Inteligencia artificial y KVKK: precaución al compartir datos
Le explicamos las precauciones generales al introducir datos de clientes y de la empresa en herramientas de IA: conceptos de la KVKK, anonimización y política de uso interna.
Aurora YazılımEquipo editorial
6 min de lectura
Introducir datos personales en herramientas de IA puede equivaler a transferirlos a un tercero; por eso, para cumplir con la KVKK (la ley turca de protección de datos, comparable al RGPD) al usar IA, anonimice datos como el nombre del cliente, el teléfono, el documento de identidad y la información de salud antes de introducirlos. Revise la cuenta corporativa y los ajustes de conservación de datos, y establezca una política de uso por escrito para los empleados.
¿Por qué hay que ser prudente?
Que un empleado pegue el correo completo en un chat de IA para responder a la queja de un cliente es un comportamiento muy corriente. Pero ese correo contiene el nombre del cliente, su teléfono, su dirección de envío y quizá su estado de salud. Esa información ya se está tratando en un servidor ajeno a su empresa.
La Ley n.º 6698 de Protección de Datos Personales (KVKK), la ley turca comparable al RGPD, regula con qué finalidad, con qué base jurídica y con quién se comparten los datos personales que se tratan. Usar una herramienta de IA no está prohibido en sí mismo; la cuestión es cómo y con qué medidas se transfieren los datos a esa herramienta.
Este artículo tiene carácter meramente informativo. Para una valoración específica de su caso, consulte la normativa vigente y a su asesor jurídico; las guías publicadas por la autoridad turca de protección de datos personales también son un buen punto de partida.
Conceptos básicos de la KVKK
Antes de valorar el uso de la IA conviene aclarar algunos conceptos. Estos conceptos determinan quién es responsable y qué datos requieren una protección más estricta.
| Concepto | Equivalencia en el uso de IA |
|---|---|
| Dato personal | Toda información de una persona identificada o identificable: nombre, teléfono, correo, dirección IP, historial de pedidos. |
| Datos de categoría especial | Datos como los de salud, biométricos, religión o afiliación sindical; están sujetos a condiciones más estrictas. |
| Responsable del tratamiento | Su empresa, que decide con qué finalidad se tratarán los datos. |
| Encargado del tratamiento | El proveedor de servicios que trata los datos en su nombre; el servicio de IA puede encontrarse en esta posición. |
| Deber de información | La obligación de informar a la persona de cómo se tratan sus datos y a quién se transfieren. |
| Transferencia al extranjero | Enviar datos a servicios cuyos servidores están en el extranjero; la ley lo regula de forma específica. |
¿Qué datos no deben introducirse nunca?
Cada empresa tiene un apetito de riesgo distinto, pero hay tipos de datos que no deben introducirse bajo ninguna circunstancia en herramientas abiertas o usadas con cuentas personales. Puede añadir esta lista directamente a su política interna.
- Número de identificación turco (TC Kimlik), datos del pasaporte y del carnet de conducir
- Tarjeta de crédito, IBAN y datos de cuentas bancarias
- Datos de categoría especial, como informes médicos, recetas y datos de discapacidad
- Nóminas de empleados, evaluaciones de desempeño y expedientes disciplinarios
- Contraseñas, claves de API y datos de acceso a servidores
- Resultados financieros aún no publicados, archivos de ofertas y secretos comerciales
- Volcados masivos de listas de clientes y datos de contacto
Métodos para anonimizar los datos
Para la mayoría de las tareas, la IA no necesita saber quién es la persona. Para corregir el tono del correo de una queja o resumir un informe, los nombres y los números no sirven de nada. Por eso la medida más eficaz es anonimizar los datos antes de enviarlos o, al menos, sustituirlos por un seudónimo.
Utilice seudónimos
En lugar de «Ayşe Yılmaz, 0532…» escriba «Cliente A». Cuando llegue la respuesta, añada usted mismo los datos reales. Este sencillo hábito elimina la mayor parte de los riesgos.
Generalice
En lugar de la fecha de nacimiento exacta, utilice un rango de edad; en lugar de la dirección completa, solo la provincia. Se conserva la información necesaria para el análisis y se elimina el detalle que identifica a la persona.
Configure un enmascaramiento automático
Si la IA se va a conectar al software de su empresa, se puede añadir una capa intermedia que enmascare patrones como el teléfono, el correo y el número de identificación antes de que los datos lleguen al modelo. Esto ofrece protección sin depender de la atención del empleado.
Cuenta corporativa y ajustes
Entre las cuentas personales gratuitas y los planes corporativos puede haber diferencias importantes en la política de datos. Algunos servicios pueden usar para mejorar el modelo el contenido introducido en cuentas personales; en los planes corporativos esto suele estar desactivado por defecto. Lea por separado el contrato y las condiciones de privacidad de cada servicio.
