Datos del cliente y la IA: ¿Qué puedes incluir legalmente en un modelo y cómo demostrarlo?

Comenzar con propósito

Los datos de los clientes se recopilan por una razón: cumplir un pedido, brindar soporte, enviar una factura. La ley generalmente te permite utilizar estos datos para ese propósito y para otros compatibles. Utilizar los tickets de soporte para que tu equipo de soporte responda más rápido suele ser compatible. Sin embargo, usar los mismos tickets para entrenar un modelo que planeas vender a otras empresas generalmente no lo es.

Por lo tanto, antes de que alguien suba algo, escribe una frase: estamos utilizando estos datos para hacer X, en beneficio de Y. Si no puedes escribirlo o suena mal, detente ahí. Esa frase se convierte en el ancla de todo lo demás.

Conocer la base legal

Cada uso de datos personales requiere una base lícita. Para proyectos de IA, las opciones realistas suelen ser contrato (el procesamiento es necesario para servir al cliente), interés legítimo o consentimiento.

El interés legítimo es la base más común y a menudo reclamada sin el trabajo detrás de ella. Requiere una prueba de equilibrio escrita: lo que ganas, lo que el cliente arriesga y por qué esperarían razonablemente este uso. Ese documento lleva una tarde de escribir y es lo primero que un auditor pedirá ver.

Algunos datos no deben ir

Información de salud, datos biométricos, creencias religiosas o políticas, orientación sexual, afiliación sindical: estas son categorías especiales y el listón para procesarlas es mucho más alto. La misma precaución se aplica a los datos de niños y a identificadores financieros como los números de tarjeta.

La regla práctica es simple. A menos que todo el proyecto exista para manejar este tipo de datos y hayas recibido asesoramiento al respecto, filtra los datos antes de que lleguen a cualquier modelo. Existen herramientas de redacción para esto. Pruebalas contra tus datos reales, porque un filtro que atrape el 95% de los números de tarjeta aún deja pasar el 5%.

El destino de los datos importa tanto como su naturaleza

Enviar datos de clientes a un proveedor de IA lo convierte en tu procesador. Necesitas un acuerdo de procesamiento de datos con ellos y debes leer cuidadosamente tres cláusulas:

• Entrenamiento: ¿el proveedor utiliza tus entradas para mejorar sus propios modelos? Los niveles comerciales generalmente dicen que no. Consigue que lo pongan por escrito.
• Retención: ¿cuánto tiempo guardan tus indicaciones y salidas, y puedes acortar ese plazo?
• Ubicación: ¿dónde se procesa el dato? Las transferencias fuera de la UE necesitan un mecanismo legal, como una decisión de adecuación o cláusulas contractuales estándar.

Ejecutar modelos en tu propia infraestructura elimina la mayoría de estas preguntas. No elimina la necesidad de documentar lo que hiciste.

Recuperar es más fácil de defender que entrenar

Existen dos formas generales de darle a un modelo tus datos. Puedes entrenarlo o ajustarlo, de modo que los datos se conviertan en parte del modelo. O puedes mantener los datos en tus propios sistemas y dejar que el modelo busque lo que necesita en el momento en que responde, lo cual suele llamarse recuperación.

Para los datos de clientes, la recuperación es casi siempre la opción más segura. Cuando un cliente te pide que elimines sus datos, eliminas el registro y desaparece de todas las respuestas futuras. Extraer datos de un modelo entrenado es, en la práctica, casi imposible. Esto hace que el derecho a ser olvidado sea muy difícil de cumplir, y los reguladores lo saben.

Cómo demostrar que lo hiciste bien

La conformidad que no se puede demostrar cuenta poco. Mantén estos registros y mantenlos actualizados:

1. Un registro de procesamiento que enumere el sistema de IA, los datos que utiliza, el propósito y la base legal.
2. Una evaluación del impacto en la protección de datos. La nueva tecnología combinada con grandes volúmenes de datos personales casi siempre desencadena una. Es el documento más persuasivo que puedes entregar a un auditor.
3. Acuerdos de procesador firmados con cada proveedor que maneje los datos.
4. Registros que muestren qué datos ingresaron al sistema, cuándo y bajo qué autoridad, junto con pruebas de que tu redacción funcionó.
5. Un propietario nombrado que revise todo lo anterior cada vez que el sistema cambie.

La Ley de Inteligencia Artificial de la UE añade sus propias obligaciones de documentación, especialmente donde un sistema se utiliza en áreas de alto riesgo como contratación o crédito. Si tus registros ya cubren estos cinco puntos, estás casi allí.

Lleva el peso desde el principio

Las empresas entran en problemas cuando el barco piloto zarpa primero y la documentación se reconstruye después. Hazlo al revés. Escribe el propósito, elige la base, filtra los datos, firma los contratos, enciende los registros y luego construye. Agrega unas pocas semanas como máximo y significa que la respuesta a "¿puedes demostrarlo?" sea una carpeta, no una carrera.

Ese trabajo preliminar es una gran parte de lo que hacemos en Hercules A. Ya sea que trabajes con nosotros o no, hazlo antes de que se ingrese el primer registro.