Privacidad de datos en la era de los modelos frontera: por qué un DPA no es opcional
Privacidad de datosRGPDLey de IA de la UEData Processing AgreementQuales AuraIA autoalojada
Quales Group·
En algún lugar de tu empresa, hoy, un empleado pegó una lista de clientes, una cláusula de un contrato o un registro de lote en un chatbot público para ahorrarse diez minutos. No fue descuidado; fue productivo. El problema es que nadie le dijo a dónde fue ese texto, bajo qué contrato y quién más puede verlo ahora.
Los modelos frontera son las herramientas más capaces que la mayoría de las empresas desplegó jamás, y la forma más rápida de poner datos regulados frente a un tercero. Este artículo explica por qué un acuerdo de tratamiento de datos (DPA, por data processing agreement) y el despliegue correcto son requisitos previos, no papeleo; cómo es el panorama regulatorio; y cómo la versión enterprise de Quales Aura está diseñada para mantener tus datos donde corresponde. Esto es orientación práctica, no asesoramiento legal: tu delegado de protección de datos y tu asesoría jurídica deberían revisar tu caso concreto.
Cuando un prompt sale de tu red, lo procesa la infraestructura del proveedor del modelo. Según el servicio y las condiciones, el proveedor puede:
guardar el prompt y la respuesta durante un período (de días a años) para monitoreo de abuso o soporte,
permitir que empleados o contratistas lean muestras,
usar el contenido para entrenar o ajustar modelos futuros,
procesarlo en la región que él elija,
pasárselo a subencargados de los que nunca escuchaste hablar.
Los productos de consumo aplican por defecto la más permisiva de estas opciones. Las ofertas enterprise pueden ser mucho más estrictas, pero solo si firmás el acuerdo correcto y usás el endpoint correcto. El mismo modelo, al que se llega por dos puertas distintas, puede quedar en lados opuestos de la línea de cumplimiento.
Bajo el RGPD, la organización que decide por qué y cómo se tratan los datos personales es el responsable del tratamiento; el proveedor que los trata en nombre del responsable es el encargado del tratamiento. El artículo 28 exige un contrato escrito entre ambos con un contenido específico: el encargado actúa solo bajo instrucciones documentadas, mantiene la confidencialidad de los datos, implementa medidas de seguridad, notifica las brechas, asiste al responsable en sus obligaciones, elimina o devuelve los datos al finalizar y solo contrata subencargados con autorización.
Ese contrato es el DPA. Sin él, enviar datos personales a un proveedor de modelos es, en la mayoría de los casos, una brecha de cumplimiento en sí misma, por buena que sea la seguridad del proveedor. Con él, todavía tenés que leer lo que dice. Las cláusulas que importan en la práctica:
Cláusula
Qué buscar
Entrenamiento
Una declaración explícita de que tus entradas y salidas no se usan para entrenar ni mejorar modelos
Retención
Cuánto tiempo se guardan prompts y salidas, y si está disponible la retención cero de datos
Región
Dónde ocurren el procesamiento y el almacenamiento; si podés fijar regiones de la UE
Subencargados
La lista, el mecanismo de notificación y tu derecho a oponerte
Transferencias internacionales
Cláusulas contractuales tipo o una decisión de adecuación para todo lo que salga de la UE
Revisión humana
Si el personal del proveedor puede leer tus datos, y bajo qué condiciones
Auditoría
Certificaciones (ISO 27001, SOC 2), derechos de auditoría, plazos de notificación de brechas
Los hiperescaladores ofrecen estas condiciones para sus servicios de modelos: Amazon Bedrock, Azure OpenAI y Google Vertex AI proveen DPA, endpoints regionales y compromisos enterprise sobre entrenamiento y retención. Las API enterprise directas de los fabricantes de modelos cada vez lo hacen más. Las aplicaciones de consumo, y las claves de API creadas con una tarjeta personal, no.
Un DPA es necesario pero no suficiente. Tres preguntas sobre el despliegue deciden si el contrato te protege en la práctica:
Qué endpoint. Un endpoint regional en la UE con cláusulas de retención cero es un servicio distinto de la API global de consumo del mismo modelo. Tu aplicación tiene que estar configurada para llamar al endpoint contratado y a ningún otro.
Quién tiene las claves. Las claves de API guardadas en la configuración de la aplicación se copian, se comparten y se filtran. La identidad de nube (un rol de instancia o de carga de trabajo autorizado a invocar el modelo) elimina la clave por completo.
Dónde vive el resto de los datos. El modelo es un encargado más. Tus documentos, embeddings, historial de conversaciones y registros de auditoría también se guardan en algún lugar, y esos almacenes necesitan la misma residencia, cifrado y control de acceso que el tráfico hacia el modelo.
El RGPD rige cualquier dato personal presente en prompts, documentos o salidas: base legal, limitación de la finalidad, minimización de datos, el contrato del artículo 28, las reglas de transferencia y los derechos de los interesados, que son difíciles de atender si un proveedor retuvo tus prompts.
