Lista de verificación de seguridad y privacidad para un agente de IA

Separación y titularidad de los datos

• Si los datos de la organización están separados de los de los demás clientes del proveedor, y cómo.
• Si los datos se usan para entrenar modelos, del proveedor o de un tercero.
• Dónde se almacenan los datos y dónde se guardan las copias de seguridad. Ambos lugares, no uno solo.
• Quién en el proveedor puede acceder a su contenido y en qué circunstancias.
• Qué ocurre con el contenido y los datos al terminar el contrato, y en qué formato se pueden exportar.

Datos personales en la conversación

Es el punto más subestimado. El riesgo no está solo en lo que se guarda, sino en lo que se invita a escribir a la persona desde el principio.

• Si el sistema advierte contra introducir el documento de identidad o datos de pago en el chat.
• Si los identificadores, por ejemplo el número de teléfono en WhatsApp, se enmascaran, y en qué punto exacto se hace el enmascaramiento.
• Cuánto tiempo se conservan las conversaciones y quién puede verlas.
• Si es posible localizar una conversación concreta cuando llega una solicitud relacionada con la privacidad.
• Si existe una política de conservación por escrito, y no solo una garantía verbal.

Control y supervisión

• Registro de auditoría: quién cambió contenido o permisos, y cuándo.
• Permisos por rol, incluida la separación entre departamentos.
• Si se pueden definir de antemano respuestas fijas para temas sensibles.
• Si el sistema se puede detener de inmediato y quién está autorizado para hacerlo.

Evidencias que conviene exigir

El principio: pedir algo comprobable, no una declaración. Tenga presente la diferencia entre un SGSI construido conforme a una norma y un certificado vigente: a un proveedor que difumine esa diferencia conviene pedirle que la explique.

• El conjunto de documentos de políticas y procedimientos, para su revisión.
• Resultados de pruebas de seguridad externas, con un enlace que permita repetirlas.
• Una declaración expresa: SGSI conforme a la norma, o certificado vigente. No aceptar redacciones vagas.
• Una descripción ordenada de la supervisión, las copias de seguridad y la continuidad, indicando qué se ha comprobado realmente y no solo qué está planificado.