Depende del dato y del servicio

Una pregunta habitual es si es seguro que un sistema de IA procese documentos de la empresa. La respuesta rigurosa es que depende de dos factores: qué información se procesa y con qué servicio. No es lo mismo un catálogo público que un contrato con datos de clientes, ni una cuenta personal que un servicio empresarial configurado por el responsable técnico.

Antes de procesar información real, reviso las políticas internas de la empresa y qué servicios están autorizados. Para validar una idea, utilizo documentos de prueba sin datos reales.

Entrenamiento, conservación y acceso son cuestiones distintas

Los principales proveedores indican que, por defecto, no utilizan para entrenar sus modelos los datos de sus servicios empresariales ni de su API. Es un dato relevante, pero no resuelve todas las cuestiones: también hay que saber durante cuánto tiempo se conservan los datos, dónde se procesan, quién puede acceder a ellos y qué servicios integrados los reciben.

Esas respuestas dependen del servicio concreto contratado y de su configuración. Desconfío de las afirmaciones generales sobre «la IA» que no se refieren a un servicio y una cuenta concretos.

Un sistema a medida no elimina los proveedores

Desarrollar un sistema propio no garantiza por sí mismo la privacidad. Una aplicación a medida puede seguir enviando información a un proveedor externo para su procesamiento, así que hay que revisar cada componente por el que pasan los datos: el modelo, la base de datos de búsqueda, los registros técnicos y las integraciones.

Cuando los requisitos lo exigen, existen alternativas: proveedores con procesamiento en la Unión Europea, modelos desplegados en infraestructura propia o la anonimización de los datos antes de procesarlos. Cada opción tiene implicaciones de coste y de calidad que conviene evaluar.

Cómo lo documento

Antes de poner un sistema en producción dejo documentado qué proveedores intervienen, qué datos procesa cada uno, dónde y con qué condiciones, y cuál es la base legal del tratamiento conforme al RGPD. Si el sistema puede clasificarse en alguna categoría regulada por el Reglamento europeo de IA, también se revisan sus obligaciones específicas.

Con esa documentación, la empresa puede decidir con criterio qué información procesa cada sistema y responder con seguridad a cualquier consulta de un cliente o de su responsable de protección de datos.

Fuentes para ampliar

Si quieres asegurar que tus sistemas de IA cumplen los requisitos de privacidad de tu empresa, aquí explico cómo trabajo o agendamos una reunión y lo analizamos con tu caso.