Política de uso y datos

El Marco de Gestión de Riesgos de IA del NIST (NIST AI 100-1, publicado el 26 de enero de 2023) organiza el trabajo en cuatro funciones: Govern, Map, Measure y Manage. La primera, Govern, cubre las políticas, las responsabilidades y la cultura que atraviesan a las otras tres. Decidir qué datos pueden salir hacia un asistente, quién aprueba una herramienta y quién responde si algo sale mal es trabajo de esa función, y debe ocurrir antes de que alguien use la herramienta, no después.

Lee politica_borrador y luego consultas_al_asistente. La cláusula P-3 dice que dos clases de datos no salen nunca hacia un asistente externo, sea cual sea el destino. Cuenta cuántas consultas de la semana contienen datos de esas dos clases. El destino aprobado no cambia el resultado: P-3 no depende de él.

Un destino no aprobado es un segundo problema, distinto del primero: no hay contrato ni se sabe qué hace el proveedor con lo que recibe. Cuando se combinan un dato personal y un destino no aprobado, el incidente es de otra categoría y lo atiende además quien responde por la protección de datos.

El asistente aprobado tiene un contrato. Conviene leerlo con las cláusulas internas al lado: P-2 exige que prohíba entrenar con los datos internos, y el contrato lo cumple. Pero una política necesita más que eso: cuánto tiempo conserva el proveedor lo que se le envía determina cuánto dura la exposición si él mismo sufre un incidente.

contrato_del_proveedor deja dos aspectos sin cerrar: no declara dónde se procesan las consultas y permite que la lista de subencargados cambie con solo un aviso. Para datos internos la política lo tolera, pero cada cambio es un destino nuevo para tus datos.