Protección de datos y cumplimiento

¿Sabemos qué datos propios y de clientes se exponen a qué modelo, con qué acuerdo — y las demos corren sobre datos seguros?

Responder 'cumplimos Ley 25.326' en un RFP sin haber revisado qué hacen los proveedores con lo que el equipo sube a diario es compliance declarativo. Para exportadores, los clientes preguntan esto antes que el precio.

Dónde estamos · los cuatro niveles

N1Exploración. No se evalúa qué se expone; las demos usan datos reales sin autorización.
N2Piloto. Restricciones básicas comunicadas, primeras revisiones de términos, anonimización artesanal en demos sensibles.
N3Adopción sistemática. Controles técnicos y contractuales: clasificación, acuerdos con proveedores, cláusulas de IA con clientes, Ley 25.326 revisada con asesoría, datos seguros por defecto en demos y pilotos (sintéticos, anonimizados u otros controles según riesgo).
N4Transformación. Privacidad by design en todo el ciclo, auditable; abre sectores regulados y exportación; demostrar sin exponer es diferencial de venta.

Cómo subir un nivel

N1→N2

Clasificar lo obvio (confidencial, de cliente, público), comunicar 3 reglas de exposición, instalar la regla 'las demos no usan datos reales de clientes' y leer los términos de los 3 proveedores más usados.

Tiempo (est.): 3-4 semanasQuién: Responsable de seguridad + direcciónEvidencia de hecho: Clasificación básica publicada; términos de los 3 proveedores revisados; regla de demos vigente.

N2→N3

Formalizar con asesoría legal: matriz datos vs. herramientas permitidas, acuerdos de procesamiento con proveedores, revisión de contratos con clientes sobre uso de IA, y sistematización de datos sintéticos.

Tiempo (est.): 2 trimestresQuién: Seguridad + legales + plataformaEvidencia de hecho: Matriz vigente; acuerdos firmados; % de demos y pilotos sobre datos seguros > 90%. Requiere revisión legal.

N3→N4

Elevar a estándar exportable (marcos internacionales de privacidad y gestión de riesgo de IA) y auditar periódicamente.

Tiempo (est.): 2-3 trimestresQuién: Seguridad + calidadEvidencia de hecho: Auditoría periódica registrada; cero incidentes de exposición en pruebas.

Qué medir

% de herramientas con términos revisados y acuerdo vigente
Datos clasificados vs. total relevante
% de demos y pilotos sobre datos sintéticos o anonimizados

Tablero: Se lee con M5 y M8.

Variante por perfil

PyME (≈30 personas). Tres reglas de exposición y la regla de demos ya son N2; la asesoría legal para N3 puede ser puntual.

Empresa grande (≈500). Fintech, salud y gobierno: condición de entrada; validar requisitos específicos (BCRA u organismo correspondiente) con asesoría.

Anti-patrón

El compliance declarativo: 'cumplimos' en el RFP sin que nadie haya revisado los proveedores.

En qué se apoya

Laney (lo que no está clasificado no se puede proteger ni valorar) · Agrawal et al. (datos de entrada y de entrenamiento son componentes distintos: preguntar por ambos). Ley 25.326 e ISO/IEC 42001 orientan y requieren validación legal.

Ver también: G.1 Política y uso responsable · 4.1 Gobierno y calidad de datos · 4.4 Gestión del conocimiento

Ficha G.2 en PDF Hacer la autoevaluación Plantilla del plan de 90 días (PDF)

Los tiempos son estimaciones de la Mesa de Innovación para una organización que dedica un responsable con tiempo protegido; se calibran con el piloto del tablero.