Puntos clave
- En lo que respecta a la soberanía de los datos, la IA cambia el significado del concepto de «control». Abarca cómo se accede a los datos, cómo se procesan, transfieren, conservan y utilizan para entrenar modelos, y no solo dónde se almacenan.
- Cada interacción de la IA pasa por cinco puntos de control de soberanía, desde la entrada y la recuperación hasta la inferencia, la salida y la conservación.
- El autoalojamiento de la IA no es un requisito para la soberanía, y por sí solo no es suficiente. Las integraciones, el acceso de administrador y los registros siguen necesitando una gestión adecuada.
- Los contratos con los proveedores de IA deben abarcar el entrenamiento de los modelos, las ubicaciones de procesamiento, los subencargados del tratamiento, la conservación y la supresión.
- La flexibilidad de implementación y la libertad para elegir modelos de IA permiten a las empresas adaptarse a medida que cambian las normativas y los proveedores.
Introducción
La soberanía de los datos en la IA es la capacidad de una organización para mantener el control legal, operativo y técnico sobre sus datos en cada etapa en la que un sistema de IA interactúa con ellos.
La mayoría de la gente sigue planteando la soberanía en torno a una única pregunta: dónde se almacenan los datos. La computación en la nube ya ha complicado esa respuesta. La IA la complica aún más, al trasladar los datos entre sistemas internos, modelos de terceros y servicios en la nube, a menudo con escasa visibilidad. El mero hecho de almacenar los datos en una región autorizada no sirve de nada si un servicio de IA los procesa o los conserva en otro lugar, ya que la ubicación física por sí sola nunca ha garantizado el control.
A medida que la IA cobra cada vez más importancia en el funcionamiento de las empresas, la buena noticia es que su adopción y el control no tienen por qué ser mutuamente excluyentes. La respuesta pasa por la gobernanza en cada punto en el que los datos entran en contacto con la IA, respaldada por una tecnología que te ofrezca opciones.
¿Qué es la soberanía de los datos en la IA?
La soberanía de los datos en la IA lleva los principios de soberanía de los datos más allá del lugar donde se almacenan y los aplica a la forma en que la inteligencia artificial los utiliza. Hay dos actividades que cobran especial relevancia:
- El entrenamiento y el ajuste fino. Los datos se utilizan para crear o mejorar un modelo, y pueden permanecer dentro de ese modelo mucho tiempo después de que se haya eliminado el archivo de origen.
- Inferencia. Un modelo existente procesa las entradas y el contexto recuperado para generar una respuesta o realizar una acción.
Incluso las empresas que nunca entrenan un modelo necesitan visibilidad sobre ambos procesos, ya que algunos servicios de IA pueden utilizar los datos enviados para el entrenamiento, a menos que los contratos y la configuración lo excluyan.
También oirás hablar de «IA soberana» a nivel nacional, donde los gobiernos de todo el mundo persiguen la autonomía estratégica y la seguridad nacional manteniendo la capacidad de cálculo, los modelos base y los datos dentro de las fronteras nacionales y en consonancia con los valores de cada país. Para las empresas, la soberanía en materia de IA es más práctica. Significa que es tu organización, y no tus proveedores, la que decide cómo se utilizan sus datos.
¿Por qué la IA dificulta el mantenimiento de la soberanía de los datos?
La IA añade nuevas ubicaciones de procesamiento, nuevos proveedores y nuevas copias de datos a cada solicitud. Gartner
prevé que, para 2027, más del 40 % de las filtraciones de datos relacionadas con la IA se deberán a un uso transfronterizo inadecuado de la IA generativa.
La mayor parte de ese riesgo proviene de tres cambios en la forma en que la IA gestiona los datos empresariales.
Los datos en uso pueden cruzar fronteras
Las cargas de trabajo de IA no siempre se ejecutan donde se almacenan los datos. Un portal alojado en Fráncfort podría llamar a un punto final de modelo en otra región. Los datos en reposo cumplen con la normativa, pero los datos en uso quizá no, y cada cruce debe cumplir con la normativa local de ambas partes.
