La lista de verificación para el proveedor
Pregunte a cada proveedor de IA sobre estos puntos:
- ¿Existe un contrato de tratamiento de datos por encargo según el artículo 28 del RGPD?
- ¿Dónde se almacenan los datos y qué subcontratistas existen?
- ¿Se utilizan datos de clientes para entrenar modelos de IA?
- ¿Cómo se protegen las credenciales de acceso y los campos confidenciales?
- ¿Quién en el equipo ve qué y se puede configurar por persona?
- ¿Se registra lo que ha hecho la IA?
Derechos de acceso: La IA no debe mostrar más que el humano
Un punto que a menudo se pasa por alto: Una IA que lo sabe todo puede dar accidentalmente información a personas que no deberían verla. Por lo tanto, las respuestas de la IA deben regirse por los mismos derechos que la persona que pregunta. Las tareas personales, los calendarios privados y los buzones de correo ajenos no deben formar parte de la respuesta a los colegas.
Lo que exige adicionalmente la Ley de IA de la UE
Desde febrero de 2025, las empresas que utilizan IA deben garantizar la competencia suficiente en IA de sus empleados (artículo 4). Quien se comunica con personas a través de una IA debe revelarlo (artículo 50). Para los sistemas de alto riesgo, se requiere una supervisión humana efectiva (artículo 14).
Reino Unido, EE. UU. y Canadá
En el Reino Unido rige el RGPD del Reino Unido con principios muy similares. En EE. UU. no existe una ley federal unificada, pero sí leyes estatales como la Ley de Privacidad del Consumidor de California. En Canadá, la PIPEDA regula el tratamiento de datos personales en el sector privado. La lista de verificación anterior es un buen punto de partida en todas partes.
¿Quién hace qué?
AIRIS prepara
- Almacenamiento de datos en la UE: La base de datos se encuentra en Frankfurt, los archivos en centros de datos en la UE. Los datos de los clientes no se utilizan para entrenar modelos de IA.
- Los derechos también se aplican a AIRIS: AIRIS solo muestra a cada uno lo que él mismo tiene permiso para ver. Las tareas y los calendarios son personales, los buzones de correo pertenecen a una sola empresa.
- Registro y autorizaciones: Lo que hace AIRIS se registra. Usted determina la autonomía con la que trabaja para cada tarea.
- Competencia en IA según la Ley de IA de la UE: Formación con certificado para su equipo.
Usted decide
- Qué datos pertenecen a un sistema de IA, lo decide la empresa, no el proveedor.
- Categorías especiales como los datos de salud requieren una evaluación propia.
- Esta guía no sustituye el asesoramiento legal.
