El Checklist RGPD skill para Claude

El problema que resuelve la skill no es que los empresarios no conozcan el RGPD. Es que no saben qué tratan. Pregunta al dueño de una empresa de instalaciones qué datos personales circulan en su empresa y la respuesta suele ser: nombres y direcciones de clientes, creo. Sigue preguntando y se convierten en veinte: las fotos de cuadros eléctricos en un grupo de WhatsApp, la lista de planificación en el móvil del encargado, las cartas de candidatura en una carpeta de correo, las exportaciones en la carpeta Descargas de un portátil que ya nadie usa. Sin ese panorama, cualquier checklist es una adivinanza, y por eso esta skill no empieza por la ley sino por el inventario.

Lo que recibes es, a propósito, no un documento con sellos. Es un resumen de siete bloques donde por cada elemento se indica qué contaste tu mismo, qué ha deducido la skill de eso, y qué código de estado le corresponde. Cinco códigos: en orden, incompleto, falta, desconocido y a abogado. Desconocido es un resultado válido y la skill nunca lo disimula. Suena a detalle, pero es exactamente donde fallan la mayoría de las herramientas de RGPD: marcan una casilla porque se ha rellenado algo, no porque se haya resuelto algo.

La skill es útil para cualquiera con una empresa y sin departamento de privacidad. El autónomo al que un cliente le pregunta si cumple el RGPD. La pyme de quince personas que desde hace dos años tiene tienda online y nunca ha pensado en todo lo que hay ahí dentro. La agencia que trata datos de clientes de sus clientes y no sabe si es encargada o responsable del tratamiento. Forma parte de la biblioteca de skills NL que ofrecemos gratis desde el servicio IA y automatización, sin cuenta y sin correo comercial después.

Algo se dice de inmediato en el archivo, y aquí lo recogemos literalmente: esto no es asesoramiento legal y la skill no dice en ningún momento si algo es lícito. Ante un incidente en curso, una carta de la autoridad de control, una queja de un cliente o empleado o un litigio, deja de seguir el checklist y remite a un abogado especializado en privacidad y a la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens). Eso no aparece en la letra pequeña al final, aparece al principio, en los casos en los que la skill no debe empezar, y aparece en cada resultado que entrega.

Las casillas hablan de documentos, no de datos. Una política de privacidad, un aviso de cookies y un contrato de encargo de tratamiento son el lado visible. El lado invisible es el archivo de exportación con datos de clientes que alguien envió el año pasado a su correo personal. Por eso esta skill empieza en los bloques 1 al 4, es decir, en los datos mismos, y solo después en el papeleo.

El checklist se rellena solo. Un resumen RGPD de una tienda online se parece a cualquier otro resumen RGPD de una tienda online, y por eso un modelo de lenguaje es peligroso aquí: sabe qué suele haber y lo rellena. El archivo llama a eso el error que ocurre más rápido, y el autocontrol tiene una comprobación propia para ello. Todo lo que el usuario no dijo, se elimina o se convierte en pregunta.

Sale un veredicto que nadie puede dar. En el momento en que una herramienta dice que cumples, se ha convertido en un veredicto legal. Eso se rechaza en ambas direcciones: no dice que algo esté permitido, y tampoco que algo esté mal. Describe lo que contaste, pone al lado lo que dice literalmente la ley, y convierte el resto en una pregunta para un abogado. Tranquilizar también es un veredicto, y el autocontrol lo elimina con la misma firmeza.

Aparecen plazos que no vienen de ninguna parte. Este es el error más frecuente en los textos sobre RGPD en internet, y los modelos de IA lo repiten con gusto. El RGPD casi no menciona plazos de conservación concretos: el artículo 5, apartado 1, letra e, solo dice que no conservas más tiempo del necesario para la finalidad. Los plazos que sí encuentras vienen de otras leyes, como la obligación fiscal de conservación de siete años del artículo 52 de la Algemene wet inzake rijksbelastingen, la ley general tributaria neerlandesa. Por eso no puede rellenar un plazo por su cuenta, ninguno.

No sale ningún primer paso. Cincuenta recomendaciones son tan útiles como cero. Por eso sale un único siguiente paso, con quién lo hace y qué queda resuelto cuando está listo, y el resto se convierte en una lista de preguntas para el abogado. Así sabes qué resuelves tu mismo y por qué pagas. Eso se nota en la factura del abogado, porque buscar lo haces tu y decidir lo hace él.

