¿El modelo aprende con mis datos?
Depende enteramente del contrato, no de la tecnología. Los proveedores de IA empresariales establecen contractualmente que los datos enviados a través de sus interfaces de negocio no se usan para entrenar modelos. Las versiones gratuitas o de consumidor de esas mismas herramientas suelen tener condiciones distintas.
La conclusión práctica no es «la IA es peligrosa», sino: el riesgo está en qué versión de qué herramienta usa tu equipo, y eso es una decisión de política interna, no de tecnología. Un empleado pegando un contrato en una cuenta personal gratuita es un problema real; el mismo texto procesado bajo un acuerdo empresarial, con retención limitada, es otra cosa.
¿Cuáles son los riesgos que sí ocurren?
Cuatro, y ninguno es el de la película:
- IA en la sombra. El equipo ya está usando herramientas que nadie aprobó ni revisó. Es el riesgo más extendido y el que menos se mide.
- Exceso de permisos. Un agente conectado a todo el repositorio documental cuando solo necesitaba dos carpetas. Si alguien le pregunta algo que no debía saber, lo responde.
- Ausencia de trazabilidad. Sin registro de qué se consultó y qué se respondió, no puedes auditar un incidente ni demostrar diligencia.
- Transferencia internacional no declarada. El procesamiento ocurre fuera del país y las políticas de la empresa no lo mencionan.
¿Cómo encaja esto con la ley colombiana de protección de datos?
Si los datos que procesa el sistema incluyen datos personales —nombres de clientes, correos, información de contacto—, aplica la Ley 1581 de 2012 y el proveedor de IA actúa como encargado del tratamiento.
Eso implica tres obligaciones concretas: la finalidad del tratamiento debe estar cubierta por la autorización que dio el titular, la transferencia internacional debe estar contemplada en tu política de tratamiento de datos, y debes poder atender una solicitud de supresión, lo que exige saber dónde quedó cada dato.
Es un trabajo de política y contrato, no de configuración técnica, y conviene hacerlo antes del piloto y no después.
¿Qué hay que preguntarle a un proveedor?
Seis preguntas que revelan casi todo:
- ¿Los datos que envío se usan para entrenar modelos? ¿Está por escrito en el contrato?
- ¿Cuánto tiempo se retienen las consultas y las respuestas?
- ¿En qué países se procesa y se almacena la información?
- ¿Qué registro queda de cada interacción y quién puede consultarlo?
- ¿Cómo se limita el acceso del sistema a solo la información que necesita?
- ¿Qué pasa con mis datos si termino el contrato?
Un proveedor que no puede responder la primera y la tercera por escrito no está listo para trabajar con información confidencial.
¿Qué se puede hacer sin que los datos salgan de la empresa?
Más de lo que suele creerse, y hay un rango de opciones entre «todo a la nube» y «nada sale»:
| Enfoque | Qué sale de la organización | Cuándo tiene sentido |
|---|---|---|
| Servicio en la nube con acuerdo empresarial | El contenido de cada consulta, bajo contrato | La mayoría de los casos de negocio |
| Anonimización previa | Solo texto sin datos identificables | Análisis y clasificación donde la identidad no importa |
| Recuperación local, generación externa | Solo el fragmento necesario, no el repositorio | Consulta sobre documentación interna |
| Modelo desplegado en tu infraestructura | Nada | Datos regulados o restricción contractual estricta |
La última opción es la más segura y la más cara de operar. Elegirla sin necesitarla es tan común como el error contrario.
¿Cuál es el orden correcto para abordarlo?
Clasificar antes de conectar. Antes de elegir herramienta, define tres niveles de información: la que puede procesarse con un servicio externo sin más, la que requiere anonimización previa, y la que no sale de la organización bajo ninguna circunstancia.
Con esa clasificación hecha, la decisión técnica se vuelve casi automática, y el proyecto deja de discutirse en términos de miedo para discutirse en términos de alcance. En Articod Digital Lab ese ejercicio es parte del diseño de arquitectura, no un anexo posterior, porque cambiarlo después implica rehacer las integraciones.