El enfoque RGPD+ y la arquitectura BYOK

Lo que este artículo es, y lo que no es. Es una descripción de arquitectura y una lista de verificaciones técnicas. No es asesoramiento jurídico: su situación depende de sus datos, sus finalidades y sus clientes. Describimos lo que la técnica permite constatar; la calificación jurídica se hace con un profesional del derecho.

Introducción: la confianza no se declara, se constata

La mayoría de las páginas de «conformidad» de los editores dicen lo mismo: nos tomamos sus datos en serio, respetamos el reglamento, estamos comprometidos. Esas frases comparten un defecto — quien las lee no puede verificar ninguna.

Una arquitectura, en cambio, se constata. La pregunta útil no es «¿prometen portarse bien?» sino:

¿quién posee la cuenta con el proveedor de inteligencia artificial y, por tanto, quién controla los ajustes?

Esa pregunta tiene una respuesta binaria, y decide todo lo demás. Es el objeto de este artículo: qué cambia concretamente una clave API personal, qué no cambia, y los seis puntos que puede ir a verificar usted mismo en diez minutos.

1. El desplazamiento que cambia la naturaleza del problema

En un modelo donde el editor incluye la inteligencia artificial, él compra la capacidad al por mayor y se la revende. Los tratamientos pasan por su cuenta, bajo sus condiciones, en la región que él ha elegido. Usted hereda decisiones que no ha tomado y que, la mayoría de las veces, no puede leer.

Con una clave personal, la cuenta es suya. Cuatro consecuencias, todas constatables:

• la relación contractual con el proveedor de IA es directa: usted acepta lo que acepta, y puede presentarlo;
• la región de tratamiento es un ajuste de su consola, no una información que haya que pedir;
• el plazo de conservación es visible y a veces configurable, desde el mismo sitio;
• el parámetro de entrenamiento sobre sus contenidos se lee en pantalla, no se cree.

La palabra que cuenta aquí es «constatable». Un compromiso contractual vale lo que vale quien lo da; un ajuste que usted ve vale lo que muestra la pantalla. La diferencia aparece el día en que le piden una prueba — no antes.

El razonamiento económico paralelo está en soberanía y control de costes.

2. Lo que «RGPD+» significa aquí, en tres principios

El «+» no designa una conformidad superior — esa noción no existe. Designa tres decisiones de arquitectura tomadas más allá de lo exigido, porque reducen el riesgo en el origen.

Minimizar antes de asegurar. El dato mejor protegido es el que no se ha enviado. Antes de cifrar un flujo, la pregunta es: ¿este campo tiene que salir? Un tratamiento que solo necesita el texto de un producto no necesita el nombre del cliente.

Facilitar la salida. La portabilidad no es solo una obligación, es una prueba de diseño. Una arquitectura de la que no se puede salir con los propios datos es una arquitectura que le retiene — sean cuales sean sus condiciones anunciadas. Siendo la clave suya, el historial también.

No prometer nada que no se pueda mostrar. Es el principio más exigente para nosotros, y viene de un error real por nuestra parte: anunciamos públicamente una facilidad que nuestro pago no creaba. Lo retiramos de todas las páginas en vez de mantenerlo. Una promesa que no se puede derivar de un hecho es una promesa que se retira, no que se reformula.

3. Lo que la arquitectura NO hace — la sección que falta en todas partes

Tres límites. Omitirlos sería exactamente el defecto que el principio anterior prohíbe.

No le vuelve conforme. El control de los parámetros no rellena su registro de actividades de tratamiento, no redacta su evaluación de impacto, no escribe su información a los interesados y no define sus bases jurídicas. Son trabajos por derecho propio.

Solo cubre el flujo de IA. Sus formularios, su medición de audiencia, sus scripts de terceros, sus exportaciones a una herramienta de gestión siguen existiendo y no están afectados. Sobre el consentimiento, vea nuestro enfoque de las cookies.

No sobrevive a una mala práctica. Una clave compartida entre varios clientes, o depositada en un fichero de configuración versionado, anula lo esencial del beneficio. La soberanía es una propiedad del uso, no una propiedad del contrato.

4. Las seis verificaciones que puede hacer usted mismo

Ninguna exige creernos. Cuente diez minutos.

• Abrir la consola de su proveedor de IA y leer la región de tratamiento realmente aplicada
• Comprobar el parámetro de entrenamiento sobre sus contenidos, y hacer una captura fechada — la captura es la prueba, no el recuerdo
• Anotar el plazo de conservación de los registros de uso y compararlo con lo que anuncian sus propias menciones
• Comprobar que existe una clave por cliente, nunca una clave común
• Comprobar que ninguna clave está en un repositorio versionado ni en un fichero accesible desde la web
• Escribir en tres líneas cómo recuperaría todo y cambiaría de proveedor mañana por la mañana

El sexto es el más revelador. Si no sabe responder, la cuestión no es la conformidad — es la dependencia.

5. El punto que los compradores profesionales miran primero

Si vende a organizaciones sujetas a obligaciones — sanidad, sector público, datos sensibles — la cuestión del proveedor de IA aparece pronto en su proceso de compra, y es eliminatoria.

Lo que preguntan casi nunca es «¿tienen una política?» sino «¿adónde van los datos, bajo qué contrato, y cómo lo demuestran?». Una arquitectura donde el cliente posee su propia cuenta responde en una frase, con una captura de apoyo. Una arquitectura mutualizada responde con un documento, que no es lo mismo y no se tramita al mismo nivel jerárquico.

No es un argumento de marketing, es una reducción del ciclo de venta. Y es medible: cuente el número de idas y venidas entre la pregunta y la respuesta validada.

Conclusión

Una arquitectura no sustituye la conformidad, y ningún esquema técnico exime del trabajo jurídico. Lo que aporta una clave personal es más modesto y más sólido: la posición desde la que se puede verificar sin pedir permiso a nadie.

La confianza construida sobre una declaración se reevalúa en cada cambio de editor, de condiciones o de tarifa. La confianza construida sobre un acceso no se reevalúa: usted abre la consola, y ve.

La prueba que resume el artículo: si hoy le pidieran demostrar adónde van los datos de sus clientes, ¿a cuántas personas tendría que recurrir para responder? Si la respuesta es «a ninguna», la arquitectura está haciendo su trabajo.

Para profundizar: soberanía y control de costes, nuestros seis compromisos sobre IA responsable, por qué AIFORYA eligió este modelo y nuestra alternativa a Complianz. En cuanto a herramientas: medición de audiencia y consentimiento — versiones premium con reembolso íntegro en 14 días.