Herramientas de IA conformes a la LPD: qué deben comprobar las empresas suizas

Desde septiembre de 2023 rige en Suiza la Ley de Protección de Datos revisada (LPD). Quien usa herramientas de IA que trabajan con datos personales - por ejemplo datos de candidatos o de clientes - sigue siendo responsable en materia de protección de datos, aunque un proveedor externo se encargue del tratamiento.

Qué revisar al elegir proveedor

1. ¿Dónde se guardan los datos?

Un proveedor que comunica con claridad en qué país están los datos genera confianza. Con proveedores que no lo indican, vale la pena preguntar directamente.

2. ¿Se usan los datos para entrenar la IA?

Los proveedores serios excluyen expresamente que los datos de clientes o candidatos introducidos se usen para entrenar los modelos de IA subyacentes.

3. ¿Existen plazos de borrado claros?

Los datos personales no pueden conservarse indefinidamente. Una herramienta debería ofrecer plazos de borrado definidos y ajustables - y permitir el borrado a petición.

4. ¿Hay un contrato de encargo de tratamiento?

Si un proveedor externo trata datos personales por encargo tuyo, hace falta el contrato correspondiente según el art. 9 de la LPD - un proveedor serio debería poder ofrecerlo sin que se lo pidas.

5. ¿Quiénes son los subencargados del tratamiento?

Muchas herramientas de IA usan a su vez servicios externos (hosting, proveedores de modelos de IA). La transparencia sobre quién participa entre bastidores forma parte de una política de privacidad seria.

La decisión humana sigue siendo importante

Justo en las evaluaciones automatizadas (p. ej. en el reclutamiento), la decisión final debería tomarla siempre una persona - una decisión puramente automatizada sin revisión humana es delicada desde el punto de vista de la protección de datos.