En una conversación sobre automatización, la pregunta más frecuente rara vez es técnica. Tras hablar de cómo funciona el sistema, cuántas tareas asume y con qué programas se comunica, suele llegar esta frase: «¿Y adónde van los datos de mis clientes?»
La pregunta es legítima y a menudo queda sin respuesta. Los textos sobre automatización explican qué hace el sistema, no adónde viajan los datos. Sin embargo, toda empresa que trata datos de clientes asume obligaciones en materia de protección de datos. Implantar una automatización no elimina esa responsabilidad; a veces puede ampliarla.
Este artículo no es asesoramiento jurídico. Su objetivo es mostrar qué preguntas conviene hacer al implantar una automatización. Para su caso concreto, consulte con un abogado.
🔒 Tenga en cuenta: Cuando implanta una automatización, la responsabilidad sobre los datos sigue siendo suya. La empresa que construye el sistema trata datos por cuenta de usted, pero quien responde ante su cliente es usted. Si esa distinción no consta en el contrato, cuando surja un problema quedará sin definir qué corresponde a cada parte.
¿Por qué la IA cambia este panorama?
Tratar datos personales no es nuevo. Nombres, teléfonos y direcciones se registran desde hace años. Lo que añade la IA se resume en tres puntos.
Los datos pueden salir de casa. Un programa contable clásico guarda sus datos dentro de sí mismo. Un sistema con IA suele enviar el texto a un modelo de lenguaje para procesarlo. Ese modelo puede pertenecer a otra empresa y ejecutarse en otro país.
Los datos se combinan. La automatización reúne fuentes distintas en un solo lugar: formulario web, mensaje de WhatsApp, registro de llamada, correo. Detalles que por separado parecen inocuos pueden formar un perfil mucho más detallado al juntarse.
Las decisiones se automatizan. Si el sistema decide qué oferta va a qué cliente o cómo se prioriza una solicitud, puede ser necesario poder explicar cómo se tomó esa decisión.
¿Quién es responsable y quién encargado?
La normativa distingue dos papeles, y esa distinción es la base del contrato.
- El responsable decide por qué y cómo se tratan los datos. La empresa que recoge datos de clientes suele ocupar este papel.
- El encargado trata los datos por cuenta del responsable y siguiendo sus instrucciones. La empresa que construye y opera la automatización suele situarse aquí.
Esta distinción no debería quedarse en el papel. Se espera que la relación se recoja en un documento escrito de tratamiento: qué datos, con qué finalidad, durante cuánto tiempo, bajo instrucción de quién. Sin ese documento, los límites de responsabilidad quedan difusos.
Tres partes de la pregunta «¿adónde van mis datos?»
¿Dónde está el servidor?
Los datos residen físicamente en algún sitio. En el propio país, en Europa o en otro lugar. La transferencia internacional sigue reglas propias y no se aplican las mismas condiciones en todos los casos. Esta es la primera pregunta para la empresa implantadora: ¿en qué país está el servidor que guarda los datos?
¿Qué hace el modelo de IA con los datos?
Cuando envía un texto a un modelo para su procesamiento, lo que ocurre con él depende del proveedor. Unos se comprometen a no usar los datos enviados para entrenamiento, otros los conservan un periodo definido, otros no conservan nada. Estas condiciones figuran en contratos y pueden cambiar con el tiempo.
La pregunta: ¿cuál es la política de datos del proveedor de IA que usa, y se emplean mis datos en el entrenamiento del modelo?
¿Quién más está en la cadena?
Una automatización rara vez es una sola pieza. Infraestructura de mensajería, base de datos, servicio de correo, proveedor de alojamiento. Cada eslabón puede tocar los datos. Mientras esa lista no esté por escrito, no puede saberse adónde van.
Cada eslabón de esa cadena es también una superficie de seguridad; de dónde puede venir la amenaza lo tratamos en Ciberseguridad con IA.
Preguntas para la conversación de implantación
Sin entrar en detalle técnico, estas preguntas pueden aclarar buena parte del panorama:
- ¿En qué país se almacenarán los datos de clientes?
- ¿Qué servicios de terceros tocarán los datos? ¿Existe una lista?
- ¿El proveedor de IA usa los datos enviados para entrenar modelos?
- ¿Cuánto tiempo se conservarán los datos y qué ocurre después?
- Si el sistema se retira, ¿se me devolverán los datos y en qué formato?
- Si un cliente pide su supresión, ¿cómo se tramita?
- ¿Se entrega un documento de tratamiento junto al contrato?
- Si ocurre un incidente de seguridad, ¿cuándo y cómo se me avisa?
No obtener respuesta también es información. Si no pueden responder, probablemente tampoco lo sepan.