En formato diff, con la corrección que el autocontrol aplica en casi todos los primeros borradores: el veredicto fuera, la descripción con la pregunta dentro.

Después viene el núcleo: nueve acciones fijas. Primero se determina si esto es un inventario o un incidente, porque ante algo que está ocurriendo ahora, el checklist se detiene.

Pregunta por el contexto. Recorre los siete bloques con tres a cinco preguntas por bloque, en porciones pequeñas en vez de una lista de treinta líneas. Anota por cada respuesta si la dijo el usuario o la dedujo él mismo. Pone un código de estado por elemento. Añade lo que dice literalmente el RGPD, con artículo, y lo que precisamente no dice. Concreta el siguiente paso. Ejecuta la pasada de autocontrol. Y cierra con el bloque de límites, que nunca desaparece, tampoco si se lo pides.

Antes de rellenar los bloques, la skill repasa una checklist de entrada obligatoria de ocho puntos: a qué se dedica la empresa y cuánta gente trabaja ahí, quiénes son los interesados, qué tipos de datos circulan, qué sistemas y herramientas se usan, incluidos los teléfonos sueltos y las carpetas de papel, qué partes tratan datos por encargo, si hay datos que salen del Espacio Económico Europeo, qué documentos existen ya, y si alguna vez algo ha ido mal. En ese último punto está la derivación: si es algo que ocurre ahora, el checklist no sigue adelante. Una línea de esa checklist llama la atención y es típica de este tema: no pedir datos personales reales. Basta con categorías, y una lista de clientes entregada no la usa la skill.

El resultado tiene una estructura fija de ocho bloques. Un recuadro con empresa, fecha y cuántas respuestas quedan en desconocido. Los siete bloques con el origen y el código de estado por línea. Lo que está en orden, y ese bloque puede quedar vacío. Lo que falta o es desconocido, ordenado según de cuántas otras respuestas depende y explícitamente no por riesgo, porque valorar el riesgo es trabajo legal. El siguiente paso. Cinco a diez preguntas para tu abogado, formuladas tal cual, con los datos de la conversación incluidos. El límite de este resumen. Y por último un bloque con lo que ha ajustado el autocontrol.

Ese bloque con preguntas para el abogado es donde la skill vale lo que cuesta, aunque no cueste nada. En el ejemplo del archivo entrega siete, entre ellas: ¿es nuestra gestoría, para la gestión de nóminas, un encargado de tratamiento o un responsable independiente?, y ¿caemos bajo la obligación de registro del artículo 30 o bajo la excepción del apartado 5? Son preguntas con las que un abogado puede ponerse a trabajar de inmediato, y con las que un empresario solo se queda atascado porque la respuesta depende de las circunstancias.

El archivo incluye además dos ejemplos completos con entrada y salida completa, un capítulo con reglas de escritura, las once cosas que la skill nunca hace, una lista de momentos en los que necesitas un abogado o la Autoridad de Protección de Datos, y una lista de fuentes con cuatro fuentes principales más dos leyes que aparecen junto al RGPD. Si quieres aprender a montar tu propio archivo de instrucciones así, el método está en cómo escribir un SKILL.md NL.

Las bases legales están en el artículo 6, apartado 1. Seis en total: consentimiento, ejecución de un contrato, obligación legal, interés vital, interés público o poder público, e interés legítimo. Lo que ahí no aparece es qué base encaja con tu boletín, tu videovigilancia o tu cartera de clientes. Por eso se anota qué base crees usar, y no se confirma. Con el interés legítimo, el elemento va por defecto al abogado, porque es la base sobre la que en la práctica hay más discusión.

El registro de actividades de tratamiento está en el artículo 30, con una excepción en el apartado 5. Esa excepción vale para organizaciones con menos de 250 empleados, salvo que el tratamiento pueda suponer un riesgo para los derechos y libertades de los interesados, el tratamiento no sea ocasional, o se trate de categorías especiales de datos personales o de datos sobre condenas penales. Esas excepciones se añaden siempre, sin concluir si tu empresa entra en ellas. Es exactamente el tipo de pregunta que llevas al abogado, y el resumen que haces con la skill contiene la mayor parte de lo que él querrá saber entonces.

