empeora? Sin justificación o prueba, el dato no debería entrar por defecto.
4. Medir exactitud, cobertura y consistencia
Las métricas deben corresponder al uso. Un proyecto puede medir porcentaje de campos obligatorios completos, duplicados, antigüedad máxima, coherencia entre estados o proporción de documentos con propietario y fecha.
No todas las variables necesitan el mismo umbral. Una cita clínica exige datos más actuales que una campaña estacional. La empresa debe justificar el límite en vez de adoptar un porcentaje genérico.
5. Revisar representatividad y sesgos
Hay que segmentar los resultados por grupos relevantes para el proceso: canal, centro, región, idioma, tipo de cliente o categoría de incidencia. Una media global aceptable puede ocultar errores recurrentes en un grupo pequeño.
Esto no justifica recopilar categorías sensibles: primero debe comprobarse la necesidad y la base jurídica. Puede ser preferible una auditoría controlada o con datos agregados.
6. Evaluar las salidas con casos reales controlados
Antes de conectar acciones automáticas, se prepara un conjunto de prueba separado. Debe incluir casos habituales, límites, datos ausentes, instrucciones contradictorias y ejemplos que no deberían procesarse.
Para un asistente conectado a documentación, las métricas pueden ser: respuesta respaldada por una fuente vigente, negativa correcta cuando falta información, uso de la ficha adecuada y ausencia de datos de otro cliente. La satisfacción del usuario es útil, pero no sustituye estas comprobaciones.
7. Establecer responsable, corrección y seguimiento
Cada fuente y cada métrica necesitan un responsable. También hace falta un procedimiento para notificar errores, corregir datos, volver a probar el sistema y decidir si debe pausarse.
La calidad requiere gestión continua: cambian los catálogos, los servicios y el comportamiento de los clientes. Una prueba puntual no acredita el funcionamiento futuro.
Un ejemplo: priorizar oportunidades desde el CRM
Una asesoría quiere ordenar solicitudes para que el equipo atienda antes las que parecen completas. El objetivo inicial no debería ser rechazar clientes automáticamente, sino proponer una cola que una persona pueda revisar.
El inventario descubre tres problemas: el campo «urgente» tiene significados distintos según el comercial, hay empresas duplicadas y muchas notas mezclan datos del solicitante con información de terceros. Antes de incorporar IA, la asesoría normaliza estados, define qué significa urgencia, limita las notas accesibles y conserva el origen de cada dato.
La prueba compara la propuesta con la priorización de dos responsables sobre una muestra representativa. Mide coincidencia, omisiones de solicitudes con plazo, diferencias por tipo de cliente y tiempo ahorrado. Los falsos negativos se consideran más graves que un caso colocado demasiado arriba.
Si el sistema solo recomienda y una persona decide, el riesgo operativo es menor, pero no desaparecen las obligaciones de protección de datos. Si en una fase posterior la automatización produce efectos jurídicos o afecta significativamente a una persona, debe revisarse además el régimen de decisiones exclusivamente automatizadas del artículo 22 del RGPD.
El AI Act no impone el artículo 10 a cualquier hoja de cálculo
El artículo 10 del AI Act establece requisitos de gobierno para determinados sistemas de alto riesgo. Exige conjuntos relevantes, suficientemente representativos y, en la medida de lo posible, completos y libres de errores.
No debe trasladarse esa obligación automáticamente a todo uso de IA de una pyme. El papel de la empresa, la clasificación del sistema y el caso de uso determinan las obligaciones. Sin embargo, origen, preparación, sesgos, carencias y contexto de uso son criterios prácticos incluso para proyectos no clasificados como alto riesgo.
La calidad no sustituye la base jurídica, la información ni la intervención humana. La transparencia del AI Act para pymes aborda controles complementarios.
¿Qué significa esto para una pyme?
Deben prestar atención las empresas que conectan IA con CRM, expedientes, historiales, currículos, incidencias, sensores o documentación interna. El riesgo aumenta cuando la salida influye en personas, cuando hay datos sensibles o cuando el sistema ejecuta acciones sin revisión.
