Qué datos de tu empresa podés darle a una IA y cuáles no

Cada vez que alguien de tu equipo pega un texto en una herramienta de IA, ese texto sale de tu empresa. A veces no pasa nada: era el borrador de un posteo. Otras veces era una planilla con nombres, teléfonos y deudas de clientes. La diferencia entre las dos situaciones no es la herramienta, es qué dato era.

Esta guía propone una forma simple de clasificar la información, repasa lo que dice la ley argentina en palabras llanas y termina con un checklist para armar tu propia política.

Cuatro categorías de datos

Antes de decidir qué herramienta usar, conviene que todo tu equipo hable el mismo idioma sobre la información. Proponemos cuatro categorías:

Dos aclaraciones prácticas. Primero, lo interno no es personal, pero puede ser igual de delicado: tu estructura de costos o tu lista de proveedores en manos equivocadas te perjudica. Segundo, hay datos que la ley no llama "sensibles" pero que conviene tratar como si lo fueran: datos financieros, contraseñas, números de tarjeta, información de menores.

La Ley 25.326, en palabras simples

En Argentina, la Ley 25.326 de Protección de los Datos Personales regula cómo se recolecta, guarda y usa la información de las personas. La autoridad de control es la Agencia de Acceso a la Información Pública (AAIP). Estas son las ideas que más impactan al usar IA:

• Qué es un dato personal. Cualquier información sobre una persona identificada o que se pueda identificar. No hace falta el nombre: un número de cliente cruzado con una dirección también identifica.
• Datos sensibles. La ley llama así a los que revelan origen racial o étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical y la información sobre salud o vida sexual. Tienen una protección reforzada y nadie puede ser obligado a darlos.
• Consentimiento. Como regla general, para tratar datos personales hace falta el consentimiento libre, expreso e informado de la persona, con excepciones que la propia ley enumera. "Informado" significa que la persona sabe para qué se usan sus datos.
• Finalidad. Los datos se usan para lo que se recolectaron, y deben ser adecuados y no excesivos para eso. Si un cliente te dio su teléfono para coordinar una entrega, usarlo para otra cosa necesita otra justificación.
• Seguridad y confidencialidad. Quien maneja datos personales tiene que protegerlos y guardar secreto sobre ellos.
• Quien procesa por vos. Cuando un tercero procesa datos por encargo tuyo (y un proveedor de IA puede serlo), solo puede usarlos para lo que acordaron, no puede cederlos y debe destruirlos cuando termina el servicio. Eso tiene que estar en el contrato o en los términos del servicio.
• Datos que salen del país. La ley restringe la transferencia de datos personales a países que no ofrecen un nivel de protección adecuado, con excepciones y mecanismos previstos en la normativa. Muchos proveedores de IA procesan en el exterior, así que este punto merece una consulta profesional.
• Derechos de las personas. Cualquiera puede pedirte acceder a sus datos, corregirlos o suprimirlos. Si los cargaste en una herramienta de IA, tenés que poder responder dónde están.

Si tu empresa trabaja en otros países de la región, cada uno tiene su propia ley de datos (Brasil, Chile, Uruguay, México y Colombia, entre otros). Los principios suelen ser parecidos, los detalles no.

Anonimizar antes de usar

Muchas tareas útiles con IA no necesitan saber quién es la persona. Resumir reclamos, detectar los motivos más frecuentes de consulta o redactar respuestas modelo funciona igual sin nombres. Algunas técnicas:

• Quitar identificadores directos: nombre, DNI, CUIT, email, teléfono, dirección, número de cliente.
• Generalizar: "34 años" pasa a "30 a 39"; "Av. Corrientes 1234" pasa a "CABA".
• Reemplazar por etiquetas: "Cliente A", "Proveedor 3". Si necesitás volver al dato original, guardá la tabla de equivalencias fuera de la herramienta de IA.
• Revisar el texto libre. El campo "observaciones" es donde se esconden diagnósticos, problemas familiares y datos de terceros.

