Datos para la IA
Guía de clasificación

Como mínimo, las siguientes categorías de datos nunca deben introducirse en ninguna herramienta de IA, salvo que la herramienta haya sido aprobada específicamente para ese tipo de datos con los controles adecuados implementados: información de identificación personal (PII) sobre clientes, empleados u otras personas; datos de cuentas financieras, datos de tarjetas de pago o datos bancarios; historiales sanitarios o médicos; credenciales, contraseñas, claves API o tokens de autenticación; comunicaciones amparadas por secreto profesional (abogado-cliente, médico-paciente); secretos comerciales, planes de producto no divulgados, información de M&A; y código fuente de sistemas que tratan datos sensibles. La pregunta clave es: si estos datos aparecieran en el conjunto de entrenamiento del proveedor de IA y se reflejaran en las respuestas a otros usuarios, ¿cuál sería la consecuencia? Si la respuesta es una infracción regulatoria, responsabilidad jurídica o un daño material para el negocio, los datos no deben entrar en una herramienta de IA externa.

Una implementación práctica requiere tres capas que funcionen conjuntamente. Primera, la capa de política: un esquema de clasificación claro y documentado con reglas explícitas para las herramientas de IA en cada nivel, redactado en un lenguaje claro que los empleados puedan aplicar sin ambigüedad. Segunda, la capa de formación: formación periódica de los empleados con ejemplos realistas de datos que realmente encuentran, con escenarios de decisión que desarrollen la intuición de clasificación. Tercera, la capa técnica: reglas de DLP que detecten patrones de datos relevantes para la clasificación (números de tarjeta de crédito, números del NHS, métricas financieras de la empresa) que se envían a servicios de IA, y una plataforma de seguridad de IA que supervise todo el uso de herramientas de IA y señale las infracciones de la política. La capa técnica es lo que hace aplicable la clasificación, sin ella, la clasificación es una pauta y no un control.

Sí, y aquí es donde la mayoría de las organizaciones se equivocan. El nivel de clasificación de datos adecuado para una herramienta de IA dada depende de: si la herramienta cuenta con un acuerdo de tratamiento de datos y una garantía de no entrenamiento (esencial para cualquier herramienta utilizada con datos Interno o superiores); dónde se procesan y almacenan los datos (solo en la UE para datos sensibles conforme al RGPD); qué certificaciones de seguridad posee la herramienta (SOC 2 Type II, ISO 27001); y si la herramienta es un producto empresarial o un producto de consumo con valores predeterminados de tratamiento de datos distintos. El mismo tipo de datos puede estar permitido en una herramienta de IA y prohibido en otra en función de estos factores. Su política de uso aceptable de la IA debe especificar explícitamente las herramientas aprobadas para cada nivel de clasificación, en lugar de dejar que los empleados tomen esta decisión por sí mismos.

El uso de datos personales con herramientas de IA genera varias obligaciones conforme al RGPD. Como responsable del tratamiento, usted debe garantizar una base jurídica para la actividad de tratamiento, lo que, en el trabajo asistido por IA, suele significar interés legítimo o ejecución de un contrato, dos fundamentos que requieren una evaluación de la necesidad. Si el proveedor de IA es un encargado del tratamiento, necesita un DPA conforme al RGPD en virtud del artículo 28 antes de tratar cualquier dato personal. Si las condiciones del proveedor lo convierten en responsable del tratamiento (habitual en los productos de IA de consumo), debe evaluar si la transferencia a ese responsable cuenta con una base jurídica. El principio de minimización de datos (artículo 5(1)(c)) exige que solo se utilicen los datos personales estrictamente necesarios, enviar una base de datos completa de clientes a una herramienta de IA para una tarea que podría realizarse con datos anonimizados infringiría probablemente este principio. Por último, cualquier sistema de IA que tome decisiones automatizadas sobre personas puede activar los derechos del artículo 22, lo que exige procesos de revisión humana.