La adopción de inteligencia artificial en organizaciones públicas y privadas exige algo más que elegir una herramienta: requiere definir qué información se procesará, bajo qué reglas y con qué controles.

La inteligencia artificial ya forma parte de tareas cotidianas: resumir documentos, transcribir reuniones, clasificar información, buscar antecedentes o asistir en la redacción de textos. Su potencial para ganar tiempo y mejorar procesos es concreto. Sin embargo, cuando esas tareas involucran información de clientes, expedientes, legajos, contratos o comunicaciones internas, la innovación plantea una pregunta ineludible: ¿qué sucede con los datos que se ingresan a la herramienta?

El punto de partida: saber qué información está en juego

Ningún caso de uso de IA debería evaluarse por separado de los datos que necesita para funcionar. Un documento aparentemente ordinario puede contener datos personales, información sensible, secreto profesional, estrategias comerciales, antecedentes disciplinarios o referencias que, combinadas, permitan identificar a una persona. Por eso, antes de implementar una solución, conviene relevar qué fuentes se usarán, qué categorías de información contienen y qué obligaciones legales, contractuales o éticas pesan sobre ellas.

También es importante diferenciar entre una herramienta de uso general y una solución pensada para entornos organizacionales. La conveniencia de una tecnología no se mide solo por la calidad de sus respuestas: importan igualmente las condiciones de tratamiento de la información, la ubicación de los datos, los plazos de conservación, los accesos habilitados y la posibilidad de auditar lo ocurrido. Cargar un archivo para ganar unos minutos puede implicar exponer más información de la necesaria.

Privacidad desde el diseño, no como corrección posterior

La protección de datos no debería aparecer al final del proyecto como una instancia meramente formal. Integrarla desde el diseño permite definir, antes de poner una herramienta en producción, para qué se usará, qué datos resultan estrictamente necesarios, quiénes tendrán acceso y cómo se gestionarán los incidentes o los pedidos de supresión. En la práctica, esto exige ordenar la conversación en torno a preguntas concretas: ¿es imprescindible utilizar datos reales o puede trabajarse con datos sintéticos, minimizados o previamente disociados? ¿La solución necesita acceder a todo un repositorio o solo a una selección acotada? ¿Qué proveedor interviene y qué garantías ofrece? ¿Dónde quedan almacenados los archivos, los prompts y los registros de uso? Este análisis no corresponde exclusivamente al área de sistemas: las áreas legales, de privacidad, seguridad, compliance y negocio deben participar desde el inicio, con responsables definidos y criterios comunes. Las respuestas deben quedar documentadas y revisarse cuando cambie el alcance del proyecto, y un piloto controlado suele ofrecer información más valiosa que una adopción amplia e inmediata.

Gobernanza: controlar el uso y poder explicarlo

Cuando se utiliza IA generativa para consultar documentos o producir borradores, la gobernanza importa tanto como el modelo elegido. Las organizaciones deberían poder conocer qué contenido fue utilizado como fuente, qué usuario realizó una consulta, qué instrucciones se impartieron y cómo se validó la respuesta. Esa trazabilidad ayuda a detectar usos indebidos, corregir errores y demostrar que la tecnología opera dentro de un marco de responsabilidades definido.

Los controles de acceso por rol, los registros de actividad, la revisión de los resultados y las reglas internas sobre usos permitidos son componentes básicos de ese marco. La IA puede asistir en tareas repetitivas o de análisis preliminar, pero no reemplaza la responsabilidad de quien toma decisiones ni habilita a tratar información confidencial sin una base y un propósito claros.

Qué evaluar antes de poner una herramienta en producción

Antes de avanzar, resulta útil ordenar la conversación en torno a algunos puntos: el objetivo concreto del caso de uso; las categorías de datos involucradas; los flujos de información dentro y fuera de la organización; las medidas técnicas y contractuales aplicables; los perfiles de acceso; la trazabilidad disponible; y el modo de probar la solución antes de escalarla. Un piloto controlado suele ofrecer información más valiosa que una adopción amplia e inmediata.

Este análisis no corresponde exclusivamente al área de sistemas. Las áreas legales, de privacidad, seguridad, compliance y negocio deben participar desde el inicio, con responsables definidos y criterios comunes. La coordinación permite traducir principios generales -como minimización, confidencialidad, seguridad y rendición de cuentas- en decisiones operativas que los equipos realmente puedan aplicar.

La herramienta que resuelve este desafío

Adoptar inteligencia artificial de forma responsable no equivale a renunciar a sus beneficios: equivale a hacerlo con las herramientas correctas. Privacy AI Studio, diseñada por IALAB de la Facultad de Derecho de la UBA y desarrollada por Puzzle AI, fue pensada específicamente para dar respuesta a los puntos que plantea esta nota: permite anonimizar documentos antes de que cualquier IA acceda a ellos, transcribir audio y video sin que el contenido salga de la infraestructura de la organización, y utilizar inteligencia artificial generativa bajo reglas definidas por cada institución, con revisión humana y trazabilidad sobre cada interacción. Es, en definitiva, una forma concreta de aplicar privacidad desde el diseño en organizaciones que no pueden darse el lujo de improvisar cuando se trata de información confidencial.