Si manejas expedientes de clientes, historiales de pacientes o cualquier cosa que un juzgado te pueda pedir después, un "usamos IA" debería levantar de inmediato una pregunta más simple: ¿en las computadoras de quién corre esto, y qué pasa con mi información una vez que llega ahí?
Tres preguntas que vale la pena hacerle a cualquier proveedor
- ¿Qué empresa la procesa realmente? Casi toda función de IA es el modelo de alguien más detrás de un logotipo. Tienes derecho a una lista de nombres, no a que te tranquilicen. La nuestra está en nuestra política de privacidad, incluido el modelo que contesta nuestro teléfono.
- ¿Se usa para entrenar algo? Es una pregunta contractual con respuesta de sí o no, y el proveedor que no puede contestarla rápido te está diciendo algo.
- ¿Cuánto tiempo se conserva, y la pueden borrar? La retención es donde "nos tomamos la privacidad muy en serio" normalmente resulta no significar nada en concreto.
La fuga casi siempre está adentro
En la práctica el riesgo rara vez es el proveedor que ya revisaste. Es alguien del equipo pegando la carta de un cliente en un chatbot gratuito a las once de la noche para terminar un borrador, porque nadie le dio una manera autorizada de hacerlo.
Eso no se controla con un memorándum. La solución es decidir qué sí se permite, dar una herramienta que lo cubra y ser específicos sobre dónde está la línea — mucho más fácil de lo que suena en cuanto alguien lo escribe.
Define primero la frontera
La pregunta útil no es "¿la IA es segura?". Es qué no puede salir nunca de tu oficina, decidido antes de construir y no descubierto después. Todo sistema que construimos empieza por ahí, y en el trabajo regulado eso define el diseño en lugar de agregarse al final.