Un asistente de soporte que lee el historial de un cliente, un agente que procesa hojas de vida, un chatbot que atiende pacientes: todos tratan datos personales. En Ecuador, ese tratamiento está regulado por la Ley Orgánica de Protección de Datos Personales (LOPDP), vigente con sanciones desde mayo de 2023 y supervisada por la Superintendencia de Protección de Datos Personales. Usar inteligencia artificial no te exime de cumplirla; al contrario, introduce riesgos nuevos que la ley ya contempla.
Esta guía explica, sin lenguaje legal innecesario, qué exige la LOPDP cuando incorporas modelos de lenguaje a tus procesos, cuáles son los errores más frecuentes y cómo diseñar un sistema de IA que cumpla desde el inicio. No sustituye la asesoría de un abogado especializado, pero te permitirá llegar a esa conversación con las preguntas correctas.
Por qué la IA cambia el panorama de protección de datos
- Los datos viajan a terceros. Cada consulta a Claude, GPT o Gemini envía texto a servidores de un proveedor, normalmente fuera de Ecuador. Eso es una transferencia internacional de datos y un encargo de tratamiento.
- Los datos se concentran. Un sistema RAG reúne en un solo lugar documentos que antes vivían dispersos. Un acceso indebido expone todo a la vez.
- Aparecen decisiones automatizadas. Si un agente aprueba o rechaza una solicitud de crédito, un candidato o un reclamo, la ley otorga derechos específicos a la persona afectada.
- Los modelos pueden filtrar información. Un asistente mal diseñado puede revelar datos de un cliente a otro, o un empleado puede extraer información a la que no debería acceder.
Qué exige la LOPDP y cómo se traduce a un proyecto de IA
Base legal para el tratamiento
Todo tratamiento necesita una base legítima: consentimiento, ejecución de un contrato, obligación legal o interés legítimo, entre otras. Si vas a usar los datos de clientes para una finalidad nueva (por ejemplo, entrenar un modelo de recomendaciones o alimentar un asistente), debes verificar que esa finalidad esté cubierta por la base legal original o informar y, en su caso, recabar consentimiento. Usar datos "porque ya los tenemos" no es una base legal.
Información y transparencia
Las personas deben saber que sus datos se tratan con sistemas de IA, con qué finalidad, quiénes son los encargados (incluidos los proveedores de modelos) y si hay transferencias internacionales. Esto se refleja en tu política de privacidad y, en el caso de chatbots, en un aviso claro de que la persona está interactuando con un sistema automatizado.
Minimización
Solo debes tratar los datos necesarios para la finalidad. En la práctica: no envíes al modelo el expediente completo del cliente si la tarea solo requiere su pedido actual. Anonimiza o seudonimiza antes de enviar cuando sea posible. Es una obligación legal y además reduce costos por tokens y riesgo.
Encargados de tratamiento y transferencias internacionales
El proveedor del modelo actúa como encargado del tratamiento. Necesitas un contrato (los proveedores lo ofrecen como "Data Processing Agreement" o anexo de tratamiento de datos) que establezca que solo trata los datos según tus instrucciones, no los usa para sus fines, aplica medidas de seguridad y los elimina al terminar. Para la transferencia internacional, la LOPDP admite países con nivel adecuado de protección, cláusulas contractuales, o el consentimiento informado del titular. Documenta qué mecanismo usas.
Decisiones automatizadas
La ley reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a la persona, salvo excepciones. Si un agente de IA decide sobre créditos, contrataciones, seguros o reclamos, debes garantizar intervención humana significativa, informar a la persona y permitirle impugnar la decisión y obtener una explicación. Lo abordamos como principio de diseño en nuestra guía sobre agentes de IA: las acciones de alto impacto siempre con aprobación humana.
Seguridad y notificación de brechas
Debes aplicar medidas técnicas y organizativas adecuadas y notificar las vulneraciones de seguridad a la autoridad y, cuando corresponda, a los titulares. En un sistema de IA eso incluye cifrado, control de acceso por usuario en la recuperación de documentos, registro de consultas y protección contra inyección de prompts. Nuestra guía de seguridad en aplicaciones cubre la base.
Derechos de los titulares
Acceso, rectificación, eliminación, oposición y portabilidad. Si un cliente pide que elimines sus datos, debes poder borrarlos también de tu base vectorial, de los registros de conversaciones y de cualquier copia que use el sistema de IA. Diseña esa capacidad desde el inicio; añadirla después es costoso.
Evaluación de impacto
Para tratamientos de alto riesgo (datos sensibles como salud, perfiles, decisiones automatizadas, gran volumen) la LOPDP exige una evaluación de impacto previa. Un proyecto de IA que trate datos de salud o tome decisiones sobre personas casi siempre cae en esta categoría. La evaluación documenta riesgos, medidas y justificación, y es tu mejor defensa ante una inspección.
Delegado de protección de datos
Obligatorio para ciertas entidades y tratamientos de gran escala o de datos sensibles. Si implementas IA sobre datos de personas a escala, verifica si debes designarlo.
