Un mail de un cliente suele traer más datos personales de los que parece: nombre, teléfono, DNI, una dirección, a veces un número de factura o de cuenta. Cuando una herramienta de IA lee ese mensaje para clasificarlo o proponer una respuesta, esos datos pasan por un tercero. La pregunta de fondo no es si se puede usar IA, sino bajo qué condiciones y qué le tenés que pedir a quien la provee.
¿Qué exige la Ley 25.326 si uso IA con los mensajes de mis clientes?
La Ley 25.326 de Protección de Datos Personales exige que los datos sean adecuados, pertinentes y no excesivos para su finalidad (art. 4), que quien los trata adopte medidas técnicas y organizativas para garantizar su seguridad y confidencialidad (art. 9) y que guarde secreto sobre ellos (art. 10). Si el proveedor procesa los datos en otro país, rige además la regla de transferencia internacional (art. 12): está prohibido transferirlos a países que no den un nivel de protección adecuado, salvo que se resuelva con consentimiento o cláusulas contractuales que garanticen esa protección.
Lo que dice la ley, en lenguaje de todos los días
- Datos justos (art. 4): los datos tienen que ser ciertos, adecuados, pertinentes y no excesivos para lo que se usan. Traducido: si la IA no necesita ver el DNI de tu cliente para clasificar un mensaje, no debería recibirlo.
- Seguridad (art. 9): quien responde por los datos debe tomar medidas técnicas y organizativas para evitar que se pierdan, se alteren o se consulten sin autorización. Si usás un proveedor, esa responsabilidad no desaparece: la compartís con él.
- Confidencialidad (art. 10): todas las personas que intervienen en el tratamiento están obligadas al secreto, y la obligación sigue después de terminada la relación. Esto incluye a cualquier tercero que toque el dato.
- Transferencia internacional (art. 12): prohibida hacia países u organismos que no ofrezcan protección adecuada.
Transferencia internacional: el punto donde más se tropieza
La mayoría de los proveedores de IA procesan datos fuera de la Argentina. La disposición 60-E/2016 de la autoridad de datos, actualizada por la Resolución 34/2019 de la AAIP, lista los países que Argentina considera adecuados: los miembros de la Unión Europea y del Espacio Económico Europeo, Reino Unido, Suiza, Guernsey, Jersey, Isla de Man, Islas Feroe, Canadá (solo su sector privado), Andorra, Nueva Zelanda, Uruguay e Israel (solo para datos con tratamiento automatizado). Estados Unidos no figura.
Que un país no esté en la lista no significa que no se pueda transferir. La ley admite hacerlo con el consentimiento del titular o con cláusulas contractuales que garanticen un nivel adecuado, y en 2023 la AAIP aprobó cláusulas contractuales modelo (Resolución 198/2023) justamente para ese fin. Lo que sí significa es que hay que hacerlo con papeles y no por defecto.
Fuentes: texto de la Ley 25.326 (Infoleg) y Disposición 60-E/2016 con las modificaciones de la Resolución 34/2019 de la AAIP.
Qué hacer antes de contratar una herramienta de IA
Una página de políticas publicada por el proveedor no es lo mismo que un compromiso firmado: la primera la puede cambiar él solo, el segundo lo obliga. Antes de darle acceso a tu correo, pedile tres cosas por escrito.
- Retención: si guarda el contenido de los mensajes, cuánto tiempo y cómo se borra. Lo ideal es que no guarde nada más allá de procesar el pedido.
- Entrenamiento: que se comprometa por contrato a no usar tus datos para entrenar sus modelos.
- Subprocesadores y ubicación: quiénes más tocan los datos y en qué país se procesan, con aviso previo si algo cambia.
Y una pregunta práctica que suele cambiar la conversación: ¿qué datos le llegan realmente al modelo? Enmascarar antes de enviar —reemplazar DNI, CUIT, teléfonos, emails o números de cuenta por marcas neutras— reduce lo que se transfiere sin quitarle a la IA lo que necesita para entender el mensaje.
Qué dice la autoridad sobre el uso de IA
La Agencia de Acceso a la Información Pública publicó una guía para entidades públicas y privadas sobre transparencia y protección de datos personales en el uso de inteligencia artificial responsable. Recomienda, entre otras cosas, evaluar el impacto sobre la protección de datos, trabajar con equipos multidisciplinarios, garantizar que los sistemas sean explicables y adoptar medidas de seguridad a lo largo de todo el ciclo de vida. Además, en el Congreso hay proyectos de reforma de la ley de datos personales en discusión; mientras no se aprueben, sigue rigiendo la 25.326.
Cómo lo resuelve zwip
En zwip los modelos de IA reciben solo el asunto, el remitente y el cuerpo, con los datos personales estructurados (DNI, CUIT, teléfonos, emails, CBU, tarjetas) enmascarados antes del envío. Trabajamos con un único proveedor de IA, que no entrena con los datos ni los retiene, por contrato. El correo original siempre queda en tu casilla, lo que zwip guarda para analizar tiene una retención que definís vos, y la lista completa de proveedores que procesan datos está publicada en la página de seguridad, con aviso de 30 días si cambia algo.
La pregunta no es si la IA ve tus datos, sino qué ve, quién más lo ve y cuánto tiempo se queda.
Criterio práctico para evaluar a cualquier proveedor
¿Puedo usar IA con el correo de mis clientes sin infringir la Ley 25.326?
Sí, siempre que respetes los principios de la ley: tratar solo los datos necesarios, garantizar su seguridad y confidencialidad y, si el proveedor procesa los datos en un país sin nivel adecuado de protección, cubrir la transferencia con consentimiento o cláusulas contractuales. En la práctica, conviene elegir un proveedor que enmascare los datos identificatorios antes de procesarlos, que no retenga ni entrene con tu información y que publique quiénes son sus subprocesadores. Esta nota es informativa y no reemplaza el asesoramiento legal de tu caso.
Lo que más nos preguntan
¿La Ley 25.326 aplica a los mails de mis clientes?
Sí. Nombre, teléfono, DNI, dirección o cualquier dato que identifique a una persona es un dato personal, y su tratamiento queda alcanzado por la ley, también cuando lo hace un proveedor por encargo tuyo.
¿Está prohibido usar proveedores de IA de Estados Unidos?
No está prohibido. El artículo 12 prohíbe transferir datos a países sin protección adecuada, pero la ley permite hacerlo con consentimiento o con cláusulas contractuales que garanticen esa protección. Lo que no se puede es hacerlo sin ningún respaldo.
¿Qué significa enmascarar datos antes de enviarlos a la IA?
Reemplazar los datos identificatorios (DNI, CUIT, teléfono, email, número de tarjeta o cuenta) por marcas genéricas antes de que el texto llegue al modelo. La IA entiende igual el mensaje, pero el proveedor no recibe el dato real.
¿Cambia algo con las reformas que se discuten en el Congreso?
Hay varios proyectos para modernizar la ley, pero ninguno fue aprobado. Mientras tanto la norma vigente es la 25.326. Conviene seguir el tema, aunque los principios de minimizar datos, asegurarlos y controlar a los proveedores se mantienen en todos los enfoques.
Fuentes
- Ley 25.326 de Protección de Datos Personales, texto actualizado (Infoleg)2000
- Disposición 60-E/2016, con las modificaciones de la Resolución 34/2019 (AAIP): países con nivel adecuado de protección2019
- Resolución 198/2023 (AAIP): cláusulas contractuales modelo para transferencias internacionales2023
- Guía de la AAIP para usar la inteligencia artificial de manera responsable (argentina.gob.ar)2024