Ojo con una diferencia: seudonimizar (cambiar el nombre por un código que vos podés revertir) no es lo mismo que anonimizar (que ya no se pueda saber de quién se trata). La ley habla de "disociación" para lo segundo. Un dato seudonimizado sigue siendo un dato personal para quien tiene la tabla de equivalencias.

Una buena práctica es que la anonimización la haga un paso automático antes de que el texto llegue a la IA, y no la buena voluntad de cada empleado.

Qué revisar en la política de cada proveedor

Antes de aprobar una herramienta, leé sus términos y su política de datos buscando respuestas concretas a estas preguntas:

1. 1.¿Usan lo que enviás para entrenar sus modelos? Muchos proveedores tratan distinto los planes gratuitos o de consumo y los planes empresariales o de API. Verificá en cuál estás.
2. 2.¿Cuánto tiempo guardan las conversaciones? Y si existe una opción de retención mínima o nula.
3. 3.¿Dónde procesan y almacenan? País o región.
4. 4.¿Quiénes son sus subprocesadores? Otras empresas que acceden a los datos para prestar el servicio.
5. 5.¿Ofrecen un acuerdo de procesamiento de datos? Es el documento que fija qué pueden y qué no pueden hacer con tu información.
6. 6.¿Cómo se borra? Si un cliente te pide suprimir sus datos, ¿podés hacerlo también ahí?
7. 7.¿Qué controles de acceso tiene? Cuentas de empresa, registro de actividad, posibilidad de desactivar el historial.

Si una herramienta no responde estas preguntas por escrito, no es una herramienta para datos de clientes.

Un ejemplo propio

Kyna, la agente que atiende este sitio, conversa con personas que todavía no son clientes. La diseñamos con dos criterios de datos. Primero, pide explícitamente el email cuando hace falta para agendar y tiene prohibido inventarlo o suponerlo. Segundo, la conversación completa solo se guarda cuando la persona agenda un diagnóstico, porque ahí sí tiene una finalidad: que el equipo llegue a la reunión sabiendo de qué se habló. Si no agenda, solo se registra que hubo una conversación. Lo detallamos en nuestra política de privacidad.

No es perfecto ni universal, pero ilustra la idea: cada dato que se guarda tiene que tener un para qué.

Checklist para tu política interna

Una política de uso de IA no tiene que ser larga. Tiene que ser clara y conocida por todos. Revisá que la tuya responda esto:

• Las cuatro categorías de datos están definidas, con ejemplos de tu rubro.
• Hay una lista de herramientas aprobadas y para qué categoría de datos sirve cada una.
• Está prohibido usar cuentas personales o gratuitas para información interna o de clientes.
• Está escrito qué datos nunca se cargan (por ejemplo: sensibles, contraseñas, tarjetas, datos de menores).
• Existe un paso de anonimización para los casos de uso que lo necesitan.
• Se revisó la política de cada proveedor aprobado (entrenamiento, retención, ubicación, subprocesadores).
• Los clientes saben, en tu política de privacidad, si sus datos pasan por herramientas de IA y para qué.
• Hay un responsable a quien consultar ante la duda y a quien avisar si algo sale mal.
• Se puede responder a un pedido de acceso o supresión de datos, incluyendo lo cargado en herramientas de IA.
• El equipo recibió una capacitación corta, con ejemplos reales, y se repite cuando entra alguien nuevo.
• La política se revisa al menos una vez por año o cuando se suma una herramienta.

Para cerrar

La pregunta no es "¿podemos usar IA?", sino "¿con qué datos y en qué herramienta?". Con las categorías claras, una lista de herramientas aprobadas y el hábito de anonimizar, la mayoría de los usos valiosos de la IA en una pyme no necesitan tocar un solo dato personal.

Si estás evaluando un primer proyecto, también te pueden servir chatbot o agente de IA: cuál necesita tu empresa y cuánto cuesta implementar IA en una pyme.