El RAT como documento vivo: cuatro señales de que su registro de tratamientos murió en 2019 y qué revisa la autoridad
8 de julio de 2026 · Por David Soler
El artículo 30 del RGPD no exige un documento: exige una fotografía fiel de lo que su organización hace hoy con los datos personales. La mayoría de las empresas cumplió el trámite en 2018 o 2019, guardó el Word en una carpeta compartida y no volvió a abrirlo. Ese fichero sigue existiendo. Su valor como evidencia, no.
¿Cómo saber si su RAT está muerto?
Un registro de actividades de tratamiento muerto se reconoce sin leerlo entero. Estas son las cuatro señales habituales:
- Fechas antiguas: la última modificación del fichero es anterior a herramientas que usted utiliza a diario.
- Tratamientos fantasma: figuran actividades que la empresa abandonó hace años y que nadie se ocupó de retirar.
- Ausencias delatoras: no aparecen la videovigilancia, el control horario ni ningún tratamiento apoyado en inteligencia artificial, aunque todos existan en la práctica.
- Nadie firma: no consta un responsable de revisión ni un ciclo de actualización definido.
Cualquiera de estas señales por separado es un aviso. Las cuatro juntas describen un documento que ya no protege a nadie.
¿Qué revisa la autoridad de datos cuando lo solicita?
El RAT suele ser el primer documento requerido en una inspección, porque orienta todo lo demás. La autoridad contrasta tres planos:
- Coherencia interna: que cada tratamiento tenga base jurídica, finalidad, plazos de conservación, destinatarios y transferencias internacionales bien declarados.
- Coherencia externa: que lo que dice el registro coincida con lo que la empresa hace de verdad en su web, sus cámaras, sus proveedores y sus herramientas.
- Trazabilidad: quién lo mantiene, cuándo se revisó por última vez y qué cambió entre versiones.
Un registro desactualizado no es un defecto formal menor: convierte cada discrepancia en un indicio de que el resto del sistema de cumplimiento también es de papel. Con el RGPD previendo multas de hasta 20 millones de euros o el 4% de la facturación global, presentar en 2026 un RAT parado en 2019 es entregar el argumento a la inspección.
El RAT no demuestra que usted cumple: demuestra que usted sabe lo que hace con los datos. Un registro congelado en 2019 demuestra exactamente lo contrario.
La IA convierte el registro congelado en un riesgo doble
El 2 de agosto de 2026 el Reglamento de Inteligencia Artificial será plenamente aplicable, con sanciones de hasta 35 millones de euros o el 7% de la facturación global. Todo sistema de IA que trate datos personales debe estar reflejado en el RAT; si su registro ni siquiera menciona la palabra, tiene dos frentes abiertos con un solo documento. Y quien opera también en LATAM debe mirar a Chile: la Ley 21.719, con entrada en vigor en diciembre de 2026 y multas de hasta 20.000 UTM, importa la misma lógica de responsabilidad proactiva. Los registros vivos serán exigibles en las dos orillas.
Del papel a la evidencia: cómo resucitar su registro
- Inventaríe lo que realmente ocurre: sistemas, cámaras, herramientas de IA y proveedores con acceso a datos.
- Contraste ese inventario con el RAT actual: retire los tratamientos extintos e incorpore los nuevos.
- Asigne un responsable de revisión y un ciclo definido, semestral o ante cada cambio relevante.
- Documente cada versión: fecha, autor y motivo del cambio son su mejor defensa ante una solicitud.
Antes de empezar, mida el coste de no hacerlo: nuestra calculadora de exposición regulatoria le indica en minutos a cuánto asciende su riesgo con el registro que tiene hoy. Del papel a la evidencia solo hay un primer paso: saber dónde está usted.