Qué exige la Ley 29733 cuando su empresa usa inteligencia artificial

Una empresa puede utilizar inteligencia artificial para clasificar solicitudes, preparar borradores o consultar documentos internos. Antes de incorporar estas funciones, conviene resolver una pregunta: ¿qué información sobre personas circulará por la solución y quién podrá utilizarla?

Imagine que su área comercial carga una hoja de cálculo con nombres, celulares e historial de compras para preparar una campaña. La tarea parece sencilla, pero implica decidir qué datos se entregan a un proveedor, con qué finalidad y bajo qué condiciones. Revisar ese recorrido desde el inicio permite diseñar una herramienta útil y gestionar sus riesgos.

Qué es la Ley 29733 de protección de datos personales

La Ley 29733 protege los datos personales y establece obligaciones para su tratamiento. No se limita a información especialmente delicada: nombres, teléfonos, correos y otros elementos que permiten identificar a una persona también requieren atención. Su aplicación se desarrolla en el Reglamento aprobado por el Decreto Supremo 016-2024-JUS.

Para organizar un proyecto, distinga entre la empresa que decide para qué se utilizará la información y el proveedor que la procesa siguiendo sus instrucciones. Contratar una herramienta no sustituye las decisiones que usted debe tomar sobre su uso.

Por ejemplo, si una distribuidora de Lima implementa un asistente para responder consultas sobre pedidos, debería definir qué información puede consultar el personal de ventas. No necesita habilitarle el acceso a documentos de recursos humanos ni a toda la contabilidad para resolver esa función.

Cómo aplica cuando se usan herramientas de inteligencia artificial

El análisis empieza por el recorrido de los datos: desde su recopilación hasta las respuestas, registros y copias que genera la solución. Revise tanto los archivos cargados como las instrucciones escritas por los usuarios y las conexiones con otros sistemas.

Considere estos ejemplos ilustrativos:

• Atención comercial: un asistente consulta el estado de un pedido. Diseñe la identificación del solicitante y limite la respuesta para evitar que revele compras o datos de contacto de otra persona.
• Revisión documental: un estudio de abogados solicita un borrador a partir de un contrato. Antes de procesarlo, identifique los datos de las partes, anexos y antecedentes que resultan necesarios para esa tarea.
• Gestión interna: una empresa resume entrevistas con postulantes. Revise qué información se recoge, quién accede al resumen y cómo se utiliza en la evaluación.

En procesos especializados, la configuración debe responder al trabajo real. Una solución de inteligencia artificial para estudios de abogados puede organizar las consultas por expediente y perfil de acceso, con revisión profesional de los resultados antes de incorporarlos a una actuación o entregarlos al cliente.

Retirar nombres no siempre evita la identificación. Una dirección, un número de expediente o detalles del caso pueden revelar de quién se trata. Por eso, pruebe primero con documentos ficticios y revise el contenido completo antes de usar información real.

Consentimiento y tratamiento de datos con proveedores de IA

No existe una respuesta única para todos los usos. El consentimiento es la regla general, con las excepciones previstas en la Ley 29733. Cuando corresponda solicitarlo, debe ser previo, libre, informado, expreso e inequívoco. Publicar una política de privacidad no reemplaza esa autorización. Así lo desarrollan los artículos 1 al 7 del Reglamento.

Antes de incorporar una función de IA, determine si la finalidad está cubierta por el tratamiento autorizado. Utilizar datos para atender una solicitud no justifica automáticamente reutilizarlos para entrenar una herramienta o enviar promociones.

La información comunicada a las personas debe reflejar el tratamiento real: sus finalidades, destinatarios cuando corresponda, transferencias, periodo de conservación y mecanismos para ejercer derechos, entre otros aspectos previstos en el artículo 6 del Reglamento.

Al evaluar proveedores, solicite respuestas concretas sobre estas condiciones:

• Uso de la información: si las entradas y respuestas se utilizan para mejorar modelos, y qué opciones contractuales o de configuración existen.
• Almacenamiento y eliminación: qué se conserva, durante cuánto tiempo y cómo puede recuperarse o suprimirse.
• Acceso y terceros: qué personal y subcontratistas pueden intervenir, y bajo qué condiciones.
• Ubicación del tratamiento: dónde se procesa la información y qué transferencias deben evaluarse.

El tratamiento en el extranjero requiere revisar las reglas sobre transferencias internacionales y las garantías aplicables; no está prohibido de manera general. Estas condiciones se desarrollan en los artículos 18 al 21 del Reglamento.

Buenas prácticas para cumplir la ley al implementar IA

Convierta los requisitos identificados en decisiones de diseño y procedimientos que su personal pueda aplicar. Puede organizar el trabajo de la siguiente manera:

1. Delimite una tarea y sus datos. Describa qué debe resolver la herramienta, de dónde obtiene la información y qué documentos quedan fuera. Para clasificar consultas comerciales, quizá baste con el motivo del contacto, sin incorporar documentos de identidad ni historiales completos.

2. Defina permisos antes de conectar sistemas. Establezca quién puede consultar, modificar y exportar información. Pruebe los accesos con distintos perfiles: un usuario autorizado para revisar sus clientes no debería recuperar documentos de otras áreas mediante una pregunta al asistente.

3. Documente la conservación y la eliminación. Incluya archivos originales, conversaciones y registros técnicos. Si la solución crea un índice para buscar documentos, contemple su actualización cuando se retire información. Defina también cómo tramitar solicitudes de las personas y coordinarlas con los proveedores involucrados.

4. Prepare a quienes utilizarán la herramienta. Indique qué datos pueden ingresar, qué usos requieren revisión y a quién reportar una exposición accidental. Una guía breve, acompañada de ejemplos del trabajo diario, ayuda a resolver dudas antes de compartir información.

5. Valide los resultados antes de ampliar el uso. Revise respuestas incorrectas, posibles filtraciones y casos que necesitan intervención humana. Asigne responsables para atender incidencias y evaluar las obligaciones que correspondan. Mantenga la revisión cuando cambien el proveedor, las conexiones o las finalidades.

Estas decisiones forman parte del alcance de un proyecto de inteligencia artificial para empresas. Incorporarlas desde el diagnóstico permite presupuestar integraciones, controles y mantenimiento junto con las funciones que necesita su operación. Su validación jurídica debe acompañar el diseño técnico.

Preguntas frecuentes

¿Puedo ingresar datos de clientes en una herramienta de inteligencia artificial?

Depende de la finalidad, la base que autoriza el tratamiento y las condiciones del proveedor. Antes de hacerlo, revise qué información necesita utilizar, qué se comunicó al cliente y cómo se protegerán sus datos. Una suscripción empresarial no resuelve por sí sola estas obligaciones.

¿Una solución de IA instalada en servidores propios garantiza el cumplimiento?

No. Puede facilitar el control sobre dónde se procesa la información, pero también necesita permisos adecuados, medidas de seguridad, criterios de conservación y procedimientos para atender los derechos de las personas. Revise además si algún componente envía datos a servicios externos.

¿Basta con retirar los nombres antes de enviar un documento a la IA?

No necesariamente. Un DNI, correo, número de expediente o combinación de detalles puede permitir identificar a una persona. Evalúe el documento completo y retire también los identificadores indirectos que no sean necesarios para la tarea.

Evalúe su próximo proyecto de IA con criterios claros

En Grinta podemos revisar el proceso que desea mejorar y proponer una solución con integraciones, permisos y controles acordes con su operación. Si su empresa está en Lima o en otra ciudad del Perú, conversemos sobre su proyecto y los requisitos técnicos que necesita resolver antes de implementarlo.