Seguridad de la IA con datos de clientes: qué exigir
6 minutos de lectura
Cuando una firma usa IA en el trabajo para sus clientes, las preguntas sobre los datos se vuelven prácticas. Qué exigir a cualquier herramienta de IA y cómo responde Hebno a cada punto.
Cuando una firma usa IA en el trabajo para sus clientes, la seguridad deja de ser un asunto abstracto del departamento de informática. Pasa a ser una cuestión de si los clientes pueden confiar su material a la firma. Una firma que maneja material ajeno tiene que poder decir adónde van esos datos, quién puede verlos, si se usan para entrenar un modelo y si alguien puede comprobar qué ha pasado. Esta guía explica qué exigir a cualquier herramienta de IA en esas cuestiones y cómo responde Hebno a cada una.
Le dedicamos una guía propia, y no una línea en una lista de funciones, porque lo que se afirma sobre datos y cumplimiento normativo tiene consecuencias legales reales. En otros temas, una firma debe explicar su valor con confianza. Aquí la precisión importa más que el tono, así que lo correcto es afirmar solo lo que es cierto.
Las preguntas que debes hacer a cualquier herramienta de IA
Antes de usar IA en el trabajo para tus clientes, consigue respuestas claras a estas preguntas y toma cualquier respuesta vaga como una señal de alerta.
| Pregunta | Por qué importa | Cómo es una buena respuesta |
|---|---|---|
| ¿Dónde se alojan los datos? | Los clientes y la normativa suelen exigir una ubicación concreta | Una ubicación que eliges tú, no una evasiva |
| ¿Se usan nuestros datos para entrenar modelos? | Entrenar con datos de clientes rompe la confianza y la confidencialidad | Un no, sin matices |
| ¿Quién puede ver qué? | Las reglas de acceso de la firma deben seguir valiendo dentro de la herramienta | Se mantienen los permisos existentes |
| ¿Están cifrados? | Es la protección básica en tránsito y en reposo | Cifrado tanto en tránsito como en reposo |
| ¿Podemos ver qué ha pasado? | Clientes y revisores necesitan saber cómo se ha usado la IA | Registros de auditoría de accesos y actividad |
Si un proveedor no sabe responder a esto con claridad, eso ya es un problema. En el trabajo de cara al cliente, «estamos en ello» no es motivo suficiente para pasar datos de clientes por la herramienta.
Cómo responde Hebno
Alojamiento a tu elección
Los datos de Hebno pueden alojarse en la UE o en EE. UU., a elección de cada firma. Es una decisión deliberada: una consultora de Londres con clientes en la UE y una firma estadounidense con clientes en su propio país tienen requisitos distintos, y una única ubicación fija solo serviría a una de las dos. Eliges la ubicación que encaja con tus obligaciones en lugar de aceptar la que el proveedor haya dejado por defecto.
Sin entrenamiento con tus datos
Lo que introduces en Hebno no se usa para entrenar ningún modelo. Es lo mínimo para una firma que maneja material confidencial de clientes, y debería ser una afirmación clara, no un ajuste escondido en un plan empresarial. El trabajo de cliente que haces en Hebno sigue siendo tuyo.
Reglas de acceso que se mantienen
Los permisos que tu firma ya tiene deben seguir valiendo dentro de la herramienta de IA. Esto enlaza con la guía de conocimiento conectado: conectar las fuentes y las herramientas de tu firma no debe cambiar quién puede ver qué. Quien no puede ver un documento en tus sistemas no consigue acceso a él por preguntarle a un asistente. Los permisos basados en roles limitan a cada persona a lo que le corresponde ver.
Cifrado y registros de auditoría
Los datos se cifran en tránsito y en reposo, y los accesos y el uso quedan anotados en registros de auditoría. El cifrado es lo mínimo que cabe esperar, no algo de lo que presumir. Los registros de auditoría importan más a los clientes, porque con ellos tanto la firma como sus clientes pueden ver cómo se usó la IA en un proyecto, sin tener que fiarse a ciegas. El contrato de encargo (DPA) recoge las condiciones formales.
El Reglamento de IA de la UE y quién es responsable
El Reglamento de IA de la UE introduce obligaciones sobre el uso de la IA y los detalles todavía están cambiando, así que toma cualquier resumen, incluido este, como un recordatorio para comprobar los requisitos vigentes y no como asesoramiento jurídico. Para una firma de servicios profesionales, los pasos prácticos son sencillos: saber qué datos implica tu uso de la IA, llevar un registro de cómo se ha usado y poder enseñar ese registro. La elección del alojamiento, la garantía de que no se entrena con tus datos, los controles de acceso y los registros de auditoría son lo que en la práctica te ayuda a cumplir esas obligaciones.
Ninguna herramienta puede asumir las responsabilidades propias de tu firma. Hebno pone los controles, y tu firma sigue decidiendo qué trabajo es apropiado para la IA, qué permisos de cliente se aplican y cómo se revisa el resultado. Sobre esto último, consulta la guía de trabajo fiable con IA: la revisión es un paso de calidad y también la forma de que una persona concreta siga respondiendo del trabajo.
La seguridad como base
La seguridad no es el motivo para usar IA en el trabajo para clientes, pero es lo que permite usarla de forma responsable. Una firma debería elegir una plataforma de IA porque ayuda al equipo a hacer un trabajo fiable para sus clientes, y debería esperar las respuestas de seguridad anteriores como algo de serie, no como un extra de pago. Cuando las cuestiones de datos están bien resueltas, la gente deja de preocuparse por ellas y el equipo puede centrarse en el trabajo. La versión pública de estas respuestas está en la página de seguridad.