Errores frecuentes al usar IA con datos personales
- Usar cuentas de consumidor (el chat gratuito o personal) para procesar datos de clientes. Esas cuentas suelen permitir el uso de datos para entrenamiento y no ofrecen contrato de encargado. Usa siempre planes de API o empresariales.
- Enviar más datos de los necesarios al modelo por comodidad.
- No filtrar por permisos en RAG y confiar en que el modelo "no mencionará" lo que no debe. El filtrado va en la recuperación, no en el prompt.
- Guardar conversaciones indefinidamente sin política de retención ni mecanismo de eliminación.
- Omitir el aviso de que la persona habla con un sistema automatizado.
- Automatizar decisiones sobre personas sin revisión humana ni posibilidad de reclamo.
- No documentar la base legal, los encargados, las transferencias y las medidas de seguridad. Ante la autoridad, lo que no está documentado no existe.
Lista de verificación para un proyecto de IA conforme a la LOPDP
- Finalidad del tratamiento definida y base legal identificada.
- Inventario de qué datos personales entran al sistema y por qué cada uno es necesario.
- Anonimización o seudonimización antes de enviar al modelo cuando sea posible.
- Contrato de encargado de tratamiento firmado con cada proveedor de IA.
- Mecanismo de transferencia internacional documentado.
- Política de privacidad actualizada con el uso de IA y aviso en el chatbot.
- Control de acceso por usuario en la recuperación de documentos.
- Intervención humana en decisiones con efectos significativos sobre personas.
- Política de retención y capacidad de eliminar datos de todas las copias, incluida la base vectorial.
- Registro de consultas y acciones para auditoría.
- Protección contra inyección de prompts y pruebas de seguridad periódicas.
- Plan de respuesta y notificación de brechas.
- Evaluación de impacto si el tratamiento es de alto riesgo.
Cómo elegir el proveedor y la arquitectura
La decisión técnica tiene consecuencias legales directas. Las APIs empresariales de Anthropic, OpenAI y Google ofrecen contratos de tratamiento de datos, no entrenan con tus datos y permiten retención limitada o nula. Si necesitas que los datos no salgan de una región, las opciones son Amazon Bedrock, Google Vertex AI o Microsoft Azure con región seleccionada, o un modelo open source alojado en tu infraestructura. Comparamos las alternativas en cómo elegir un modelo LLM: Claude, GPT u open source.
Para la arquitectura, los principios son los mismos que en cualquier aplicación segura: el modelo recibe solo lo necesario, las decisiones de acceso las toma tu sistema y no el modelo, cada acción queda registrada y los datos tienen un ciclo de vida definido.
Preguntas frecuentes
¿Puedo usar ChatGPT o Claude con datos de mis clientes?
Sí, siempre que uses planes de API o empresariales con contrato de encargado de tratamiento, tengas base legal para la finalidad, informes a los titulares, minimices los datos enviados y documentes la transferencia internacional. Con cuentas gratuitas o personales, no.
¿Necesito consentimiento para usar IA en atención al cliente?
No necesariamente. Si la IA se usa para ejecutar el servicio que el cliente contrató, la base legal suele ser la ejecución del contrato. Sí debes informar de forma clara que el tratamiento incluye sistemas de IA y que la persona interactúa con uno. Para finalidades nuevas (perfilado, marketing) sí puede requerirse consentimiento.
¿Un chatbot de IA puede tomar decisiones sobre clientes?
Puede preparar o recomendar decisiones. Si la decisión tiene efectos jurídicos o significativos (otorgar crédito, rechazar un reclamo, contratar), la LOPDP exige intervención humana significativa, información al titular y derecho a impugnar.
¿Qué sanciones contempla la LOPDP?
Multas que, según la gravedad de la infracción, pueden llegar hasta el 1% de los ingresos del ejercicio anterior en infracciones graves, además de la obligación de corregir el tratamiento y el daño reputacional asociado.
¿Los modelos open source alojados en Ecuador resuelven el problema?
Eliminan la transferencia internacional y el encargado externo, lo cual simplifica el cumplimiento, pero el resto de obligaciones (base legal, minimización, seguridad, derechos, decisiones automatizadas) sigue aplicando igual.
Conclusión
La LOPDP no prohíbe usar inteligencia artificial con datos personales; exige hacerlo con finalidad clara, base legal, transparencia, minimización, contratos con los proveedores, seguridad y control humano en lo que afecta a las personas. Son también las prácticas que hacen que un sistema de IA sea confiable y sostenible. Incorporarlas desde el diseño cuesta una fracción de lo que cuesta corregirlas después, o de lo que cuesta una sanción.
¿Quieres implementar IA en tu empresa cumpliendo la LOPDP desde el día uno? En MisterProSoft diseñamos sistemas de IA con minimización de datos, control de acceso, trazabilidad y seguridad verificada. Agenda una consulta gratuita y conoce nuestros servicios de inteligencia artificial y ciberseguridad.