Los proveedores externos aportan sus propias normas
Dependiendo de sus condiciones, los proveedores pueden conservar las entradas de usuario, utilizarlas para el entrenamiento o recurrir a subencargados del tratamiento que nunca has evaluado. Su sede legal también es importante. La ley estadounidense CLOUD Act puede permitir el acceso desde el extranjero independientemente de dónde se encuentren los servidores, lo cual es una de las razones por las que las opciones de nube soberana han ganado terreno en el sector público.
El bloqueo de modelos encarece los cambios
El bloqueo de modelos convierte un cambio normativo en un proyecto de cambio de plataforma. Una arquitectura que te permita cambiar de modelo a medida que evolucionan los requisitos mantiene esa decisión en tus manos.
¿En qué puntos puede fallar la soberanía de los datos en una interacción con la IA? Los cinco puntos de control
Cada solicitud de IA, ya provenga de un empleado que utilice herramientas de IA o de un agente que ejecute un flujo de trabajo, pasa por cinco puntos de control. Cada uno de ellos plantea su propia cuestión de soberanía.
| Punto de control | ¿Qué ocurre con los datos? | Pregunta sobre soberanía | Control que da respuesta |
| 1. Entrada | Las indicaciones, los archivos y el contexto del usuario se introducen en el sistema de IA | ¿Qué datos pueden enviar los usuarios y a qué modelos? | Clasificación, niveles de datos aptos para la IA, minimización de datos |
| 2. Recuperación | La IA extrae el contexto de los sistemas CMS, CRM, ERP y de almacenamiento de documentos | ¿Puede la IA acceder a datos a los que el usuario solicitante no tiene acceso? | Recuperación basada en permisos |
| 3. Inferencia | El modelo procesa los datos | ¿Dónde se lleva a cabo el procesamiento, bajo qué legislación y a cargo de qué proveedor? | Elección del modelo, compromisos regionales, modelos privados o autohospedados para datos regulados |
| 4. Resultado y acción | Se generan respuestas, o un agente las reenvía a los sistemas | ¿Quién revisa los resultados antes de que lleguen a los clientes o se registren? | Revisión con intervención humana, registros de auditoría |
| 5. Retención, reutilización y entrenamiento | Los registros, las cachés, las representaciones y los conjuntos de ajuste fino persisten | ¿Se conserva o utiliza algo para entrenar modelos, y puede eliminarse? | Condiciones de «sin entrenamiento», límites de conservación, derechos de eliminación y exportación |
Si tu organización realiza el ajuste fino o el entrenamiento de sus propios modelos, trata los datos de entrenamiento como una copia persistente con sus propias normas de clasificación, acceso y eliminación.
Un control riguroso en cuatro puntos de control no compensa una laguna en el quinto.
¿Mantener la soberanía de los datos implica crear tu propia pila de IA?
No. Ser propietario de toda la pila de IA no es ni necesario ni suficiente.
Aunque asumir el control total desde la capa física tiene sentido para algunas cargas de trabajo gubernamentales y de infraestructuras críticas, para la mayoría de las empresas resulta complejo, inmoviliza recursos informáticos y de ingeniería, y aísla a los equipos de las rápidas mejoras en los modelos base. Un enfoque más práctico consiste en adaptar la infraestructura de IA a la sensibilidad de los datos, reservando los modelos autohospedados o privados para datos regulados, como los historiales sanitarios, y utilizando modelos gestionados por terceros para casos de uso de menor riesgo.
Un modelo privado puede seguir exponiendo datos sensibles a través de integraciones, acceso administrativo, fuentes de recuperación y registros conservados.
Así es como funciona la transformación sin tener que empezar de cero. Se obtiene un mayor control donde más importa, al tiempo que se saca el máximo partido a los sistemas con los que ya se cuenta.
¿Cómo pueden las empresas mantener la soberanía de los datos al utilizar la IA?
Estos seis pasos incorporan la gobernanza de la IA a tus iniciativas de IA, lo que les permite escalar sin perder el control.
1. Identifica y clasifica los datos que utiliza la IA
Amplía tus prácticas actuales de gestión de datos a la IA. Analiza cada caso de uso de la IA en función de los cinco puntos de control, clasifica los datos regulados y sensibles, y define qué modelos pueden gestionar cada categoría. Aplica la minimización de datos para que cada tarea reciba solo los datos que necesita.
