Antes de subir un documento de un cliente

Subir un archivo a una herramienta de IA parece tan rutinario como adjuntarlo a un correo, pero del lado del proveedor pasan más cosas. El archivo viaja a los servidores de otra empresa, se queda ahí un tiempo, puede verlo su personal o algún sistema automático, y queda sujeto a condiciones que muchos aceptamos sin leer.

Entre los socios de PlexorMedia hay un auditor de seguridad de la información y privacidad, así que revisamos las herramientas de IA como un auditor revisa a cualquier proveedor que va a custodiar información ajena. Las preguntas de un auditor no exigen conocimientos técnicos, y casi todas las respuestas están en el sitio web del proveedor, para quien tenga paciencia con la letra pequeña.

Seis preguntas para cualquier herramienta de IA

1. ¿Adónde va el archivo?

Empiece por la política de privacidad y, si existe, la página de seguridad del proveedor. Busque qué empresa recibe los datos, en qué países se tratan y almacenan, y qué otras empresas (sus subencargados) intervienen por el camino. Si un contrato con su cliente o una ley limita adónde puede ir esa información, aquí sabrá si la herramienta le sirve.

2. ¿Se usa para entrenar los modelos del proveedor?

La respuesta varía según el plan y cambia con el tiempo. En muchos planes para consumidores, lo que usted escribe y sube puede usarse para entrenar los modelos, salvo que lo desactive. Los planes para empresas suelen incluir el compromiso de no hacerlo. Localice la opción, a menudo entre los ajustes de privacidad, y compruebe si desactivarlo afecta a las conversaciones anteriores o solo a las nuevas. Revise también qué dicen las condiciones sobre las valoraciones: calificar una respuesta puede tener reglas propias, aunque el entrenamiento esté desactivado.

3. ¿Quién puede verlo dentro del proveedor?

Aunque sus datos no se usen para entrenar, quizá parte del personal pueda abrirlos, por ejemplo para investigar un posible uso indebido o atender un requerimiento legal, como una orden judicial. Un proveedor serio explica en qué casos ocurre y si cada acceso queda registrado. Si solo encuentra una frase sobre lo mucho que a la empresa le importa la seguridad, siga buscando o pregunte.

4. ¿Cuánto tiempo se conserva?

Borrar una conversación de su pantalla no siempre la elimina enseguida de los sistemas del proveedor, porque muchos servicios guardan copias durante un plazo fijo. Busque un número concreto de días y vea qué pasa con el contenido que marcan los sistemas de seguridad, que a veces se guarda más.

5. ¿Qué plan tiene contratado?

Los planes gratuitos e individuales suelen regirse por condiciones para consumidores. Los planes para empresas, a menudo llamados de equipo o corporativos, traen condiciones comerciales y compromisos más firmes sobre entrenamiento y conservación. Algunos planes individuales de pago siguen siendo de consumidor, así que pagar una cuota mensual no convierte el suyo en un plan para empresas.

6. ¿Existe un acuerdo de tratamiento de datos?

En el trabajo profesional, es el documento que más importa. El acuerdo de tratamiento de datos (data processing agreement o DPA) establece qué puede hacer el proveedor con los datos personales que usted le entrega. Suele limitar el uso a sus instrucciones, exigir confidencialidad, obligar al proveedor a avisarle de las brechas de seguridad y a borrar los datos al terminar el servicio, y fijar reglas para sus subencargados. En la Unión Europea, el RGPD lo exige siempre que un proveedor trate datos personales por cuenta de otro (artículo 28). La ley mexicana de protección de datos, entre otras, también contempla esta relación, así que compruebe cuál le corresponde.

Los planes para consumidores rara vez lo ofrecen. En los de empresa suele venir incluido en las condiciones o entregarse si se pide. Si no lo encuentra, pregunte al equipo comercial o de privacidad del proveedor.

Después, clasifique sus propios documentos

La otra mitad de la decisión depende del archivo. Antes de que una herramienta de IA vea un documento, clasifíquelo con un semáforo: verde, ámbar o rojo. Los criterios siguientes son los que aplicamos por defecto; sus normas deontológicas y lo pactado con sus clientes van siempre por delante.

• Verde: información pública o material sin nada de ningún cliente, como una norma publicada o una plantilla propia en blanco. Sirve cualquier herramienta de buena reputación.
• Ámbar: trabajo de clientes que sigue siendo útil sin los datos que los identifican, como un contrato con nombres e importes sustituidos por marcadores del tipo CLIENTE A. Una combinación de hechos poco común identifica a un cliente igual que su nombre, sobre todo en una ciudad pequeña. Use un plan para empresas, con el entrenamiento desactivado y un acuerdo de tratamiento de datos vigente.
• Rojo: material identificable y delicado, como expedientes médicos, asuntos penales, datos bancarios, secretos comerciales o cualquier cosa que un cliente le haya pedido no sacar del despacho. Por defecto, lo mantenemos fuera de las herramientas de IA de uso general. Si hay una buena razón para usar una, obtenga antes el consentimiento escrito del cliente y elija una herramienta que supere todas las preguntas anteriores.

Cuando un documento quede entre dos colores, trátelo como el más rojo. Y si una sola página de un archivo es roja, todo el archivo lo es.

Deje constancia

Un auditor trabaja con evidencias, así que anote las respuestas de cada herramienta junto con su plan y la fecha de la revisión. Repítala cada pocos meses o cuando cambien las condiciones. Si algún día un cliente le pregunta cómo usa la IA con sus archivos, ya tendrá la respuesta anotada.

Si desea una segunda opinión sobre las herramientas que ya se usan en su oficina, podemos dársela en nuestra consultoría.