Seguridad Software IA Datos Fiscales: Checklist Antes de Usar

Cómo evaluar la seguridad de un software de IA antes de darle tus datos fiscales

Antes de conectar cualquier software de IA a tus datos fiscales, hay una pregunta que casi nadie hace, y que debería ser la primera: ¿dónde va a vivir esa información una vez la subas? La seguridad del software de IA fiscal no es un tecnicismo para departamentos de sistemas grandes. Es una pregunta que cualquier autónomo o gestoría debería hacerse antes de dar de alta una cuenta.

Por qué esto no es paranoia, es sentido común

Un dato fiscal no es solo un número. Es el NIF de un cliente, su facturación real, sus proveedores, a veces datos de terceros que aparecen en una factura. Subir esa información a una herramienta de IA sin verificar nada antes es exactamente el tipo de descuido que después cuesta caro, tanto en términos de RGPD como de confianza con tus propios clientes. Evaluar bien la seguridad de un software de IA fiscal antes de contratarlo te ahorra ese riesgo desde el primer día.

Las certificaciones que de verdad importan (y las que no son obligatorias, pero ayudan)

Aquí conviene distinguir entre lo exigible por ley y lo que aporta garantías extra.

ISO 27001 es el estándar internacional de gestión de seguridad de la información, regulado y auditado por organismos como AENOR (aenor.com). No es obligatorio por ley en España, pero cualquier proveedor serio que maneje datos sensibles debería tenerlo, o estar en proceso de certificación. La versión vigente es la de 2022, con el periodo de transición ya cerrado desde octubre de 2025.

ISO 27701 complementa a la anterior con controles específicos de privacidad alineados con el RGPD. Entre ambas cubren aproximadamente el 85% de los requisitos técnico-organizativos del reglamento europeo, según los criterios que también publica la Agencia Española de Protección de Datos (aepd.es).

La más relevante para tu caso concreto, y la más nueva: ISO 42001, el primer estándar internacional específico para sistemas de gestión de inteligencia artificial. Estructura cómo una empresa gobierna sus modelos de IA: qué decisiones toma, qué registros mantiene, cómo revisa los riesgos. Es previsible que tanto la futura Ley española de IA como el propio Reglamento Europeo terminen apoyándose en esta norma como vía de cumplimiento reconocida.

Si tu proveedor trabaja con el sector público, debería tener además el ENS (Esquema Nacional de Seguridad), regulado por el Real Decreto 311/2022.

El checklist de preguntas que debes hacer antes de contratar

Más allá de las certificaciones, hay preguntas concretas que conviene plantear directamente al proveedor:

• ¿Existe un contrato de encargado de tratamiento (DPA) firmado antes de procesar cualquier dato real? Sin esto, no hay cobertura legal del RGPD, por muchas certificaciones que tenga el proveedor.
• ¿Dónde se almacenan los datos, y hay transferencias fuera de la Unión Europea? Si las hay, deben estar amparadas por cláusulas contractuales tipo u otra garantía equivalente.
• ¿Mis datos se usan para entrenar sus modelos generales? Esta es la pregunta que más se pasa por alto, y la respuesta debería ser un «no» explícito y por escrito, no una ambigüedad en la letra pequeña.
• ¿Qué política de retención y borrado de datos tienen? Debes saber cuánto tiempo conservan tu información después de que dejes de usar el servicio.
• ¿Cómo puedo exportar mis datos si decido cambiar de proveedor? Un buen contrato incluye cláusulas de portabilidad y un plan de salida documentado, no solo la promesa verbal de que «podrás sacar tus datos cuando quieras».
• ¿Tienen mecanismo de transparencia sobre el uso de IA? El propio Reglamento Europeo de IA exige que el proveedor pueda explicar, de forma razonable, cómo funciona su sistema y qué límites tiene.

Las señales de alarma que deberían hacerte parar

Si un proveedor no puede responder con claridad a ninguna de estas preguntas, o te remite solo a unos términos de uso genéricos sin mencionar un DPA específico, es una señal de que no está preparado para manejar datos fiscales con la seriedad que requieren. Lo mismo si evita decir dónde se alojan físicamente los datos, o si la política de privacidad menciona el uso de tus datos «para mejorar el servicio» sin aclarar si eso incluye entrenar modelos.

Un fenómeno que ya empieza a preocupar a los responsables de seguridad es lo que se conoce como shadow AI: empleados o colaboradores que usan herramientas de IA no autorizadas por la empresa, subiendo datos sensibles sin que nadie lo sepa ni lo controle. Si tienes equipo, conviene tener una política clara de qué herramientas están permitidas y cuáles no, en vez de dejarlo a criterio de cada persona.

Un matiz importante: la certificación no es una garantía absoluta

Tener ISO 27001 no inmuniza a un proveedor frente a una brecha de seguridad. Lo que sí hace es desplazar la carga de la prueba: ante un incidente, una empresa certificada puede demostrar que tenía controles razonables implantados y auditados, algo que la Agencia Española de Protección de Datos valora como atenuante. Pero si la certificación cubre solo una parte del servicio y el incidente ocurre fuera de ese alcance, la protección real es limitada. Por eso conviene preguntar también por el alcance exacto de cualquier certificación que te muestren, no solo por su existencia.

Cómo aplicar esto sin bloquear tu trabajo diario

No hace falta convertirte en auditor de seguridad para aplicar este criterio. Para herramientas de uso general como ChatGPT o Gemini, la recomendación que ya dimos en el artículo sobre IA generativa y cómo la usan ya las asesorías sigue siendo la más práctica: anonimiza cualquier dato real antes de subirlo. Para software de gestión fiscal específico —como los que comparamos en A3innuva vs Sage vs Holded—, donde sí vas a introducir datos reales de forma recurrente, es donde este checklist de certificaciones y contrato de tratamiento se vuelve imprescindible.

Preguntas frecuentes

¿Es obligatorio que un software de IA tenga ISO 27001 para poder usarlo?
No es un requisito legal obligatorio en España, pero es un indicador fuerte de seriedad. Su ausencia no significa automáticamente que el proveedor sea inseguro, pero sí que deberás verificar sus garantías por otras vías.

¿Qué es exactamente un DPA y por qué es tan importante?
Es el contrato de encargado de tratamiento exigido por el RGPD, que establece qué puede y no puede hacer el proveedor con los datos personales que le confías. Sin él, no hay cobertura legal clara si algo sale mal.

¿Puedo pedir explicaciones a un proveedor de IA sobre cómo protege mis datos?
Sí, y deberías hacerlo antes de contratar, no después. Un proveedor serio tiene esta información documentada y accesible, no la esconde ni la complica innecesariamente.

¿Qué hago si ya he subido datos fiscales reales a una herramienta sin verificar nada de esto?
Revisa ahora la política de privacidad del proveedor y, si tienes dudas serias, solicita por escrito confirmación sobre uso de datos para entrenamiento y ubicación de almacenamiento. Si la respuesta no te convence, valora migrar a una alternativa con garantías más claras.