La IA y los Datos de tu Empresa: Qué Debería Preocuparte de Verdad
Qué datos salen de tus sistemas cuando usas herramientas de IA, las cuatro preguntas que importan al proveedor y los controles que una empresa de 10 personas puede montar en una semana.
Tu Equipo Ya Está Pegando Datos de Clientes en Herramientas de IA
Alguien de tu equipo pegó un correo de un cliente en ChatGPT para reescribirlo. Otra persona subió una hoja de cálculo para que se la resumieran. Una tercera puso un contrato en una herramienta de IA para revisar las condiciones. Ninguno pidió permiso, porque no se les ocurrió que hiciera falta.
Las encuestas sobre uso de IA en el trabajo encuentran que la mayoría de los empleados usa herramientas que su empresa no aprobó, y una parte importante admite haber cargado datos de la compañía en ellas. Tu negocio está en algún punto de esas cifras.
La respuesta correcta es una política y un conjunto de herramientas aprobadas, no una prohibición. Las prohibiciones empujan la conducta a la clandestinidad, donde ya no la ves.
Qué Sale de tus Sistemas y a Dónde Va
Cuando envías datos a una herramienta de IA, tres cosas distintas determinan tu exposición. El marketing de los proveedores suele mezclarlas.
¿El proveedor entrena con tus datos?
Los productos de IA de consumo suelen usar el contenido enviado para mejorar sus modelos salvo que lo desactives. Los planes de negocio y empresariales de los proveedores grandes no entrenan con contenido de clientes por defecto. La diferencia entre el plan gratuito y el de negocio es la diferencia entre que tu cartera de clientes se convierta en datos de entrenamiento o siga siendo tuya.
Para una empresa de 10 personas, pasar a todos a un plan de negocio cuesta entre $250 y $350 al mes. Es el control de seguridad más barato que tienes disponible.
¿Cuánto tiempo lo guardan?
La mayoría de los proveedores retiene el contenido 30 días para monitoreo de abuso y después lo borra. Algunos ofrecen retención cero para el tráfico por API si lo pides. Pide el número por escrito en vez de aceptar un "nos tomamos la privacidad en serio".
¿Quién más lo puede ver?
Los subprocesadores. El proveedor de IA que contrataste corre sobre la nube de otro y puede usar terceros para herramientas de soporte. Su lista de subprocesadores es una página pública en casi todos los sitios. Si un cliente tuyo es del sector salud o financiero, te la va a pedir.
Las Cuatro Categorías de Datos, Ordenadas por Riesgo
No todos los datos necesitan la misma protección. Clasificar los tuyos en cuatro grupos toma una tarde y facilita cada decisión posterior.
| Nivel | Ahorro de tiempo | Configuración | Costo |
|---|---|---|---|
| Públicos (textos de marketing, contenido publicado) | Sin restricción | Cualquier herramienta aprobada | Sin costo extra |
| Internos (procesos, borradores, planes) | Riesgo bajo | Solo herramientas de plan de negocio | $25-35/usuario/mes |
| Confidenciales de clientes (contratos, archivos) | Requiere contrato | Plan de negocio más DPA firmado | Mismas herramientas, revisión legal |
| Regulados (salud, pagos, identificación oficial) | Riesgo alto | Proveedor conforme más BAA o equivalente | $100-500/mes adicionales |
La mayoría de las pequeñas empresas maneja los grupos uno y dos todo el día, el tres varias veces por semana y el cuatro pocas veces o nunca. Anota qué herramientas están aprobadas para cada grupo y ponlo en una sola página.
Las Cuatro Preguntas para Cualquier Proveedor de IA
Antes de meter datos de tu empresa en una herramienta, consigue estas respuestas. Un proveedor que no las puede contestar en un ticket de soporte no está listo para uso empresarial.
- ¿Usan el contenido que enviamos para entrenar sus modelos? Si es así, ¿cómo lo desactivamos y aplica de forma retroactiva?
- ¿Cuánto tiempo retienen nuestros datos y pueden borrarlos a pedido dentro de un plazo definido?
- ¿Firman un acuerdo de procesamiento de datos y tienen un informe SOC 2 Tipo II vigente que podamos revisar?
- ¿En qué país se almacenan nuestros datos y quiénes son sus subprocesadores?
Para la mayoría de las pequeñas empresas, las respuestas que necesitas son: sin entrenamiento, retención de 30 días o menos, DPA a pedido y lista pública de subprocesadores. Los proveedores que atienden empresas tienen las cuatro listas.
Los Riesgos que Merecen tu Atención
Incumplimiento de contrato, no hackeo
El mal resultado realista para una empresa chica es descubrir que el contrato con tu cliente tiene una cláusula de confidencialidad que exige que sus datos no salgan de tu organización, y tu equipo lleva ocho meses pasándoselos a un tercero.
Saca tres de tus contratos más grandes y lee las secciones de confidencialidad y subcontratación. Eso te dice qué tienes permitido hacer y es un trabajo de 30 minutos.