El contrato de encargo de tratamiento está en el artículo 28. La relación con un encargado se fija en un contrato u otro acto jurídico, y el artículo enumera lo que debe quedar regulado ahí. Lo que no dice es si una parte concreta es, en tu caso, encargada de tratamiento. Con una gestoría esa respuesta no siempre es la misma, y la skill no se posiciona ahí.

La notificación de brechas de datos está en el artículo 33. Una violación de seguridad se notifica sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener conocimiento de ella, a la autoridad de control, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas. El apartado 5 de ese mismo artículo dice que documentas cada violación, también las no notificadas. El artículo 34 trata de informar a los propios interesados cuando el riesgo sea probablemente alto. Esas palabras probable y riesgo son exactamente la razón por la que la skill no hace esa valoración: es un veredicto legal sobre una situación concreta.

Dos cosas que a menudo se confunden y que el archivo mantiene separadas. Los plazos de conservación casi nunca vienen del RGPD: el artículo 5, apartado 1, letra e, solo menciona el principio de limitación del plazo de conservación, y los plazos concretos vienen de otras leyes, como la obligación fiscal de conservación de siete años del artículo 52 de la Algemene wet inzake rijksbelastingen, la ley general tributaria neerlandesa. Y las cookies están reguladas en los Países Bajos en el artículo 11.7a de la Telecommunicatiewet, la ley de telecomunicaciones neerlandesa, no en el RGPD. Por eso puede mencionar las cookies como tema aparte, pero no evalúa un banner de cookies. Quien quiera revisar su web en ese punto, mejor con un especialista en WordPress que conozca la técnica detrás, y después aún con un abogado para el veredicto.

Después el uso es sencillo: cuenta a qué se dedica tu empresa, cuánta gente trabaja y qué herramientas usas. Ella misma pregunta lo que falta, bloque por bloque, y no pide datos reales de clientes. Cuánto dura esa conversación depende sobre todo de cuánto tengas ya a mano: en cuanto tengas que buscar dónde están las cosas, se alarga. Por cierto, esa búsqueda no es tiempo perdido sino el objetivo del ejercicio. Si te atascas al instalar, el plan de pasos completo por entorno está en instalar skills de Claude NL, y la explicación más amplia sobre trabajar con IA la encuentras en la base de conocimiento NL.

También hay situaciones en las que es mejor no usártela, y el archivo es breve sobre esto. No ante un incidente que está ocurriendo ahora: entonces llamas a un abogado y miras la web de la Autoridad de Protección de Datos, y eso es lo primero que dice también la skill. No ante una carta del supervisor o una queja de un cliente o empleado. No para que te confirme que algo está permitido. Y no si esperas un documento que puedas enseñar a un cliente como prueba de que todo está resuelto, porque ese documento no lo hace y esa afirmación no la hace.

Otro límite honesto, y ese vale para cualquier skill: esto es un modelo de lenguaje con una instrucción, no un sistema que examina tu empresa. No ve tus sistemas, no puede comprobar si lo que dices es cierto, y no sabe qué hay en tu correo. Todo lo que entrega se apoya en tus respuestas. Eso no es una carencia de este archivo sino la naturaleza de la herramienta, y por eso la skill lo repite en cada resumen.

Lo que sí funciona bien es combinarla con un par de otras skills de la misma biblioteca. El Analista Pre-mortem NL te hace pensar de antemano en qué puede salir mal antes de que salga mal, y esa es exactamente la conversación que corresponde al bloque 7. El Analista Red Team NL ataca tus propias suposiciones, por ejemplo la suposición de que solo tu puedes acceder al correo compartido. Y el Coach de Estructura de Problemas MECE NL es la comprobación de integridad para quien quiere estar seguro de que ninguna categoría de datos ha quedado fuera del panorama.

Si después pones a la IA a trabajar en algo donde entran datos personales, quieres saber de antemano qué pasa con ellos. Lo que acordamos y lo que no prometemos está en la política de IA, y lo que hacemos público sobre nuestro propio uso de IA está en la transparencia sobre IA. Si quieres que tu equipo trabaje con IA sin que acaben datos donde no deben, eso corresponde a las formaciones de IA.