Los principios que se repiten en todos los países
Cada país tiene su propia ley, pero casi todas comparten la misma base. Si cumples estos principios, vas por buen camino en cualquier mercado:
- Consentimiento o base legal: la persona debe saber qué datos recoges y para qué, y autorizarlo, o debe existir otra base que lo permita.
- Finalidad: usa los datos solo para lo que dijiste. Que el agente pueda leer toda una base no significa que deba hacerlo.
- Mínimo necesario: pide y consulta solo los datos que necesitas para la tarea.
- Seguridad: cuida los accesos, registra lo que hace el sistema y define cómo se revoca un permiso.
- Derechos del titular: la persona puede consultar, corregir o pedir que borres sus datos, y tu sistema debe poder hacerlo.
Algunas leyes de referencia
Para que ubiques la tuya, estas son algunas de las normas principales. Verifica siempre la versión vigente y las reglas locales que aplican a tu sector:
- Colombia: Ley 1581 de 2012, con la Superintendencia de Industria y Comercio como autoridad.
- México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
- Argentina: Ley 25.326 de Protección de los Datos Personales.
- Chile: Ley 19.628 y su reforma reciente, que crea una agencia de protección de datos.
- Perú: Ley 29733 de Protección de Datos Personales.
- Brasil: Lei Geral de Proteção de Dados (LGPD).
- Uruguay: Ley 18.331 de Protección de Datos Personales.
Qué implica cuando usas IA
- Aviso desde el primer contacto: si un agente atiende por WhatsApp, el aviso de tratamiento de datos debe estar disponible desde el primer mensaje.
- Acceso limitado: el agente debe ver únicamente lo que necesita para su tarea.
- Proveedores: sabes dónde procesa y guarda los datos cada herramienta, y en qué países, porque algunas leyes regulan las transferencias internacionales.
- Entrenamiento de modelos: tus datos de clientes no deben usarse para entrenar modelos sin una base clara que lo permita.
- Decisiones importantes: cuando una decisión afecta de verdad a una persona (crédito, contratación), que la revise un humano.
Preguntas para hacerle a cualquier proveedor de IA
- ¿Dónde quedan guardados mis datos y quién tiene acceso?
- ¿Usan los datos de mis clientes para entrenar modelos? Debe ser un no por defecto.
- ¿Qué permisos pide el sistema y puedo limitarlos?
- ¿Queda un registro de lo que hace el agente?
- ¿Qué pasa con mis datos si termino el contrato?
Buenas prácticas que cuestan poco
- Publica y mantén al día tu política de tratamiento de datos.
- Que el agente se presente como IA y diga cómo escalar a una persona.
- Evita pedir datos que no necesitas: cada dato de más es un riesgo de más.
- Verifica si tu país exige registrar las bases de datos ante la autoridad.
- Define quién en tu empresa responde a las solicitudes de las personas sobre sus datos.
Hacerlo bien desde el diseño es mucho más barato que corregirlo después. Por eso, en cada proyecto definimos primero qué datos toca el agente y con qué permisos. Si quieres revisarlo para tu caso, pide un diagnóstico.
Preguntas frecuentes
- ¿Estas leyes aplican a una pyme?
- Sí. En general aplican a cualquier persona o empresa que trate datos personales, sin importar su tamaño. Lo que suele cambiar según el tamaño son obligaciones como registrar las bases de datos.
- ¿Puedo usar los datos de mis clientes para entrenar una IA?
- Solo si la autorización que diste al recolectarlos lo permite de forma clara. Como regla prudente: no uses datos de clientes para entrenar modelos sin consultar a tu abogado.
- ¿Debo avisar al cliente que habla con una IA?
- Muchas normas no lo exigen de forma explícita, pero informar es una buena práctica y evita malentendidos. El aviso de tratamiento de datos, en cambio, sí es necesario.
- ¿Qué pasa si opero en varios países?
- Aplican las leyes de cada país donde estén tus clientes o empleados. Conviene diseñar el sistema con los principios comunes y revisar con un abogado las diferencias locales.