RAG conforme al RGPD: arquitectura de referencia

Ideas clave

Elimina los datos personales antes de indexar y otra vez antes de cada llamada al modelo.
Ejecuta los embeddings y la inferencia en la UE, o autoaloja un modelo de pesos abiertos.
Aplica los permisos por documento en el momento de la recuperación, no en el prompt.
Conserva solo los eventos de auditoría necesarios, oculta los datos personales innecesarios y define acceso y conservación.

Por qué el RAG crea riesgo con el RGPD

Un sistema RAG recupera fragmentos de tus documentos y los envía a un modelo de lenguaje. Si contienen datos personales, el RGPD se aplica a la ingesta, los vectores, la búsqueda, las llamadas al modelo y los registros. Define una finalidad y base jurídica, aplica permisos antes de la búsqueda y establece conservación y borrado para todo el sistema.

Resuelve primero lo jurídico

Papeles: normalmente eres el responsable del tratamiento, y cada proveedor que toca los datos (servicio de embeddings, alojamiento de la base vectorial, alojamiento del modelo) es un encargado que necesita un acuerdo del artículo 28.
Base jurídica: anota la finalidad del asistente y la base jurídica de cada tipo de datos al que puede acceder.
Evaluación de impacto: cuando el tratamiento pueda ser de alto riesgo, por ejemplo con documentos de salud o de recursos humanos, realiza una EIPD según el artículo 35 antes del lanzamiento.
Transparencia: informa al personal o a los clientes de que un asistente de IA trabaja con esos datos, según los artículos 13 y 14.
Modelos: pregunta a cada proveedor si tus datos se usan para entrenamiento y consigue la respuesta en el contrato.

Arquitectura de referencia

Ingesta: detectar y enmascarar los datos personales, conservar una correspondencia reversible solo donde sea estrictamente necesario y registrar la fuente, el responsable y la fecha de cada documento.
Índice: un almacén vectorial alojado en la UE con etiquetas de acceso por documento y un vínculo guardado de cada fragmento a su documento para poder borrarlo.
Recuperación: filtrar por los permisos del usuario antes de ordenar, de modo que un fragmento que el usuario no puede ver nunca sea candidato.
Generación: un modelo en una región de la UE o autoalojado, sin entrenamiento con tus datos, una segunda pasada de eliminación de datos sobre el prompt y la instrucción de responder solo con los pasajes recuperados.
Auditoría: un registro de solo adición de la consulta, las fuentes y la respuesta, con los valores eliminados y un plazo de conservación definido.

Elegir dónde se ejecuta el modelo

Opción	Residencia de los datos	Esfuerzo
Proveedor verificado, región de la UE	UE, con contrato de encargado	Bajo
Modelo de pesos abiertos, nube de la UE	UE, tu cuenta	Medio
Modelo de pesos abiertos, en local	Tus servidores	Mayor

Una región de la UE resuelve dónde están los servidores, no qué ley de qué país puede alcanzar al operador, así que para los documentos más sensibles nos inclinamos por proveedores con sede en la UE o por tus propios servidores. Nuestra guía sobre plataformas de IA alojadas en la UE repasa las opciones y las preguntas que hay que hacer.

¿Qué plataformas se recomiendan para RAG con residencia de datos en local y cumplimiento del RGPD?

No hay una única plataforma recomendada, porque el RAG en local es una pila de capas y cada una tiene buenas opciones de código abierto y con sede en la UE. Lo que importa es que cada capa se ejecute en una infraestructura que controlas, para que nada salga de ella. Una configuración autoalojada típica es la siguiente.