Los principales ajustes que debe revisar son: el plazo de conservación del historial de chat, si el contenido se usa para el entrenamiento, la región en la que se tratan los datos, el panel de administración y la autorización de usuarios. Que todos los miembros del equipo trabajen con el correo de la empresa bajo una única administración le permite ver quién usa qué herramienta.
El uso a través de API es otra opción. Cuando se conecta al modelo desde su propio software, es usted quien decide, a nivel de código, qué datos se envían. Es posible diseñar una estructura así dentro de soluciones de software sectoriales o como integración con sus sistemas actuales.
IA de cara al cliente
Cuando añade un asistente de IA a su web o a su línea de WhatsApp, los datos de los clientes fluyen directamente a ese sistema. En ese caso debe actualizar su texto informativo de privacidad e indicar con claridad al cliente que está hablando con una IA. Explicamos en detalle el diseño del asistente en nuestro artículo sobre chatbots de IA.
En sectores como los hoteles, las clínicas y el comercio electrónico, el registro de huéspedes o clientes puede contener información sensible. Por ejemplo, no es necesario compartir con un asistente de IA los datos de identidad de un huésped que figuran en un software hotelero; el asistente puede trabajar solo con información no personal como el tipo de habitación, las fechas y el precio.
En marketing rige el mismo principio. Si se va a usar IA para segmentar clientes o analizar campañas, el equipo de marketing digital debe trabajar con datos agregados y anónimos; no deben subirse listas de personas concretas.
Política de uso interna
Prohibir suele ser inútil; los empleados seguirán usando la herramienta desde su teléfono personal. El camino más realista es redactar una política de uso de la IA breve y comprensible, y explicarla al equipo.
- Qué herramientas están aprobadas y con qué cuenta se utilizarán
- Qué tipos de datos no se introducirán en ningún caso
- Las normas de anonimización y sus ejemplos
- Quién revisará el resultado de la IA
- Que la aprobación final de los textos dirigidos al cliente la dé una persona
- A quién avisar en caso de duda
Si se han compartido datos por error
Si un empleado ha subido por error un archivo sensible a una herramienta de IA, primero elimine el chat y el archivo con los métodos que ofrezca el servicio y deje constancia del incidente con la fecha y el contenido. A continuación, determine qué datos se han compartido, de cuántas personas son y si el servicio conserva esos datos.
La KVKK impone al responsable del tratamiento una obligación de notificación cuando terceros obtienen por vías ilícitas los datos tratados. Valore de inmediato con su asesor jurídico si el incidente entra en este supuesto y en qué plazo debe notificarse; los plazos de las resoluciones del Consejo son cortos y esperar aumenta el riesgo.
La exactitud de los resultados también es responsabilidad suya
La seguridad de los datos no es el único riesgo. La IA puede generar información errónea sobre un cliente o inventarse una norma que no existe. Que los datos personales sean exactos y estén actualizados figura también entre los principios generales de la ley; por eso el resultado del modelo no debe usarse por sí solo para tomar decisiones sobre una persona.
Para entender por qué los modelos pueden equivocarse, puede consultar nuestros artículos qué es un LLM y alucinaciones de la IA. Si responde a los comentarios de clientes en redes sociales con IA, le recomendamos que en el proceso de gestión de redes sociales cada respuesta pase por un control humano.
Preguntas frecuentes
01¿Escribir el nombre de un cliente en ChatGPT infringe la KVKK?
No es posible dar una respuesta tajante en abstracto; se valoran conjuntamente la finalidad, la base jurídica, la información al interesado y las condiciones de transferencia. Pero compartir datos personales innecesarios crea riesgo. La vía más segura es sustituir el nombre por un seudónimo.
02¿Basta con usar un plan corporativo?
No. Los planes corporativos pueden ofrecer garantías más sólidas sobre conservación de datos y entrenamiento, pero la información al interesado, la minimización de datos y la formación de los empleados siguen siendo responsabilidad suya.
03¿Debemos decirle al cliente que usamos un asistente de IA?
Se recomienda la transparencia, tanto por confianza como por cumplimiento. Mencionar en el texto informativo los servicios con IA y la transferencia de datos permite que el cliente esté informado.
04¿Un modelo de IA que funciona en local es más seguro?
Como los datos no salen de la empresa, el riesgo de transferencia disminuye. Pero responsabilidades como la seguridad del servidor, los permisos de acceso y las copias de seguridad pasan por completo a usted; por eso hay que montar bien la infraestructura.
Las herramientas de IA aumentan la productividad, pero al trabajar con datos personales son imprescindibles la anonimización, elegir bien la cuenta y una política escrita; para los detalles, revise siempre la normativa vigente y consulte a su asesor. Si desea construir una estructura que ponga la seguridad de los datos en el centro, conozca las soluciones de Aurora Yazılım o escríbanos desde nuestra página de contacto; el resto de artículos sobre el tema están en la etiqueta KVKK.