La Ley de IA de la UE agrega obligaciones para los implementadores (deployers) de sistemas de IA, que entran en vigor por fases desde 2025. Incluso para sistemas que no son de alto riesgo, los implementadores tienen deberes de transparencia y de alfabetización en IA; para usos de alto riesgo (por ejemplo, en empleo, crédito o infraestructura crítica) deben usar el sistema según las instrucciones, garantizar supervisión humana, conservar registros e informar a las personas afectadas. Saber qué modelo procesó qué datos, con qué configuración, pasa a ser un requisito de registro, no algo deseable.
Las normas sectoriales se suman encima. En farma, las expectativas de GxP e integridad de datos (registros atribuibles, legibles, contemporáneos, originales y exactos) aplican a cualquier sistema que toque procesos regulados; un asistente que resume informes de desvíos necesita una pista de auditoría y límites validados. Los servicios financieros, la salud y la administración pública tienen cada uno sus equivalentes, y todos prefieren datos que nunca salgan del control de la organización.
El hilo común: los reguladores quieren saber a dónde fueron los datos, quién pudo verlos y si podés demostrarlo. Un chatbot de consumo no puede responder ninguna de las tres.
Quales Aura es una plataforma de conocimiento y agentes de IA diseñada para desplegarse dentro del perímetro del cliente. La versión enterprise responde a las preguntas anteriores por arquitectura, no con documentos de políticas.
Autoalojado o en tu VPC. Aura corre como un stack de Docker Compose en una máquina virtual que controlás, en una única instancia EC2 de AWS detrás de un balanceador de carga, o en Amazon EKS mediante Terraform y un chart de Helm, con una VPC privada, claves gestionadas con KMS, RDS PostgreSQL cifrado, Redis sobre TLS y un bucket de documentos en S3 cifrado con SSE-KMS y una política de bucket de denegación por defecto. Las decisiones de infraestructura de Quales usan por defecto regiones exclusivamente de la UE; los clientes enterprise que requieren un hiperescalador reciben un silo dedicado en su propia cuenta.
Modelos a través de tus endpoints contratados. Aura no impone un proveedor de modelos. Enruta las llamadas a modelos a través de una capa multiproveedor (LiteLLM), de modo que el mismo despliegue puede usar Amazon Bedrock en una región de la UE, un endpoint de Azure o de Google, o cualquier gateway para el que ya tengas un DPA. En AWS, el acceso a Bedrock se concede al rol de la instancia o de la carga de trabajo, así que no se guarda ninguna clave de API de modelo. Quales no entrena modelos: el producto no contiene ningún pipeline de entrenamiento, y la única parte que procesa tus prompts es el endpoint de modelo que elegiste, bajo las condiciones que firmaste con ese proveedor.
Aislamiento por workspace y alcance del conocimiento. Aura es multiinquilino por workspace; los documentos, agentes, conectores y memoria pertenecen a un workspace. Dentro de él, cada agente puede acotarse a documentos y carpetas específicos, de modo que un asistente de compras no puede recuperar archivos de RR. HH. aunque compartan la plataforma.
Roles y SSO a través de Quales AuthOne. La identidad y la autorización vienen del servicio de identidad de la suite: SSO vía OIDC (Google, Microsoft Entra ID) o cuentas locales, roles de organización y de workspace, y un catálogo de permisos por producto. En modo enforce, AuthOne es la autoridad y la plataforma falla cerrada: si el servicio de autorización no está disponible, el acceso se deniega en lugar de asumirse.
Aprobaciones y reglas de permisos. Las herramientas sensibles (enviar un correo, escribir en un sistema externo) pausan al agente hasta recibir aprobación humana; los administradores del workspace definen qué herramientas la requieren. La detección de bucles y los límites de llamadas evitan acciones descontroladas.
Ejecución en sandbox. La ejecución de código y la generación de documentos corren en sandboxes aislados (OpenSandbox autoalojado, Daytona o pods de Kubernetes) con controles de red que bloquean el acceso a servicios internos y a los endpoints de metadatos de la nube, así que el código de un agente no puede heredar las credenciales del host.
Trazabilidad. Las acciones de los agentes se registran, los cambios en la base de conocimiento se versionan con revisiones que pueden revertirse, y las llamadas a modelos y herramientas se trazan con OpenTelemetry hacia un backend de observabilidad que vos alojás, lo que te da el registro de "qué modelo vio qué datos" que piden los auditores de la Ley de IA y de GxP.
Tus datos, tu almacenamiento. Los documentos, embeddings, conversaciones y checkpoints viven en tu PostgreSQL y en tu almacenamiento de objetos, dentro de tu red. Eliminar un workspace elimina sus datos; no hay una copia oculta en un proveedor.
Hacer esto bien es un esfuerzo conjunto entre TI, legales y el negocio. Quales Group ayuda a las empresas a mapear sus flujos de datos de IA, elegir los endpoints y regiones de modelos que se corresponden con sus DPA, desplegar Quales Aura en su propia nube o centro de datos, configurar roles y alcances de conocimiento, y documentar la configuración para los auditores.
El objetivo no es frenar la adopción. Es darles a los empleados una herramienta tan cómoda como el chatbot que ya están usando, y que su equipo de cumplimiento pueda aprobar. Si podés responder a dónde fueron los datos, quién pudo verlos y si podés demostrarlo, estás en condiciones de escalar.
Quales Group·