Ciberseguridad
¿Es seguro usar inteligencia artificial con los datos de mis clientes?
Respuesta corta
Sí, si está montado bien; y es un riesgo real si no. Lo que decide la respuesta no es la marca del modelo de IA, son cuatro cosas: qué información entra al agente, si el proveedor del modelo puede usar esas conversaciones para entrenar, dónde quedan guardadas y quién puede leerlas dentro de tu empresa. En Panamá aplica además la Ley 81 de 2019 de protección de datos personales, que no cambia por usar IA: el dato sigue siendo tuyo y del titular, y sigues siendo responsable de él. En IstmoDigital los agentes se montan con esa regla por delante: no se entrena ningún modelo con los datos del cliente, y en el agente solo entra la información que hace falta para responder.
Qué pasa realmente con lo que escribe tu cliente
Cuando alguien le escribe a un agente de IA, ese texto viaja a un modelo de lenguaje para que lo entienda y redacte la respuesta, y la conversación se guarda en la base de datos del sistema para que quede historial y se pueda crear el lead. Son dos lugares distintos, y hay que mirarlos por separado, porque la mayoría de las dudas nacen de mezclarlos.
En el modelo, la pregunta que importa es si el proveedor puede usar tus conversaciones para entrenar futuras versiones. En los planes de empresa de los proveedores serios eso está desactivado por contrato, y es una condición que hay que verificar por escrito, no asumir.
En la base de datos, las preguntas son otras: en qué proveedor está, si el acceso está separado por empresa, quién de tu equipo puede leer una conversación y qué pasa el día que quieras irte. Eso no depende del modelo de IA: depende de cómo esté construido el sistema alrededor.
Lo que exige la Ley 81 cuando metes IA en el medio
La Ley 81 de 2019 no habla de inteligencia artificial, y precisamente por eso se aplica igual: si tratas datos personales de residentes en Panamá, las obligaciones siguen siendo tuyas aunque el procesamiento lo haga un tercero. Los puntos que más se descuidan al montar un agente:
- Finalidad. El dato solo se puede usar para lo que se recogió. Un teléfono dejado para cotizar no habilita a meterlo en una campaña de publicidad.
- Minimización. Se pide lo que se necesita y nada más. Un agente que pide la cédula "por si acaso" está creando un riesgo que no necesitaba.
- Información al titular. La persona tiene que poder saber quién trata sus datos y para qué. Un aviso de privacidad accesible desde el chat, no escondido en el pie de página.
- Derechos ARCO. Acceso, rectificación, cancelación y oposición: tienes que poder encontrar y borrar los datos de una persona cuando lo pida, y eso incluye el historial de conversaciones.
- Datos sensibles. Salud, biometría y afines tienen un tratamiento reforzado. Un agente comercial no debería recogerlos nunca.
Las cinco preguntas que hay que hacerle al proveedor
Sirven para cualquier proveedor de IA, no solo para nosotros, y las respuestas deberían llegar por escrito:
- ¿Se entrenan modelos con mis conversaciones? La respuesta correcta es no, y debe estar en el contrato.
- ¿Dónde se guardan los datos y quién más tiene acceso a esa base?
- ¿El acceso está separado por empresa, de modo que nadie de otra cuenta pueda ver lo mío ni por error?
- ¿Cómo borro los datos de una persona que ejerce su derecho, incluido su historial de chat?
- Si me voy, ¿me llevo mis datos y en qué formato?
Si alguna de las cinco no tiene respuesta clara, el problema no es la inteligencia artificial: es ese proveedor.
Lo que nunca debería entrar en un agente
Hay información que simplemente no tiene por qué pasar por un agente conversacional, aunque técnicamente se pueda: contraseñas, números completos de tarjeta, datos de salud y cualquier documento interno que no haga falta para responder. Un cobro se hace en una pasarela de pago, no dentro de un chat; un diagnóstico lo da una persona.
La regla práctica es simple: en la base de conocimiento del agente entra lo que le dirías a un vendedor nuevo el primer día —catálogo, precios públicos, horarios, políticas, preguntas frecuentes— y nada más. Si un dato no ayuda a responder, no gana nada estando ahí y sí puede costar.
Nuestra política sobre esto está escrita y es pública, en uso ético de la IA, junto con la política de privacidad. Y si quieres revisar cómo quedaría en tu caso, en ciberseguridad está el detalle del enfoque.