En cuanto una empresa se plantea en serio la IA, aparece la cuestión de los datos, a menudo formulada de una manera demasiado vaga para poder abordarla: «¿es seguro?». Esa pregunta no tiene una respuesta general. Tres preguntas concretas, en cambio, sí la tienen.

Pregunta 1: ¿qué sale de tu empresa?

Todo lo que se envía a un servicio externo sale de tu perímetro. En sí mismo no es un problema: una dirección profesional pública o un texto de marketing no tienen nada de sensible. Un fichero completo de clientes, datos de salud o documentos contractuales, sí.

El buen reflejo es clasificar antes de automatizar: qué puede salir libremente, qué debe anonimizarse y qué no sale nunca. Esta clasificación lleva media jornada y evita la mayoría de los accidentes.

El riesgo no viene de la IA. Viene de lo que se le envía sin haberlo pensado.

Pregunta 2: ¿bajo qué cuenta se ejecuta el trabajo?

Ejecutar los procesos con tus propios accesos cambia tres cosas: ves exactamente qué se consume, no hay ningún margen oculto sobre el uso y puedes cortarlo todo con un solo gesto. Es una posición de control, no una limitación técnica.

Por el contrario, un proveedor que lo ejecuta todo con sus propios accesos te hace depender de él: no sabes qué se consume, qué se conserva ni qué pasa con el sistema si la relación termina.

Pregunta 3: ¿quién puede leer qué?

Un agente conectado a tus documentos hereda los permisos que se le dan. Si tiene acceso a todo, podrá devolver a cualquier usuario información que este no debería haber visto. El tema no es la confidencialidad frente al exterior, sino la compartimentación interna.

  • Dar acceso solo a lo estrictamente necesario para la tarea, y nada más.
  • Conservar un registro de lo que se ha consultado y producido.
  • Prever de forma explícita qué ocurre cuando un colaborador se va.

Lo que el marco normativo ya exige

Las obligaciones vigentes en materia de datos personales se aplican sin cambios: información a las personas, finalidad determinada, plazo de conservación, subcontratación regulada. La IA no ha creado ninguna excepción. Una empresa que ya es rigurosa en este punto no tiene que hacer una revolución, solo añadir una línea más a su registro.

La página que hay que escribir antes de conectar nada

Antes de conectar nada, escribe en una sola página: las categorías de datos afectadas, las que nunca deben salir, con qué accesos se ejecuta el trabajo y quién puede consultar qué. Esa página vale más que cualquier compromiso verbal, y hace que el tema se pueda debatir en lugar de generar ansiedad.

El control no se promete. Se comprueba en la arquitectura.