¿Qué datos está entregando su empresa a la inteligencia artificial?

En los últimos meses he sostenido varias conversaciones con directores de tecnología, gerentes de operaciones y hasta colegas abogados que describen con entusiasmo cómo su organización ha evolucionado usando IA para redactar correos, analizar contratos, depurar bases de clientes o automatizar atención al usuario. Cuando pregunto qué información específica se está cargando en esas herramientas, las respuestas no son del todo precisas. Se sabe que la herramienta funciona. No se sabe, con precisión, qué datos personales entraron en ella, dónde quedaron almacenados, ni bajo qué condiciones un tercero -el proveedor de la plataforma de IA- puede reutilizarlos. Tampoco la empresa tiene una política o lineamiento interno para sus colaboradores respecto a los límites del uso de la inteligencia artificial como herramienta de trabajo. Entonces, de cara al nuevo Código Penal que introduce la responsabilidad penal de las empresas y tipifica nuevos delitos como el tratamiento inadecuado de datos personales, ¿cuál debe ser la postura de las empresas dominicanas frente a estos riesgos?

Esa brecha entre adopción y comprensión es, a mi juicio, el riesgo de cumplimiento más subestimado del momento en República Dominicana. No porque las empresas actúen de mala fe, sino porque la velocidad con la que se están integrando estas herramientas ha superado con creces la velocidad con la que se están actualizando las políticas internas de protección de datos. Un empleado de servicio al cliente copia una conversación con un huésped o un paciente en un chatbot de IA generativa para redactar una respuesta más pulida. Un analista de recursos humanos sube currículos completos a una herramienta de resumen automático. Un equipo de mercadeo entrena un modelo de segmentación con la base histórica de clientes, sin que nadie se detenga a preguntar si esos titulares dieron su consentimiento para ese uso específico, o si el modelo terminará infiriendo categorías sensibles -salud, situación económica, orientación- que nunca fueron recolectadas de forma directa.

La actual normativa de protección de datos no distingue entre el uso "tradicional" de una base de datos y su uso para entrenar o alimentar un sistema de inteligencia artificial. El principio de finalidad sigue aplicando con la misma fuerza, pues los datos solo pueden tratarse para el propósito que motivó su recolección, y ese propósito rara vez incluye, de forma expresa, "servir de insumo a un modelo de terceros". Lo mismo ocurre con el principio de calidad y el de seguridad. Si una empresa no sabe qué datos está entregando a una herramienta de IA, tampoco puede demostrar que cumplió con la obligación de resguardarlos, ni identificar a quién notificar en caso de un incidente. No se puede proteger lo que no se ha inventariado.

Aquí conviene ser preciso sobre un matiz que he desarrollado en artículos anteriores; buena parte de la inteligencia artificial que hoy consumen las empresas no analiza el historial individual de una persona, sino patrones agregados extraídos de poblaciones enormes de usuarios. Esa distinción importa jurídicamente, porque no toda interacción con IA equivale a un tratamiento de datos personales en sentido estricto. Pero esa misma distinción es la que muchas organizaciones invocan, sin haberla verificado, para asumir que están a salvo. El problema no es la tecnología en abstracto; es la ausencia de un ejercicio interno que determine, herramienta por herramienta, si lo que se está entregando son datos agregados y anonimizados, o expedientes completos con nombre, cédula, historial médico o ubicación.

Hay además una capa adicional que las empresas dominicanas tienden a pasar por alto. La mayoría de las herramientas de IA generativa que se usan a diario operan bajo contratos de proveedores extranjeros, con servidores fuera del territorio nacional y políticas de retención que rara vez se leen antes de aceptar los términos de servicio. Eso convierte cada carga de información en una transferencia internacional de datos, con las obligaciones de diligencia que ello implica. La pregunta que todo consejo de administración debería hacerse no es si la empresa "puede" usar inteligencia artificial -evidentemente puede y probablemente debe, para mantenerse competitiva- sino si existe dentro de la organización un inventario actualizado de qué herramientas de IA se usan, qué tipo de datos alimentan cada una, y quién autorizó ese flujo.

Vale la pena mirarse en el espejo de lo que ya está ocurriendo en Europa, no como modelo a copiar mecánicamente, sino como referencia de hacia dónde se dirige la conversación regulatoria global. El artículo 50 del Reglamento Europeo de Inteligencia Artificial entra en aplicación a partir del 2 de agosto de 2026 con un conjunto de obligaciones de transparencia que parten de una premisa muy simple: toda persona tiene derecho a saber cuándo está interactuando con un sistema de IA, cuándo un contenido fue generado o alterado artificialmente, y cuándo un sistema la está sometiendo a reconocimiento de emociones o categorización biométrica. Estas obligaciones no se limitan a los sistemas de "alto riesgo"; alcanzan a cualquier chatbot, asistente virtual o herramienta generativa que interactúe con personas, y aplican tanto a quienes desarrollan la tecnología como a quienes simplemente la despliegan dentro de su operación diaria. El incumplimiento puede acarrear multas de hasta 15 millones de euros o el 3% de la facturación global de la empresa infractora.

Lo interesante del enfoque europeo, para efectos de esta reflexión, no es tanto la cifra de la multa sino la lógica de fondo, toda vez que la transparencia hacia el titular del dato se construye sobre una transparencia previa hacia el interior de la organización. Una empresa no puede informarle a un cliente que está conversando con IA, ni etiquetar un contenido como generado artificialmente, si primero no sabe con precisión qué sistemas de IA usa, para qué los usa y qué información circula por ellos. El artículo 50 antes indicado, en otras palabras, presupone exactamente el inventario interno que muchas empresas dominicanas todavía no tienen. República Dominicana no cuenta hoy con un régimen equivalente y específico para la IA, pero la Ley 172-13 ya exige (con sus limitaciones prácticas y de exigibilidad), por la vía de sus principios generales, un nivel de conocimiento y control sobre el dato que debería llevar a una empresa seria a las mismas preguntas que hoy se hace un regulador europeo: ¿sabe esta organización, sistema por sistema, qué está entregando y a quién? Evidentemente, las regulaciones más exigentes y expresas vendrán; anticiparse es sin duda una ventaja competitiva.

La solución no pasa por prohibir el uso de estas herramientas, ni por sumar una capa burocrática que frene la innovación. Pasa por algo más sencillo y, a la vez, más exigente: una política de uso de inteligencia artificial que clasifique la información según su sensibilidad, que defina qué puede subirse a herramientas externas y qué debe permanecer dentro de sistemas controlados por la empresa, y que capacite al personal para reconocer la diferencia entre redactar con ayuda de IA y entregarle, sin darse cuenta, el expediente completo de un cliente. Ese ejercicio no es exclusivamente técnico; es, ante todo, un ejercicio de gobernanza corporativa, gestión de riesgos y, cada vez más, de responsabilidad penal para la propia entidad. La entrada en vigor del nuevo Código Penal dominicano introduce un cambio particularmente relevante para las empresas, pues determinados comportamientos relacionados con el tratamiento indebido de datos personales pueden trascender el ámbito administrativo o civil y constituir infracciones penales, con consecuencias que pueden alcanzar a la propia persona jurídica con la nueva responsabilidad penal de las empresas.

Ninguna empresa debería tener que elegir entre innovar y cumplir. Pero sí debería poder responder, sin dudar, la pregunta que da título a este artículo.