Estas preguntas son la cara de datos de la lista de preparación; el resto de esa lista lo enumeramos en Por qué fracasan los proyectos de automatización.
Información y consentimiento
Si trata datos de sus clientes, se espera que se lo comunique. Para eso existe la información de privacidad: quién trata qué datos, con qué fin y qué derechos tiene la persona.
No hace falta consentimiento separado para cada tratamiento. El tratamiento necesario para ejecutar un contrato puede apoyarse en otra base jurídica. En comunicación comercial, en cambio, puede requerirse un permiso aparte, y en ese ámbito aparecen obligaciones adicionales.
El punto crítico al implantar una automatización: ¿con qué base jurídica trata el sistema qué datos, y consta por escrito?
Conservación y supresión
Los datos no se guardan para siempre. Se espera un plazo de conservación por cada tipo de dato y su supresión al vencer. La automatización puede ayudar: el sistema puede construirse para seguir el plazo y suprimir de forma automática los registros vencidos.
La pregunta es sencilla: ¿el sistema tiene siquiera una función de supresión o los datos solo se acumulan? ¿Qué ocurre en las copias de seguridad? ¿Puede volver un registro suprimido desde una copia?
Qué buscar en el contrato
La parte de datos debería aparecer bajo su propio epígrafe en el contrato. Como mínimo conviene ver por escrito lo siguiente:
- Los papeles de las partes: quién es responsable y quién encargado
- Los tipos de datos tratados y las finalidades del tratamiento
- El plazo de conservación y qué sucede al vencer
- El uso de subencargados y cómo se comunica
- Las medidas de seguridad y el procedimiento de notificación de incidentes
- La devolución o destrucción de los datos al terminar el contrato
La parte del contrato ajena a los datos puede variar según se construya a medida o con un paquete estándar; comparamos ambas vías en ¿Software a medida o paquete estándar?.
Cómo trabajamos
En los sistemas que construimos en Kılman Bilişim, los datos residen en la instalación propia del cliente. Nuestros servidores se alojan en Europa. Para los registros de conversación se define un plazo de conservación y los registros vencidos se suprimen de forma automática.
Antes de cualquier implantación levantamos juntos qué dato va adónde. La parte de tratamiento se aborda como epígrafe propio del contrato y para ello recurrimos a apoyo jurídico.
Preguntas frecuentes
¿Una automatización con IA añade riesgo en protección de datos?
El riesgo suele venir no de la automatización en sí, sino de no saber adónde van los datos. Cuando existe respuesta escrita a en qué servidor residen, qué terceros los tocan y cuánto tiempo se conservan, el panorama se aclara. Si esas preguntas quedan sin respuesta, el riesgo puede persistir por bien que funcione el sistema.
¿Se usarán los datos de mis clientes para entrenar un modelo de IA?
Depende por completo del proveedor y del plan contratado. Algunos proveedores se comprometen contractualmente a no usar datos empresariales para entrenamiento, otros los conservan durante un periodo determinado. Es razonable pedir por escrito a la empresa que implanta la automatización qué proveedor se usa y bajo qué condiciones.
¿Es un problema que mis datos estén en un servidor en el extranjero?
La transferencia internacional sigue reglas propias y no se aplican las mismas condiciones en todos los casos. Lo relevante es la base jurídica de la transferencia y si existe la documentación exigida. Saber en qué país está el servidor es el primer paso; después puede convenir una revisión con un abogado.
¿Debe haber un contrato de datos aparte con la empresa que implanta el sistema?
Se espera que la relación entre responsable y encargado del tratamiento conste por escrito. Suele adoptar la forma de un anexo de tratamiento de datos al contrato principal. En él se detalla qué datos se tratan, con qué finalidad, durante cuánto tiempo y bajo instrucción de quién. Sin ese anexo, los límites de responsabilidad pueden quedar difusos.
Levantemos juntos adónde van sus datos
Antes de proponer una implantación, repasamos paso a paso qué dato va adónde. Si algo queda sin aclarar, se lo decimos con claridad.
💬 Pedir presupuesto por WhatsAppConclusión
Implantar una automatización no elimina la responsabilidad sobre los datos. La empresa que construye el sistema trata datos por cuenta de usted, pero quien responde ante su cliente es usted. Por eso, junto a «¿qué hace el sistema?» debe ir la pregunta «¿adónde van los datos?».
La buena noticia: estas preguntas no son complejas y sus respuestas pueden obtenerse antes de la implantación. Dónde está el servidor, quién toca los datos, cuánto se conservan, cómo se suprimen. Cuatro preguntas pueden aclarar buena parte del panorama.