2. Adapta los modelos y la implementación a la sensibilidad de los datos
Evalúa las opciones en la nube, privadas, híbridas y autohospedadas en función de dónde se almacenen y procesen los datos, quién gestione la infraestructura y quién pueda acceder a los datos. Mantén la libertad de cambiar de proveedor más adelante, para que un cambio normativo no te obligue a reconstruir todo el sistema.
3. Aplica tus políticas de acceso y uso existentes a la IA
Las integraciones de IA deben heredar las reglas de identidad y autorización de tu empresa, y solo los modelos y servicios aprobados deben tener acceso a los datos sensibles. En el caso de los agentes, una buena gobernanza de los agentes de IA comienza por saber quién ha concedido a cada uno acceso a qué datos.
4. Incluye la soberanía en los contratos con los proveedores
Busca cláusulas claras sobre la propiedad de los datos, las ubicaciones de tratamiento, el entrenamiento de los modelos, la conservación y la supresión, así como notificaciones de cambio de subencargados del tratamiento, acceso administrativo y mecanismos de transferencia transfronteriza. Exige documentación que demuestre el control durante las revisiones de seguridad y cumplimiento.
5. Realiza pruebas piloto con datos sintéticos
No pruebes versiones preliminares ni de prueba de herramientas de IA con datos reales de clientes. Utiliza datos sintéticos o anonimizados hasta que la herramienta haya superado las revisiones de seguridad y legales, y confirma por escrito si cualquier información enviada durante la prueba se conserva o se utiliza para el entrenamiento.
6. Asigna la titularidad y reevalúa continuamente
Mantén registros de las interacciones de la IA y del acceso a los datos, con supervisión humana de los resultados. Los marcos normativos lo exigen cada vez más, y la Ley de IA de la UE exige que los sistemas de IA de alto riesgo permitan el registro automático de eventos a lo largo de su ciclo de vida. Reparte la responsabilidad entre los equipos de TI, jurídico, de seguridad y de gobernanza de datos, y reevalúa la situación cada vez que se amplíen los casos de uso o los proveedores añadan nuevas capacidades. La soberanía es un requisito operativo continuo, no un ejercicio puntual.
¿Qué debes preguntar a una plataforma o a un proveedor de IA antes de adoptarla?
Plantea estas preguntas en cualquier evaluación de un proveedor de IA, tanto si estás analizando un proveedor de modelos, una plataforma o una función de IA integrada en un software que ya utilizas. Las respuestas revelarán cuánto control mantendrás realmente tras la puesta en marcha, y las respuestas sólidas irán acompañadas de documentación verificable, en lugar de simples garantías verbales.
| Pregunta | Cómo es una buena respuesta |
| ¿Dónde se procesan y almacenan las solicitudes, los datos recuperados, los resultados y los registros? ¿Se puede asignar el procesamiento a una región concreta? | Regiones específicas para cada etapa, respaldadas por contrato |
| ¿Se utilizan nuestros datos para el entrenamiento? | No, por defecto; solo con consentimiento expreso, y estipulado en el acuerdo |
| ¿Respeta la IA nuestros permisos de usuario existentes? | La IA solo tiene acceso a los datos que el usuario solicitante está autorizado a ver |
| ¿Qué garantiza el proveedor y qué sigue siendo responsabilidad nuestra? | Un modelo de responsabilidad compartida por escrito. |
| ¿Qué pruebas pueden aportar? | Certificaciones actuales, derechos de auditoría y notificación previa de nuevos subencargados del tratamiento |
| ¿Podemos cambiar de modelo o de proveedor de alojamiento más adelante, y exportar o eliminar nuestros datos? | Elección del modelo, múltiples opciones de implementación y procedimientos documentados de exportación y eliminación |
Evalúa la arquitectura completa de IA, incluidas las integraciones y los servicios de terceros, no un producto de IA de forma aislada. Eso es lo que distingue a las soluciones de IA preparadas para empresas de las demostraciones que parecen seguras.
