¿Pueden los empleados introducir datos de clientes en una herramienta de IA?

Los datos de clientes en herramientas de IA se pueden usar, pero no así como así

Introducir datos de clientes en una herramienta de IA no está prohibido de antemano, pero sí constituye un tratamiento de datos personales que se rige por las mismas normas que cualquier otro sistema. Antes de enviar datos en esa dirección, es relevante determinar qué base legal existe para ello, si se trata de más datos de los necesarios para el propósito, y —a menudo el punto más crítico— qué hace el proveedor de la herramienta de IA con esos datos de entrada. Muchas herramientas de IA generales utilizan los datos de entrada, total o parcialmente, para entrenar o mejorar su propio modelo, y ese es un propósito diferente al que tenía el cliente cuando proporcionó originalmente sus datos.

Este último aspecto afecta inmediatamente a la limitación de la finalidad y la minimización de datos del RGPD: los datos recopilados para un contacto con el cliente no son automáticamente adecuados para introducirlos en una herramienta de IA arbitraria. Si la herramienta trata los datos en nombre de la organización, el proveedor es un encargado del tratamiento, y debe haber un contrato de encargo del tratamiento que estipule qué se puede y qué no se puede hacer con los datos, dónde se almacenan, y si se utilizan para fines de entrenamiento. Por lo tanto, no es una simple pregunta de sí o no sobre «IA», sino una cuestión que varía según la herramienta, la configuración y el tipo de dato de cliente de que se trate —algunas herramientas de IA ofrecen variantes empresariales en las que el entrenamiento en los datos de entrada está explícitamente desactivado, otras no.

De dónde se deduce esto: artículos 5 y 6 RGPD

La necesidad de una base legal para cada tratamiento se deduce del artículo 6 del RGPD, y que los datos no pueden utilizarse para un propósito distinto al que fueron recopilados, ni en mayor medida de la necesaria, se deduce de los principios de limitación de la finalidad y minimización de datos del artículo 5 del RGPD. El Comité Europeo de Protección de Datos publica directrices que abordan específicamente el tratamiento de datos personales en sistemas de IA, y estas ofrecen orientación adicional sobre cuestiones como el entrenamiento en datos de entrada y el papel del proveedor como encargado del tratamiento.