Capa	Opciones que pueden ejecutarse en tus servidores	Qué comprobar
Almacén vectorial	Qdrant (Apache 2.0), Postgres con la extensión pgvector, Weaviate o Milvus	Filtros de acceso por documento, copias de seguridad y cifrado en reposo. Pgvector guarda los vectores junto al resto de tus datos, mientras que algunos almacenes tienen más componentes que operar
Servicio de modelos	vLLM (Apache 2.0) para tráfico de producción, Ollama o llama.cpp para despliegues pequeños y pruebas	Capacidad de GPU, cuántas peticiones se atienden a la vez y una API compatible con OpenAI para poder cambiar de modelo
Orquestación	Haystack, LlamaIndex o código propio	Lo fácil que es inspeccionar cada paso y probar la recuperación por separado de la generación
Modelos	Modelos de lenguaje y de embeddings de pesos abiertos que alojas tú	Condiciones de licencia para uso comercial, cobertura de idiomas y precisión con tus propios documentos
Acceso	Tu inicio de sesión único existente con acceso por roles	Permisos aplicados en la recuperación, no en el prompt
Gobernanza	Eliminación de datos, registro de auditoría, conservación y borrado	La arquitectura anterior, probada de principio a fin

¿Qué pasa cuando alguien te pide que borres sus datos?

Cuando el artículo 17 exija suprimir datos, localízalos en documentos, fragmentos, vectores, cachés y registros. Borra o restringe copias según la obligación aplicable y gestiona las copias de seguridad mediante el proceso documentado de restauración y caducidad. Registra los cambios y comprueba que la búsqueda no expone los datos.

Trata los embeddings como datos personales cuando se crean a partir de datos personales. A veces se puede inferir el texto a partir de los vectores, así que una base de datos vectorial no es un paso de anonimización.

Riesgos de seguridad propios del RAG

Riesgo	Cómo se manifiesta	Control
Inyección de prompts	Un documento contiene instrucciones ocultas que el modelo sigue	Tratar el texto recuperado como datos, limitar lo que el modelo puede hacer, filtrar las salidas
Divulgación de información sensible	La respuesta revela datos que el usuario no debería ver	Filtro de permisos en la recuperación, eliminación de datos, comprobación de las salidas
Debilidades de vectores y embeddings	Índices mal aislados mezclan clientes o filtran contenido	Índices separados o filtros estrictos por cliente, control de acceso en el almacén vectorial
Desinformación	Una respuesta segura que los pasajes no respaldan	Citas, la instrucción de responder solo desde las fuentes y una salida alternativa cuando la recuperación es débil

Lista antes de la puesta en marcha

Acuerdos de encargado firmados con todos los proveedores de la cadena, incluidos los subencargados.
EIPD completada cuando proceda, con las decisiones de eliminación de datos y alojamiento registradas.
Filtrado por permisos probado con cuentas que no deben ver ciertos documentos.
Supresión probada de principio a fin con un documento de prueba.
Plazo de conservación de registros fijado y registros con datos eliminados.
Un conjunto de preguntas reales con fuentes esperadas, usado para probar la recuperación y las respuestas.

Cuéntanos qué documentos necesita tu asistente y quién debe acceder a ellos. Definiremos un sistema RAG con permisos, ocultación de datos y borrado verificable.

Define tu sistema RAG

FAQ

¿Puedo usar un proveedor de modelos con sede en EE. UU.?

Evalúa las ubicaciones de tratamiento, los contratos y los accesos reales del proveedor. Las transferencias fuera del EEE necesitan una base válida del capítulo V y las garantías correspondientes. Un despliegue europeo no sustituye la evaluación completa del RGPD.

¿Son datos personales los embeddings?

Deben tratarse como datos personales cuando derivan de datos personales, porque a veces se puede inferir contenido a partir de ellos. Protégelos y bórralos junto con el documento fuente.

¿Necesitamos una EIPD para un asistente interno de conocimiento?

Si accede a documentos de salud, de recursos humanos u otros sensibles, o trata datos personales a gran escala, probablemente sí. Para una base de conocimiento pública e inofensiva suele bastar una breve nota escrita de evaluación previa.

Fuentes

Sobre el autor

Artem Synytskyi · Cofundador · IA

Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.

RAG y RGPD: permisos, alojamiento y borrado