Muchas empresas en Costa Rica ya usan inteligencia artificial todos los días: para redactar correos, resumir contratos, preparar propuestas o analizar información de clientes. El problema no es la herramienta. El problema es que, con frecuencia, nadie definió qué información puede entrar a esa herramienta y qué información no.
Desde INTELLILEX vemos el mismo patrón en distintos sectores: la adopción de IA ocurre más rápido que las políticas internas que deberían acompañarla. Y cuando esas políticas no existen, el criterio de cada colaborador termina decidiendo qué tan expuesta queda la empresa.
Por qué esto es, en realidad, un tema de protección de datos
La Ley N.° 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales exige una base legal para tratar datos personales, información sobre su finalidad y medidas de seguridad razonables. Cuando un colaborador pega el nombre, el correo, el número de cédula o el historial de compras de un cliente en una herramienta de IA de uso general, ese texto sale de los sistemas de la empresa y entra a la infraestructura de un tercero, muchas veces bajo condiciones que la empresa nunca revisó. Eso puede constituir una transmisión de datos sin la base ni las garantías que exige la ley, con exposición directa frente a PRODHAB, la Agencia de Protección de Datos de los Habitantes.
No hace falta una fuga masiva de información para que exista un incumplimiento. Basta con que el tratamiento no tenga respaldo legal ni control razonable sobre su destino.
Cinco reglas que funcionan en la práctica
1. Clasifique la información antes de clasificar la herramienta. No toda la IA es igual de riesgosa, pero tampoco toda la información lo es. Defina con claridad qué se considera dato sensible en su operación (datos de clientes, información financiera, datos de salud, contratos con terceros) y prohíba explícitamente su ingreso a herramientas no autorizadas.
2. Autorice herramientas, no solo intenciones. Una política que dice "use la IA con responsabilidad" no protege a nadie. Es más útil una lista corta y clara de herramientas aprobadas para uso corporativo, revisadas al menos una vez en cuanto a sus términos de tratamiento de datos y ubicación de servidores.
3. Anonimice cuando el resultado no lo requiera. Muchas veces no es necesario usar el nombre real de un cliente para obtener un buen resultado de una IA. Sustituir identificadores directos por descripciones genéricas suele bastar y reduce el riesgo de forma inmediata.
4. Documente el uso de IA en procesos que afecten a personas. Si la empresa usa IA para evaluar solicitudes, priorizar clientes o tomar decisiones que impacten a una persona identificable, debe poder explicar cómo funciona esa decisión. La trazabilidad no es un lujo: es lo que permite responder ante una consulta de PRODHAB o de la propia persona afectada.
5. Designe un responsable, aunque sea a tiempo parcial. Alguien en la organización debe tener la función explícita de aprobar nuevas herramientas de IA y resolver dudas sobre qué información puede o no compartirse. Sin ese punto de contacto, la política existe en el papel, pero no en la operación real.
¿Qué significa para su empresa?
Si su equipo ya usa IA de forma cotidiana (y es casi seguro que así es, aunque no exista una política formal), la pregunta relevante no es si debe regularse ese uso, sino qué tan rápido puede hacerlo antes de que ocurra un incidente. Una política interna breve, acompañada de una lista de herramientas autorizadas, suele ser suficiente como primer paso, y puede implementarse en semanas, no en meses.
Adoptar inteligencia artificial y cumplir con la Ley N.° 8968 no son objetivos en conflicto. Son, más bien, dos caras de la misma decisión: usar tecnología de forma que acelere el negocio sin comprometer la confianza de quienes le entregan su información.