No hace falta una ley nueva de IA. Las obligaciones ya rigen.
Muchas empresas esperan la regulación de la inteligencia artificial para tratar el tema. Es una espera cómoda y mal fundada: las dos obligaciones que más pesan ya rigen, y ninguna menciona la IA.
No la mencionan porque no hace falta. Una trata del dato personal, esté donde esté. La otra trata de la información confidencial, sea cual sea la vía por la que se filtró.
Una herramienta nueva no crea una excepción. Solo crea una vía más.
La primera: el dato personal
La ley de protección de datos se aplica a cualquier tratamiento de dato personal — incluso en la herramienta que alguien abrió por su cuenta, sin contrato, en una cuenta gratuita.
La norma concreta depende de dónde opere tu empresa, y este texto no nombra la tuya. Pero la forma es casi la misma en todas partes, y hay una parte que conviene leer despacio.
En Brasil, la ley enumera la seguridad entre los principios que rigen la actividad: la utilización de medidas técnicas y administrativas aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o difusión.
Fíjate en dos palabras: técnicas y administrativas. No es solo configuración — también es lo que está escrito y acordado.
La segunda, y es la que suele pillar a la gente
El mismo artículo trae un principio que cambia el juego, y casi nadie lo cita:
Responsabilidad y rendición de cuentas. En el texto brasileño: demostración, por el agente, de la adopción de medidas eficaces y capaces de comprobar la observancia y el cumplimiento de las normas de protección de datos personales y, además, la eficacia de esas medidas.
Léelo despacio. No basta con haber tenido cuidado — hay que demostrarlo. Y tampoco basta con demostrar que existen medidas: hay que comprobar que son eficaces.
Una empresa que lo hace todo bien y no escribió nada está en peor posición de lo que cree. La buena fe no se demuestra. El papel sí.
★ Si estás en Europa, el principio equivalente está en el RGPD y lleva el mismo nombre. Confirma la redacción exacta con quien lleve tu parte legal — este texto no es el lugar para citar tu norma.
Y el secreto empresarial
Este no es derecho de protección de datos. En Brasil, la ley de propiedad industrial trata como competencia desleal divulgar, explotar o utilizar, sin autorización, conocimientos, informaciones o datos confidenciales, utilizables en la industria, el comercio o la prestación de servicios.
La palabra que importa es confidenciales. Una información no es confidencial porque alguien lo crea — lo es porque la empresa la trató como tal. Si nadie nombró qué es secreto, y nadie fue avisado, la protección se sostiene mal después.
Qué pide eso en la práctica
Ningún proyecto. Tres cosas escritas:
- La lista de lo que es confidencial en tu empresa — nombrada, no sobreentendida.
- La regla de uso, que diga qué se puede y qué no, por tipo de información.
- La constancia de quien trabaja allí — el registro de que la persona lo leyó, lo entendió y se comprometió.
Las tres juntas convierten "tuvimos cuidado" en algo que se puede presentar. Y la tercera es la que casi siempre falta: sin ella, la política existe y nadie puede probar que alguien la conoció.
El plazo que no existe
Aquí no hay fecha marcada. Esa es la parte que engaña.
Una obligación sin plazo no exige nada — hasta el día en que alguien pregunta. Puede ser un cliente al renovar el contrato, una auditoría o un incidente. En los tres casos la pregunta es la misma: ¿qué hicieron para evitar esto?
Y en ese momento, la respuesta o está escrita o no existe.
Este texto describe obligaciones generales y no es asesoramiento jurídico. Los pasajes brasileños fueron cotejados con los textos oficiales de la Ley 13.709/2018 y de la Ley 9.279/1996 en el sitio del Planalto; las traducciones son nuestras. Para el caso concreto de tu empresa, y para la norma que rige donde operas, consulta a un abogado.