Formulario de solicitud de aprobación
de herramientas de IA

Cualquier herramienta de IA que vaya a usarse con fines laborales debe pasar por algún nivel de aprobación. Como mínimo, cualquier herramienta que vaya a tratar datos de la empresa, incluso datos internos no sensibles, debe ser aprobada por Seguridad de TI. Las herramientas que vayan a tratar datos personales, datos de clientes, datos financieros o información regulada requieren una revisión completa a nivel de comité. Las herramientas usadas únicamente con datos disponibles públicamente y no pertenecientes a la empresa pueden gestionarse mediante un proceso de aprobación delegado más ligero.

Un acuerdo de tratamiento de datos (DPA) es un acuerdo contractual entre su organización (como responsable del tratamiento) y un proveedor de IA (como encargado del tratamiento) que rige cómo el proveedor trata los datos personales en su nombre. Conforme al artículo 28 del RGPD, un DPA es legalmente obligatorio siempre que un tercero trate datos personales por usted. Para las herramientas de IA, el DPA debe abordar específicamente si el proveedor usa sus datos de entrada para entrenar sus modelos, cuánto tiempo conserva sus datos, qué ocurre con sus datos si rescinde el contrato y si sus datos se usan para fines distintos de la prestación del servicio contratado.

Las solicitudes estándar de aprobación de herramientas de IA deben tramitarse en un plazo de 10 días hábiles desde una presentación completa. Las solicitudes que requieren la aprobación del CISO suelen tardar 15 días hábiles. Las solicitudes complejas que requieren una diligencia debida completa del proveedor, una revisión legal o la negociación de un DPA pueden tardar 30 días hábiles o más. Comunicar plazos claros a los solicitantes y ofrecer un mecanismo de seguimiento de solicitudes reduce la adopción del Shadow AI: los empleados adoptan herramientas no aprobadas cuando no saben cuándo, ni si, se tramitará su solicitud.

Usar herramientas de IA no aprobadas con fines laborales (Shadow AI) es una infracción de la política que debe abordarse mediante su proceso disciplinario. La gravedad depende de qué datos se introdujeron: si solo se trató de datos internos no sensibles, lo habitual es una advertencia formal y un reciclaje; si se introdujeron datos personales, confidenciales o restringidos, el incidente debe tratarse como una posible violación de datos e investigarse conforme a su procedimiento de respuesta a violaciones de datos, que puede requerir una notificación regulatoria conforme al artículo 33 del RGPD.