Inteligencia ArtificialÁrea Comercial28 Sep 202613 min de lectura

Seguridad y privacidad de datos al usar Inteligencia Artificial en empresas bajo la Ley N° 29733 en Perú

Guía para cumplir la Ley N° 29733 de Protección de Datos al usar IA en empresas de Perú. Evita multas de hasta 100 UIT con arquitectura segura de software.

El riesgo silencioso de la adopción desordenada de la IA

La rapidez con la que los colaboradores de diversas empresas peruanas comenzaron a utilizar herramientas de inteligencia artificial en su día a día ha generado una paradoja alarmante: por un lado, ha elevado la velocidad de trabajo en redacción, análisis y programación; por el otro, ha abierto una brecha gigantesca de vulnerabilidad y fuga de información confidencial.

En incontables oficinas de Lima, trabajadores bienintencionados copian y pegan contratos legales con datos de clientes, planillas de sueldos con números de DNI y cuentas bancarias, historiales médicos de pacientes o bases de datos comerciales en plataformas públicas de IA para solicitar resúmenes o análisis gráficos.

Lo que muchos empresarios y directores desconocen es que, al realizar esta acción sin contratos empresariales específicos, están violando de manera flagrante la Ley N° 29733 (Ley de Protección de Datos Personales del Perú) y su reglamento, exponiendo a la compañía a sanciones y multas económicas de hasta 100 Unidades Impositivas Tributarias (UIT) aplicadas por la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia.

¿Qué exige la Ley N° 29733 en relación con la tecnología moderna?

La normativa peruana de protección de datos se rige por principios claros que aplican directamente a cualquier sistema o algoritmo de inteligencia artificial:

Principio de Consentimiento Informado: No se pueden tratar ni transferir datos personales de ciudadanos peruanos (nombre, teléfono, correo, DNI, dirección, historial de compras) sin que el usuario haya dado su autorización expresa, previa, inequívoca e informada.

Principio de Finalidad Específica: Los datos recopilados solo pueden ser utilizados para el fin exacto que se le comunicó al cliente (por ejemplo, coordinar el despacho de su compra). Alimentar un modelo de inteligencia artificial para otros fines sin consentimiento expreso es ilegal.

Principio de Seguridad y Confidencialidad: El responsable del banco de datos debe adoptar medidas técnicas, organizativas y legales para evitar la adulteración, pérdida, consulta o tratamiento no autorizado de la información.

Regulación de la Transferencia Transfronteriza: Cuando utilizas servicios Cloud cuyos servidores están radicados en Estados Unidos o Europa (como la mayoría de modelos de IA), estás realizando una transferencia internacional de datos personales, la cual debe estar inscrita formalmente ante el Registro Nacional de Bancos de Datos Personales.

Los tres errores más comunes que cometen las empresas en Lima

1. Uso de cuentas gratuitas o personales de herramientas de IA: Las versiones gratuitas de la mayoría de servicios de IA especifican en sus términos de servicio que pueden utilizar las conversaciones y datos ingresados por el usuario para reentrenar sus futuros modelos. Esto significa que la fórmula química de tu producto, la lista de precios privada de tu distribuidor o el DNI de tu cliente podrían aparecer en las respuestas que el modelo entregue a otros usuarios.

2. Subir información sensible sin procesos de anonimización: Enviar documentos completos a un asistente inteligente sin haber eliminado previamente los identificadores personales directos e indirectos.

3. Falta de cláusulas contractuales con proveedores de software: Contratar a agencias o desarrolladores freelance que integran APIs de IA sin contratos de confidencialidad (NDA) ni acuerdos de procesamiento de datos (DPA - Data Processing Agreement).

Cómo estructurar una arquitectura de IA que cumpla al 100% con la ley peruana

En Conexión Digital MM diseñamos plataformas web y aplicaciones móviles que integran inteligencia artificial bajo el principio de "Seguridad y Privacidad por Diseño" (Privacy by Design):

Capa de Sanitización Automática (Data Masking): Antes de que una consulta viaje a cualquier modelo de lenguaje, un microservicio interno analiza el texto mediante expresiones regulares y modelos de reconocimiento de entidades nombradas (NER), reemplazando automáticamente DNIs por códigos ficticios, nombres por identificadores anónimos y teléfonos por máscaras de seguridad.

Cuentas Empresariales con Cláusula de Cero Retención (Zero Data Retention): Configuramos las conexiones con proveedores oficiales bajo licencias empresariales que garantizan por contrato que los datos del cliente nunca se almacenan en disco ni se utilizan para entrenar modelos públicos.

Despliegue de Modelos en Nubes Privadas o Servidores Propios: Para empresas del sector salud, legal o financiero que manejan datos altamente sensibles, implementamos modelos de código abierto optimizados que corren 100% dentro de la infraestructura privada de la empresa en Cloudflare o servidores dedicados en Perú, sin que ningún byte de información salga a internet público.

Bitácora Inmutable de Auditoría: Registro pormenorizado de qué colaborador o sistema realizó cada consulta a la IA, qué datos procesó y en qué fecha exacta, permitiendo demostrar debida diligencia ante cualquier fiscalización de la autoridad.

Protocolo interno recomendado para tu empresa

Si deseas proteger a tu organización de multas y contingencias reputacionales, te sugerimos aplicar de inmediato este protocolo en 4 pasos:

1. Redacta y difunde una Política Corporativa de Uso de IA: Establece con claridad qué datos está terminantemente prohibido ingresar en herramientas públicas de internet.

2. Centraliza los accesos a través de herramientas corporativas oficiales: Cancela el uso de cuentas informales y proporciona a tus colaboradores interfaces internas con filtros de seguridad incorporados.

3. Inscribe tus Bancos de Datos Personales ante el Minjus: Asegúrate de que los bancos de datos de clientes, trabajadores y proveedores estén debidamente inscritos y actualizados en el registro oficial de la ANPDP.

4. Actualiza los Términos y Condiciones de tu portal web: Informa de manera transparente a tus clientes si utilizas algoritmos para la atención en línea o personalización de servicios.

Conclusión

La inteligencia artificial es la palanca más potente de productividad de nuestra era, pero debe manejarse con rigor técnico y responsabilidad legal. Proteger la privacidad de tus clientes no es un obstáculo para la innovación; es el mayor activo de confianza y reputación que una empresa puede construir en el mercado peruano. En Conexión Digital MM te ayudamos a implementar soluciones inteligentes que cumplen estrictamente con la normativa nacional.

Área Comercial

Consultoría de Negocios & Protección de Datos Personales · Conexión Digital MM