Límites legales y de alcance

Tienes un volcado de datos de Astilla y quieres que el modelo te ayude a analizarlo. Si lo pegas en un servicio de modelo de terceros, esa información del cliente sale de tu control y entra en la infraestructura de otra empresa. El contrato de Astilla tiene una cláusula de confidencialidad que no hace ninguna excepción para «se lo di a un modelo un momento»: la fuga es la misma.

La vía correcta cuando de verdad hace falta procesar datos sensibles con un modelo es uno local y aislado, que no manda nada afuera. Y si no lo hay, no se pegan: la comodidad del servicio en la nube no vence a la cláusula que firmaste.

El modelo, mirando lo que encontró, sugiere tocar un sistema que está fuera del alcance de Astilla porque «también parece vulnerable». Una sugerencia de un modelo no modifica la carta de autorización: lo que quedó fuera del alcance sigue fuera, lo proponga quien lo proponga. Salirse porque una máquina lo aconsejó es salirse igual, y la responsabilidad legal es idéntica.

Ampliar el alcance es una conversación con el cliente que termina por escrito, no una decisión que se toma en caliente siguiendo a un modelo. Fuera de alcance es fuera de alcance hasta que Astilla lo cambie, con firma.

El contrato suele decir dónde puede vivir la información del engagement y quién puede verla. Si mandas evidencia o registros de Astilla a un servicio de modelo externo para que te ayude a redactar, esa evidencia puede acabar almacenada o procesada en la infraestructura de un tercero, quizá en otra jurisdicción. Eso incumple el contrato sobre custodia de datos aunque tu intención fuera solo pedir ayuda con el texto.

Antes de pasarle cualquier cosa del cliente a un modelo, la pregunta es dónde termina ese dato y si el contrato lo permite. Si la respuesta es «en manos de un tercero» y el contrato dice que no, no se manda.

Cuando algo sale mal, la responsabilidad recae en quien tenía la autorización y firmó, no en la herramienta. «El modelo lo sugirió» o «el modelo lo hizo» no sirve como defensa ante el cliente ni ante la ley: el modelo no es una persona jurídica que responda, tú sí. Poner un modelo en medio reparte el trabajo, nunca la responsabilidad.

Esto cambia cómo se decide: cada acción que el modelo propone se evalúa como si la propusieras tú, porque a efectos de responsabilidad la propones tú al ejecutarla. El operador es el punto donde para la cadena de rendición de cuentas.

Abre la estación. El modelo sugirió sacar un volcado de datos del cliente a un servicio externo. Contrástalo con la cláusula de confidencialidad del contrato antes de mover nada.