Contratar una herramienta de IA: datos, confidencialidad y salida

Empezar por el uso, no por la demostración

Una herramienta puede funcionar bien con una pregunta pública y ser inadecuada para un expediente con datos personales o secretos de negocio. Antes de activarla, describe qué información entrará, quién la utilizará y qué decisiones se apoyarán en sus resultados.

La contratación de IA debe coordinar obligaciones de protección de datos, seguridad, confidencialidad y el régimen del sistema. Una cláusula que promete «cumplimiento total» no permite saber dónde se alojan los datos, quién puede acceder o qué se conserva.

Preguntas sobre los datos

Aclara si el proveedor trata datos por cuenta de la empresa y qué contrato corresponde. Revisa finalidades, subencargados, localización, transferencias internacionales y condiciones de uso para entrenamiento o mejora. No deduzcas una respuesta del plan gratuito si vas a contratar un producto empresarial con términos distintos.

Decide qué información no debe introducirse y cómo reducir o anonimizar datos cuando sea posible. Sustituir nombres por iniciales no garantiza anonimización si el contexto sigue permitiendo identificar a la persona.

Supervisión y responsabilidad

Define quién revisa las respuestas y qué usos quedan excluidos. Un asistente puede inventar referencias o interpretar mal un documento; el equipo necesita un procedimiento para detectar y corregir esos errores antes de que afecten a clientes.

Si el sistema participa en decisiones relevantes sobre personas, revisa además las reglas específicas y no lo reduzcas a una compra de software. La supervisión debe ser efectiva y disponer de información suficiente para cuestionar la salida.

Preparar la salida antes de entrar

Pregunta cómo se exportan conversaciones, configuraciones y documentos, qué ocurre al terminar el contrato y cómo se acredita la eliminación cuando corresponda. Incluye respuesta a incidentes y cambios de condiciones. Comprueba qué tareas quedarían detenidas si el proveedor dejara de estar disponible.

Una prueba inicial debería usar datos ficticios y un objetivo limitado. El éxito técnico de esa prueba no autoriza por sí solo a cargar expedientes reales. La autorización interna debe apoyarse en el análisis del tratamiento y del uso previsto, no en que la demostración haya resultado convincente.