Hace pocos años, una empresa sabía exactamente dónde estaban sus datos. Permanecían dentro de la organización: en sus servidores, sus sistemas y sus bases de datos, bajo el control de sus propias áreas de tecnología.

Hoy esa certeza prácticamente ha desaparecido. No porque los datos hayan sido robados ni porque las empresas hayan perdido interés en protegerlos. Todo lo contrario. La razón es mucho más sencilla: son los propios colaboradores quienes, todos los días, comparten información con herramientas de inteligencia artificial (IA) para trabajar de manera más rápida y eficiente.

Un abogado carga un contrato en CHATGPT para resumirlo. Un profesional de marketing utiliza COPILOT para redactar una campaña. El área de gestión humana analiza cientos de currículos con GEMINI. Un diseñador genera imágenes con MIDJOURNEY. Cada interacción parece trivial. Sin embargo, detrás de cada prompt comienza un recorrido completamente distinto para la información, que involucra diversas formas de tratamiento y una multiplicidad de actores.

Hoy, prácticamente todas las organizaciones utilizan alguna combinación de CHATGPT, COPILOT, GEMINI, CLAUDE, MIDJOURNEY u otras herramientas similares. Por ello, independientemente del país en el que operen, el problema jurídico es sorprendentemente similar. La información ya no permanece dentro de la empresa. Empieza a viajar.

Del almacenamiento al movimiento

Durante décadas, la protección de datos personales se construyó sobre una idea implícita: los datos eran relativamente estáticos. La discusión jurídica giraba en torno a los bancos de datos, las medidas de seguridad, el responsable del tratamiento, los encargados y las transferencias internacionales.

La IA no ha modificado esas reglas. Tampoco ha creado un nuevo derecho a la privacidad. Lo que ha transformado es algo mucho más profundo: la arquitectura del tratamiento de los datos personales.

Hoy, un documento puede salir de la organización en cuestión de segundos, ser procesado por un proveedor externo, atravesar infraestructuras ubicadas en distintos países, involucrar subprocesadores, interactuar con modelos de lenguaje, índices vectoriales o sistemas RAG y regresar convertido en un contrato, un informe, una campaña publicitaria o una recomendación.

Es decir, las reglas jurídicas siguen siendo esencialmente las mismas, pero el recorrido de la información es completamente distinto. Y ese cambio multiplica exponencialmente los puntos en los que pueden generarse riesgos de incumplimiento.

Un desafío vigente

Suele afirmarse que la IA plantea nuevos desafíos para la protección de datos personales. Esta afirmación puede ser cierta, pero resulta insuficiente.

El verdadero cambio consiste en que la privacidad ya no puede entenderse únicamente como la captación de datos y su incorporación a un banco de datos. Hoy abarca todo el ciclo de vida de la información dentro del ecosistema de IA. Ese ecosistema comprende datos de entrenamiento, prompts, modelos, embeddings, sistemas RAG, agentes inteligentes, outputs, registros de actividad, mecanismos de trazabilidad y estructuras de gobernanza. Cada uno representa un nuevo punto en el que la información puede ser utilizada, transformada, almacenada o compartida.

Por ello, cualquier colaborador puede convertirse, sin advertirlo, en una nueva puerta de entrada y salida de datos personales: una contingencia viva y permanente. El principal riesgo jurídico de la IA no consiste en que esta “incumpla” la Ley de Protección de Datos Personales. El verdadero riesgo es que los colaboradores utilicen estas herramientas sin ser conscientes de que cada prompt, cada archivo, cada imagen o cada conversación puede constituir un nuevo tratamiento de datos personales, lo que desencadena una serie de obligaciones legales que deben ser atendidas.

La importancia del full visibility

Este es un concepto que probablemente adquirirá cada vez mayor relevancia en los próximos años. No se trata simplemente de saber dónde están los datos. Se trata de poder reconstruir todo su recorrido (trazabilidad).

Una organización con full visibility conoce qué información ingresó al sistema, quién la cargó, qué proveedor intervino, dónde fue procesada, qué subprocesadores participaron, si existieron transferencias internacionales, cómo fue utilizada y qué resultados produjo. En otras palabras, no observa únicamente los datos; comprende todo su ciclo de vida.

Full visibility supone que la empresa tiene conocimiento y control sobre qué herramientas de IA utilizan sus colaboradores, para qué las utilizan y qué información incorporan en ellas. Sin esa visibilidad, resulta prácticamente imposible ejercer una gobernanza efectiva sobre la IA.

La ausencia de full visibility da lugar al fenómeno conocido como shadow AI: el uso de herramientas de inteligencia artificial fuera de los sistemas, políticas y controles autorizados por la organización. Cuando esto ocurre, la empresa pierde visibilidad sobre el recorrido de los datos, los terceros que pueden acceder a ellos y las condiciones bajo las cuales se procesan, generando riesgos legales, de privacidad, confidencialidad y seguridad de la información.

De la privacidad a la gobernanza

Durante años las organizaciones respondieron a la protección de datos mediante políticas de privacidad, consentimientos, registros de bancos de datos y cláusulas informativas. Ese enfoque ya no basta. La IA obliga a pasar de una lógica centrada exclusivamente en el cumplimiento normativo a otra basada en la gobernanza de la información.

Gobernar la IA significa establecer qué herramientas pueden utilizarse, qué información puede cargarse, para qué finalidades, bajo qué condiciones, quién supervisa su utilización y cómo demostrar, posteriormente, que todo el proceso fue realizado de manera responsable.

Las reglas de privacidad nacieron para proteger datos relativamente estáticos. La gobernanza de la IA surge para administrar datos que se encuentran permanentemente en movimiento.