Durante las próximas semanas, la pyme puede elegir un proceso limitado, redactar su finalidad, inventariar solo las fuentes necesarias y construir entre veinte y cincuenta casos de prueba propios. Ese tamaño es una recomendación operativa para empezar, no un umbral legal ni una garantía estadística; debe ampliarse si hay muchas variantes o consecuencias relevantes.
El primer proceso recomendable es de apoyo interno y reversible: resumir expedientes, localizar procedimientos o preparar una ficha antes de una llamada. En los casos de uso de IA para empresas pueden compararse procesos, mientras que la sección de implantación técnica de IA ayuda a situar integraciones y controles.
Se necesitan una fuente con responsable, ejemplos válidos, criterios de aceptación y registro de salidas. Hay que controlar accesos excesivos, datos desactualizados, baja cobertura, inferencias incorrectas y decisiones sin revisión.
El resultado debe medirse con indicadores ligados al objetivo: errores por tipo, casos sin respuesta, correcciones humanas, tiempo de revisión, incidencias de privacidad y evolución por segmento. Ahorrar minutos no compensa aumentar reclamaciones o generar decisiones inconsistentes.
Conclusión
Una pyme no necesita esperar a tener datos perfectos, pero tampoco debería desplegar IA sobre una base cuyo propósito y limitaciones desconoce. La decisión correcta suele ser realizar una prueba acotada después de definir la finalidad, reducir los datos y establecer métricas sobre la salida.
Conviene actuar ahora si el proceso es interno, reversible y medible. Si la IA va a decidir sobre personas, utilizar categorías sensibles o operar en un ámbito regulado, la preparación debe incluir una revisión especializada de protección de datos, seguridad y normativa sectorial antes del despliegue.
Preguntas frecuentes
¿Qué significa calidad de datos para IA?
La calidad de datos para IA significa que los datos reúnen las características necesarias para una finalidad y un contexto determinados. Puede incluir actualidad, completitud, consistencia, representatividad, trazabilidad o ausencia de sesgos relevantes. No obliga a maximizar todas esas características: la empresa debe fijar requisitos proporcionados y comprobar también si las salidas cumplen el objetivo sin perjudicar a personas.
¿Es obligatorio limpiar todo el CRM antes de usar IA?
No. Lo adecuado es delimitar primero el proceso y limpiar, documentar o excluir los campos que ese uso necesita. Copiar y corregir todo el CRM puede ser caro e incompatible con la minimización de datos. Una prueba controlada debe revelar qué defectos alteran el resultado, qué información falta y qué fuentes pueden mantenerse fuera sin perder utilidad.
¿Cómo se mide la calidad de las respuestas de una IA?
Se mide con casos de prueba y criterios vinculados a la tarea. Un asistente documental puede evaluarse por citas a fuentes vigentes, respuestas correctas, negativas cuando falta información y ausencia de datos ajenos. Un clasificador necesita medir errores por categoría y segmento, no solo un promedio. La métrica debe incluir la gravedad empresarial de cada tipo de error.
¿El RGPD prohíbe usar datos inexactos para entrenar IA?
No de forma absoluta. El RGPD exige que los datos personales sean exactos y, cuando proceda, estén actualizados respecto a la finalidad. La AEPD explica que determinadas transformaciones o abstracciones pueden ser adecuadas en usos agregados, pero la exigencia aumenta cuando el resultado representa o afecta a una persona concreta. La necesidad, la finalidad y las salvaguardas deben documentarse.
¿Cuándo necesita una pyme asesoramiento especializado?
Lo necesita antes de desplegar usos con datos de salud, biometría, perfiles laborales, crédito, fraude u otras decisiones con efectos relevantes. También cuando desconoce su base jurídica, trata grandes volúmenes, combina fuentes para inferir información o no puede ofrecer revisión humana. Un especialista debe valorar el caso concreto; esta checklist ayuda a preparar la evidencia, pero no sustituye ese análisis.
Fuentes
- AEPD: Exactitud, idoneidad y calidad de los datos en tratamientos de datos personales con Inteligencia Artificial, 21 de julio de 2026.
- Unión Europea: Reglamento General de Protección de Datos, artículos 5 y 22, texto consolidado consultado el 16 de agosto de 2026.
- Comisión Europea: AI Act, artículo 10 — Datos y gobernanza de datos, Reglamento (UE) 2024/1689, 13 de junio de 2024.