Accesos demasiado amplios
Cuando conectas una herramienta de IA a Google Workspace o a tu CRM, la pantalla de permisos suele pedir acceso de lectura a todo. Un asistente de IA que lee tu Drive completo para responder preguntas también puede mostrar la planilla de sueldos a quien la pida.
Otorga acceso a carpetas concretas y a tipos de registro concretos. Si la herramienta solo admite todo o nada, eso te dice algo sobre cuánto la pensaron.
El problema del empleado que se fue
El personal se registra en herramientas de IA con el correo del trabajo y tarjetas personales. Cuando se van, la cuenta y su historial se van con ellos. Mantén una lista de cada herramienta de IA en uso, quién la administra y con qué se conecta. Esa lista también es lo que le entregas a un cliente que te pide tu inventario de proveedores.
Automatizaciones que actúan sin revisión
Un paso de IA que redacta un correo para un cliente es de riesgo bajo. Uno que lo envía sin revisión es de riesgo alto. Todo lo que toca dinero, contratos o comunicación externa con un cliente debe tener una persona aprobando hasta que lo hayas visto funcionar durante unos cientos de ciclos.
Los incidentes de IA que vemos en pequeñas empresas son casi siempre un empleado usando una herramienta gratuita, con datos de clientes, bajo un contrato que nadie volvió a leer.
Un Plan de Controles de Una Semana
Puedes poner controles razonables en una semana sin contratar a nadie.
- Día 1: pregunta a tu equipo, sin buscar culpables, qué herramientas de IA usan y qué cargan en ellas. Necesitas la respuesta honesta más que el cumplimiento.
- Día 2: clasifica tus datos en los cuatro grupos de arriba y escribe la regla de una línea para cada uno.
- Día 3: pasa las herramientas que vas a conservar a planes de negocio con el entrenamiento desactivado, bajo facturación y administración de la empresa.
- Día 4: revisa los permisos de aplicaciones conectadas en Google Workspace, Microsoft 365 y tu CRM. Quita lo que nadie reconozca y limita lo que tenga acceso total.
- Día 5: escribe una política de IA de una página que nombre las herramientas aprobadas, liste lo que nunca se pega en una IA y diga a quién preguntar ante la duda.
Una página. Si tu política llega a ocho, nadie la lee y compraste papeleo en lugar de protección.
Lo que tus Clientes van a Empezar a Preguntarte
Los clientes más grandes ya sumaron preguntas de IA a sus formularios de proveedores. Espera que te pregunten si usas IA para entregar su trabajo, con qué herramientas, si sus datos entrenan un modelo y si vas a avisarles antes de sumar un proveedor de IA nuevo.
Tener las respuestas listas te gana trabajo. Vimos a dos agencias chicas quedarse con contratos porque pudieron entregar una política de IA de una página y un inventario de herramientas en un día, mientras el otro oferente pidió dos semanas para armar algo.
El documento que responde esas preguntas es la misma política de una página del plan semanal de arriba. Lo construyes una vez y lo usas para vender.
Qué Va en la Lista de Nunca
Mantenla corta para que se recuerde. Para la mayoría de las pequeñas empresas:
- Números de seguro social, identificaciones oficiales y datos de pasaporte
- Números completos de tarjeta y credenciales de cuentas bancarias
- Información de salud de pacientes, salvo que tengas un BAA firmado con ese proveedor
- Contraseñas y claves de API, incluidas las que van en código que pegas para depurar
- Datos de clientes cubiertos por un contrato que restringe el procesamiento por terceros
Qué Debería Estar Haciendo tu Socio de Automatización
Si contratas a alguien para construir automatizaciones con IA, la seguridad va dentro de la construcción y no como agregado. Pregúntale cómo se guardan las credenciales, si la automatización registra el contenido que procesa y por cuánto tiempo, a qué proveedor de IA llama y con qué plan, y qué datos manda el flujo fuera de tus sistemas.
Un socio que no pensó la última pregunta te va a construir algo que manda tu cartera de clientes a una API que nunca evaluaste.
Mantenerlo en Proporción
Una consultora de 10 personas no necesita los controles de un hospital. Cuentas de plan de negocio con el entrenamiento desactivado, permisos acotados, una política corta por escrito y revisión humana en todo lo que llega al cliente cubren el riesgo realista de la mayoría de las pequeñas empresas.
El costo son unos cientos de dólares al mes y una semana de atención. La alternativa es enterarte del problema por un cliente que leyó tu contrato con más cuidado que tú.
Referencias útiles:
¿Quieres saber cuáles de tus herramientas y flujos actuales están moviendo datos de clientes a lugares que no esperabas? Nuestra auditoría de automatización gratuita incluye una revisión del flujo de datos: qué sale de tus sistemas, qué proveedores lo reciben y qué arreglar primero. Escríbenos a info@venturesuccessusa.com.