TECNOLOGÍA · MEDIUM
Presión de IA en empresas expone datos y anticipa ley general en México
Una especialista en privacidad advierte que los empleados cargan información confidencial en plataformas abiertas sin leer los términos. El próximo año llegarían al menos tres iniciativas de ley general de IA.
Gabriela Espinosa, counsel de Privacidad y Protección de Datos de Arochi Lindner, advierte que las empresas que usan IA sin política de gobernanza exponen secretos comerciales y datos personales, sobre todo cuando los empleados usan plataformas gratuitas que entrenan modelos con esa información. Anticipa al menos tres iniciativas de Ley General de IA en México para el próximo año.
Las empresas mexicanas que ya usan herramientas de inteligencia artificial están operando, en muchos casos, sin reglas internas sobre qué información puede cargarse en esos sistemas. La advertencia la hizo Gabriela Espinosa, counsel de Privacidad y Protección de Datos del despacho Arochi Lindner, quien señaló que ese vacío expone secretos comerciales y datos personales, y anticipó que el próximo año se presentarán al menos tres iniciativas de Ley General de Inteligencia Artificial en México.
El riesgo no está sólo en la herramienta, sino en cómo se usa. Espinosa advirtió que uno de los mayores riesgos surge cuando los empleados recurren a plataformas abiertas o gratuitas para agilizar su trabajo, porque muchos de esos servicios usan la información ingresada para entrenar sus modelos. “Nadie lee los términos y condiciones”, dijo la especialista en un encuentro con medios. Con ello, los datos que entran a esos sistemas pierden su carácter confidencial y pasan a alimentar infraestructuras que la empresa no controla.
La recomendación de la abogada es que las organizaciones definan una política interna de gobernanza que delimite usos permitidos y prohibidos, de acuerdo con su tamaño y nivel de riesgo. “No estamos diciendo que no se pueda”, aclaró. La clave, explicó, es no subir información confidencial o disociarla: omitir el nombre de un paciente o plantear una fusión como caso hipotético. Esa política también serviría para fijar expectativas de comportamiento al interior de las empresas y sancionar a quien la incumpla.
La lectura
El episodio muestra una asimetría de poder que va más allá del cumplimiento corporativo. Quien controla la infraestructura de IA —las plataformas abiertas o gratuitas— define también las condiciones en que los datos de las empresas y de las personas se convierten en insumo para entrenar modelos. Las compañías que adoptan esas herramientas sin gobernanza trasladan, de facto, el control de su información a terceros cuyos términos y condiciones rara vez se leen. El derecho que queda en juego es la protección de datos personales y el secreto comercial; el mercado que cambia es el de la adopción de IA en empresas que compiten por eficiencia sin medir el costo de exponer información.
México no cuenta con una ley general de IA. El tema se ha incorporado de forma aislada en la normativa de datos personales, que permite oponerse, por ejemplo, al uso de decisiones automatizadas, y en las leyes federales del Trabajo y del Derecho de Autor, que regulan el uso de la imagen y la voz de artistas y creadores mediante esta tecnología. Espinosa calificó esos cambios como “loables esfuerzos”, aunque limitados frente al alcance real de la IA.
La abogada anticipó que el próximo año se presentarán al menos tres iniciativas de Ley General de Inteligencia Artificial: una del Senado, otra de la Cámara de Diputados y, probablemente, una del Ejecutivo. Cuál de los documentos prospere “dependerá enteramente del apetito político del momento”, dijo. A su juicio, la nueva ley no debe intentar regular sistemas o herramientas que cambian a gran velocidad, pues ello “sería absurdo”, sino el impacto de la IA en las personas y las obligaciones de las empresas para mitigar esos riesgos.
Espinosa planteó tres atributos para la futura norma. El primero es la transparencia: informar siempre cuando un contenido fue creado con IA, para distinguirlo de una imagen real. El segundo es la responsabilidad demostrada, conocida en inglés como accountability, para determinar si un daño es atribuible al desarrollador, a la organización que implementó la herramienta o al usuario. El tercero es un enfoque basado en riesgos, pues a su juicio sería injusto imponer a las empresas pequeñas y familiares las mismas cargas que a las multinacionales, cuyos flujos de información y datos son mayores.
Qué sigue
El debate legislativo está anunciado, pero no resuelto. La pregunta pública es qué modelo de responsabilidad adoptará México: si cargará las obligaciones sobre las empresas que implementan la IA, sobre los desarrolladores o sobre los usuarios, y si distinguirá por tamaño y riesgo. También queda por ver si las iniciativas abordan la gobernanza de datos dentro de las organizaciones o se limitan a regular el impacto visible de la tecnología. Mientras tanto, las empresas que ya usan plataformas abiertas siguen expuestas: sin política interna, la decisión sobre qué información entra a un modelo queda en manos de cada empleado y de los términos y condiciones que, como advirtió Espinosa, nadie lee.