Seis preguntas a cualquier proveedor de IA antes de confiarle datos de clientes

Muchas empresas dudan a la hora de adoptar la inteligencia artificial debido a la protección de datos, a menudo con razón. La buena noticia: no hace falta ser jurista para reconocer a los proveedores fiables. Debería plantear estas seis preguntas a cualquier proveedor antes de transferir datos de clientes. Quien responda con evasivas, ya habrá dejado clara su postura.

1. «¿Existe un contrato de encargo de tratamiento (DPA)?»

De conformidad con el artículo 28 del RGPD, se requiere un contrato en el que el proveedor garantice que únicamente tratará los datos siguiendo sus instrucciones. Sin este contrato, no debe transferirse ningún dato de clientes.

2. «¿Dónde se alojan los datos y qué otros terceros intervienen?»

Pregunte por los centros de datos y los subencargados del tratamiento. Alojar los datos en la UE simplifica considerablemente la situación jurídica.

3. «¿Se utilizarán mis datos para entrenar el modelo?»

La única respuesta adecuada es no. Los datos de sus clientes le pertenecen a usted, no al modelo de IA de un proveedor.

4. «¿Tiene la IA acceso a más información que el empleado que realiza la consulta?»

Una cuestión que suele pasarse por alto. Una IA con acceso ilimitado puede revelar involuntariamente a determinados empleados información a la que no deberían tener acceso, por ejemplo, correos electrónicos privados o calendarios personales. Las respuestas de la IA deben estar sujetas a los mismos permisos que el usuario humano.

5. «¿Qué acciones puede ejecutar la IA de forma autónoma y es posible modificarlo?»

Para cada tarea debe poder configurarse si la IA solo sugiere, si actúa tras una aprobación previa o si opera de manera autónoma, con la posibilidad de revocar dicha configuración en cualquier momento.

6. «¿Es posible auditar cada acción realizada?»

Un registro detallado de qué hizo la IA, cuándo y por qué motivo constituye la base indispensable para el control interno y la respuesta a solicitudes de ejercicio de derechos.

¿Y fuera de la Unión Europea?

En el Reino Unido se aplica el UK GDPR bajo principios muy similares; en los Estados Unidos rigen normativas estatales como la California Consumer Privacy Act (CCPA); y en Canadá, la PIPEDA. Estas seis preguntas representan un excelente punto de partida a nivel global, si bien no sustituyen el asesoramiento jurídico formal.