¿Cómo ayuda Liferay DXP a las empresas a mantener el control sobre los datos utilizados por la IA?
Liferay DXP ofrece a tu equipo opciones en los puntos clave donde se decide la soberanía, incluyendo dónde se ejecuta la plataforma, a qué modelos de IA se conecta y a qué información tienen acceso dichos modelos.
- Opciones de implementación. Las opciones de implementación de Liferay, que incluyen SaaS, PaaS y autohospedado, se ejecutan todas en la misma plataforma, y Liferay DXP también puede ejecutarse en una infraestructura gestionada por el cliente o con proveedores de nube regionales y soberanos. Con la opción de autoalojamiento, Liferay DXP no procesa datos personales en tu nombre, y en las ofertas en la nube, tú eliges la región de alojamiento.
- Elección del modelo. Bajo el enfoque «Bring Your Own AI» (trae tu propia IA), conectas tus propios modelos o los de terceros a través de las API compatibles y sigues siendo responsable de dicha integración y de los términos del modelo.
- Sin entrenamiento con tus datos. Liferay DXP no utiliza los datos proporcionados por el cliente para entrenar modelos de IA, ni permite que terceros lo hagan, sin tu permiso.
- Agentes que heredan permisos. Liferay AI Hub ejecuta agentes en nombre de los usuarios autenticados de Liferay DXP, por lo que solo ven lo que esos usuarios pueden ver.
- Gobernanza certificada. El sistema de gestión de IA de Liferay cuenta con la certificación ISO/IEC 42001, se ajusta a marcos normativos como la Ley de IA de la UE y se rige por normas éticas como la equidad, la transparencia y la supervisión humana. Los clientes de la nube reciben un aviso previo sobre los nuevos subencargados del tratamiento y pueden oponerse.
Las capacidades de la plataforma respaldan la gobernanza, pero no sustituyen a tu propia evaluación de los modelos, los servicios externos y las configuraciones que elijas. Liferay DXP y sus socios colaboran directamente con tus equipos técnicos y jurídicos en la toma de esas decisiones.
¿Cómo puedes desarrollar una estrategia de IA que mantenga tus datos bajo control?
La ampliación de la IA y el mantenimiento de la soberanía de los datos van de la mano cuando se controlan los flujos de datos en lugar de intentar controlar toda la pila. Para ello se necesita visibilidad sobre los flujos de datos de la IA, medidas de protección en cada punto de control y la flexibilidad necesaria para cambiar los modelos y las implementaciones a medida que cambian las normas. Si se gestionan correctamente, la soberanía se convierte en una fuente de confianza para los clientes en lugar de un freno a la innovación.
Descubre cómo Liferay AI Hub y Liferay DXP conectan la IA con tus sistemas existentes,
al tiempo que mantienes el control sobre los datos confidenciales.
Preguntas frecuentes
¿Pueden las empresas mantener la soberanía de los datos cuando utilizan IA basada en la nube?
Sí. La IA basada en la nube puede cumplir los requisitos de soberanía cuando se tiene control operativo sobre dónde se procesan los datos, dónde se almacenan, quién puede acceder a ellos y cuánto tiempo se conservan. Los compromisos que se pueden verificar y hacer cumplir son más importantes que la nube que se utilice.
¿Quién es responsable del cumplimiento normativo cuando se conecta un modelo de terceros a través de una plataforma?
La responsabilidad es compartida. La plataforma se encarga de la seguridad de su propia capa, mientras que tu organización gestiona la elección del modelo, la integración y las condiciones del proveedor del modelo. Una plataforma que documente claramente esta división facilita la gestión del riesgo.
¿Cómo se relaciona la soberanía de los datos en la IA con el RGPD y la Ley de IA de la UE?
El tratamiento mediante IA se rige por la normativa vigente en materia de protección de datos, incluidas las restricciones del RGPD sobre las transferencias internacionales. La Ley de IA de la UE añade obligaciones de gobernanza para los sistemas de alto riesgo, como el registro de actividades y la supervisión humana. Los requisitos varían considerablemente de un país a otro, por lo que resulta útil comprender en qué se diferencia el cumplimiento de la soberanía de los datos según la región.
