Datos del cliente y la IA: ¿Qué puedes incluir legalmente en un modelo y cómo probarlo?

Cómo manejar los datos de los clientes con inteligencia artificial: una guía práctica

La mayoría de las empresas que desean utilizar la Inteligencia Artificial (IA) en los datos de sus clientes se preguntan lo siguiente: ¿es esto permitido? La pregunta correcta es si podrás demostrar, un año después ante un regulador o un cliente importante, que fue autorizado y manejado adecuadamente. El trabajo legal implica principalmente papeleo y disciplina. ¡La buena noticia es que puedes planificar ambos!

Este artículo utiliza el Reglamento General de Protección de Datos (RGPD) como referencia, ya que establece los estándares que otras leyes de privacidad suelen copiar. No es un asesoramiento legal. Aborda las decisiones que tus abogados te preguntarán, y es mejor tener respuestas preparadas antes de que lo hagan.

Comenzar con propósito

Los datos de los clientes se recopilan por una razón: cumplir un pedido, brindar soporte o enviar una factura. La ley generalmente permite utilizarlos para ese propósito y para otros compatibles con él. Utilizar boletos de soporte para ayudar a tu equipo de soporte a responder más rápido suele ser compatible. Sin embargo, usar los mismos boletos para entrenar un modelo que planeas vender a otras empresas generalmente no lo es.

Antes de que alguien suba algo, escribe una frase: Estamos utilizando estos datos para hacer X, en beneficio de Y. Si no puedes escribirla o suena mal, detente ahí. Esta frase se convertirá en el ancla de todo lo demás.

Conocer la base legal

Cada uso de datos personales requiere una base lícita. Para proyectos de IA, las opciones realistas suelen ser contrato (el procesamiento es necesario para atender al cliente), interés legítimo o consentimiento.

El interés legítimo es la base más común y a menudo reclamada sin el trabajo detrás de ella. Requiere una prueba de equilibrio escrita: lo que ganas, lo que el cliente arriesga y por qué esperarían razonablemente este uso. Este documento toma media tarde en escribirse, y será lo primero que un auditor te pedirá ver.

Algunos datos no deben ir

La información de salud, los datos biométricos, las creencias religiosas o políticas, la orientación sexual, la afiliación sindical: estas son categorías especiales y el umbral para procesarlas es mucho más alto. La misma precaución se aplica a los datos de niños y a los identificadores financieros como números de tarjeta.

La regla práctica es simple. A menos que el proyecto entero exista para manejar este tipo de datos y hayas recibido asesoramiento al respecto, filtra los datos antes de que lleguen a cualquier modelo. Existen herramientas de redacción para esto. Pruebalas contra tus datos reales, porque un filtro que atrape el 95% de los números de tarjeta aún dejará pasar el 5%.

Donde va los datos importa tanto como qué es

Enviar datos de clientes a un proveedor de IA lo convierte en tu procesador. Necesitas un acuerdo de procesamiento de datos con ellos, y debes leer cuidadosamente tres cláusulas:

• Entrenamiento: ¿el proveedor utiliza tus entradas para mejorar sus propios modelos? Los niveles comerciales generalmente dicen que no. Consigue que lo pongan por escrito.
• Retención: ¿cuánto tiempo conservan tus indicaciones y salidas, y puedes acortar ese tiempo?
• Ubicación: ¿dónde se procesa los datos? Las transferencias fuera de la UE requieren un mecanismo legal, como una decisión de adecuación o cláusulas contractuales estándar.

Ejecutar modelos en tu propia infraestructura elimina la mayoría de estas preguntas. No elimina la necesidad de documentar lo que hiciste.

Recuperar es más fácil defender que entrenar

Hay dos formas generales de darle a un modelo tus datos. Puedes entrenarlo o ajustarlo, de modo que los datos se conviertan en parte del modelo. O puedes mantener los datos en tus propios sistemas y dejar que el modelo busque lo que necesita cuando responda, lo cual suele llamarse recuperación.

Para los datos de clientes, la recuperación es casi siempre la opción más segura. Cuando un cliente te pide que elimines sus datos, eliminas el registro y desaparece de todas las respuestas futuras. Extraer datos de un modelo entrenado, en la práctica, es casi imposible. Esto hace que el derecho a ser olvidado sea muy difícil de cumplir, y los reguladores lo saben.

Cómo demostrar que lo hiciste bien

La conformidad que no se puede demostrar cuenta poco. Mantén estos registros:

1. Un registro de procesamiento que enumere el sistema de IA, los datos que utiliza, el propósito y la base legal.
2. Una evaluación del impacto en la protección de datos (EIPD). La nueva tecnología combinada con grandes volúmenes de datos personales casi siempre desencadena una EIPD. Es el documento más persuasivo que puedes entregar a un auditor.
3. Acuerdos de procesador firmados con cada proveedor que maneje los datos.
4. Registros que muestren qué datos ingresaron al sistema, cuándo y bajo qué autoridad, junto con evidencia de que tu redacción funcionó.
5. Un propietario nombrado que revise todo lo anterior cada vez que el sistema cambie.

El Reglamento de Inteligencia Artificial de la UE agrega sus propios deberes de documentación, especialmente donde un sistema se utiliza en áreas de alto riesgo como contratación o crédito. Si tus registros ya cubren estos cinco puntos, estás casi allí.

Lleva el peso desde el principio

Las empresas entran en problemas cuando el proyecto piloto sale primero y la documentación se reconstruye después. Hazlo al revés. Escribe el propósito, elige la base, filtra los datos, firma los contratos, enciende los registros y luego construye. Agregará unas pocas semanas como máximo, y significa que la respuesta a "¿Puedes demostrarlo?" será un expediente, no una búsqueda desesperada.

Ese trabajo preliminar es una gran parte de lo que hacemos en Hercules A. Ya sea que trabajes con nosotros o no, hazlo antes de que se ingrese el primer registro.