Política de Retención de Datos de Interacción con IA
Propósito
Define los períodos de retención, los requisitos de consentimiento y los procedimientos de eliminación para los prompts, las respuestas y los metadatos de interacción de IA.
Controles relacionados
1. Alcance
Definir qué tipos de datos de interacción con IA cubre esta política.
Alcance de la política
Esta política rige la retención, el almacenamiento y la eliminación de todos los datos generados a través de interacciones con sistemas de inteligencia artificial utilizados por [ORGANIZATION NAME].
Tipos de datos cubiertos
| Tipo de dato | Descripción | Ejemplos |
|---|---|---|
| Prompts | Entradas del usuario enviadas a los sistemas de IA | Consultas, instrucciones, fragmentos de código, datos proporcionados para análisis |
| Respuestas | Salidas generadas por la IA | Texto generado, código, análisis, recomendaciones, imágenes |
| Metadatos de interacción | Datos técnicos y contextuales sobre la interacción | Marcas de tiempo, ID de usuario, identificadores de modelo, conteo de tokens, ID de sesión |
| Contexto de la conversación | Historial de conversación de múltiples turnos | Hilos de chat, historiales de sesión, intercambios de seguimiento |
| Datos de retroalimentación | Evaluaciones del usuario sobre las salidas de IA | Pulgar arriba/abajo, calificaciones, anotaciones de corrección, errores reportados |
| Registros del sistema | Registros técnicos de las operaciones del sistema de IA | Registros de llamadas a la API, registros de errores, métricas de rendimiento, registros de acceso |
Sistemas cubiertos
Esta política se aplica a todos los sistemas de IA enumerados en el Registro de Inventario de Activos de IA, incluyendo, entre otros:
- Plataformas empresariales de LLM (p. ej., Azure OpenAI, AWS Bedrock, Google Vertex AI)
- Herramientas de desarrollo impulsadas por IA (p. ej., asistentes de código, herramientas de prueba)
- Aplicaciones de IA orientadas al cliente (p. ej., chatbots, motores de recomendación)
- Herramientas y automatizaciones internas de IA
- Sistemas de IA operados por proveedores externos en nombre de [ORGANIZATION NAME]
Fecha de entrada en vigor
Esta política entra en vigor a partir del [DATE] y se aplica a todos los datos de interacción con IA generados en esa fecha o posteriormente. Los datos preexistentes deben cumplir con la política dentro de los 90 días posteriores a la fecha de entrada en vigor.
2. Períodos de retención
Especificar la duración de la retención para cada tipo de dato de interacción con IA.
Cronograma estándar de retención
| Tipo de dato | Clasificación de datos | Período de retención | Ubicación de almacenamiento | Justificación |
|---|---|---|---|---|
| Prompts (datos públicos) | Nivel 1 | 12 meses | Sistema de registro empresarial | Auditoría y aseguramiento de calidad |
| Prompts (datos internos) | Nivel 2 | 24 meses | Sistema de registro empresarial | Cumplimiento e investigación de incidentes |
| Prompts (datos confidenciales) | Nivel 3 | 36 meses | Archivo seguro | Retención legal y regulatoria |
| Prompts (datos restringidos) | Nivel 4 | Duración de la retención legal + 12 meses | Archivo seguro cifrado | Mandato legal y regulatorio |
| Respuestas de IA | Igual que el nivel de la entrada | Igual que el prompt correspondiente | Igual que el prompt correspondiente | Emparejado con la entrada para contexto |
| Metadatos de interacción | N/A | 36 meses | SIEM / gestión de registros | Monitoreo de seguridad y forense |
| Contexto de la conversación | Nivel más alto en la sesión | Igual que el dato de nivel más alto en la sesión | Sistema de registro empresarial | Integridad de la sesión |
| Datos de retroalimentación | N/A | 24 meses | Analítica de la plataforma de IA | Seguimiento de la mejora del modelo |
| Registros del sistema | N/A | 12 meses | SIEM / gestión de registros | Resolución operativa de problemas |
Reglas de retención
- Retención emparejada: Los prompts y sus respuestas correspondientes deben retenerse y eliminarse como una unidad. No se permite la retención parcial.
- Integridad de la sesión: Todos los datos dentro de una sola sesión de IA heredan el período de retención del elemento de datos con mayor retención en esa sesión.
- Prioridad de la retención legal: Las retenciones legales activas prevalecen sobre todos los períodos de retención estándar. Los datos bajo retención legal no deben modificarse ni eliminarse hasta que la retención sea formalmente liberada por [ROLE TITLE].
- Piso regulatorio: Cuando los requisitos regulatorios especifiquen períodos mínimos de retención que excedan esta política, el requisito regulatorio tiene precedencia.
- Retención por parte de proveedores: Los proveedores externos de IA deben tener contractualmente prohibido retener datos de [ORGANIZATION NAME] más allá de la duración de la sesión, a menos que esté explícitamente autorizado en el DPA.
3. Marco de consentimiento
Definir los requisitos de consentimiento para recopilar, retener y procesar datos de interacción con IA.
Consentimiento del personal interno
Todo el personal de [ORGANIZATION NAME] que utiliza sistemas de IA otorga su consentimiento para la recopilación y retención de datos de interacción a través de:
- Acuerdo de empleo / Acuerdo de contratista: Actualizado para incluir disposiciones de monitoreo y retención de interacciones con IA
- Reconocimiento de la Política de Uso Aceptable de IA: Firmado anualmente, con referencia explícita a las prácticas de retención de datos
- Aviso de inicio de sesión del sistema: Todos los sistemas empresariales de IA muestran un aviso de consentimiento al iniciar sesión: "Sus interacciones con este sistema de IA se registran y retienen de acuerdo con la Política de Retención de Datos de Interacción con IA de [ORGANIZATION NAME]. Al continuar, usted consiente este monitoreo."
Consentimiento de clientes y terceros externos
Para los sistemas de IA que interactúan con clientes, socios u otras partes externas:
| Tipo de interacción | Mecanismo de consentimiento | Divulgación mínima |
|---|---|---|
| Chatbot orientado al cliente | Divulgación previa al chat + opt-in | Recopilación de datos, período de retención, procesamiento por terceros |
| Tickets de soporte procesados por IA | Aviso de privacidad al enviar | Participación de la IA, retención de datos, opción de escalamiento humano |
| Retroalimentación analizada por IA | Referencia a la política de privacidad | Divulgación del procesamiento por IA, mecanismo de exclusión |
| Procesamiento de IA de voz/video | Consentimiento explícito verbal o mediante clic | Grabación, análisis de IA, período de retención |
Registros de consentimiento
Todos los registros de consentimiento deben retenerse durante la duración del período de retención de datos más 24 meses. Los registros de consentimiento incluyen:
- La versión del aviso de consentimiento presentado a la persona
- La fecha y hora en que se otorgó el consentimiento
- El mecanismo a través del cual se obtuvo el consentimiento
- Cualquier modificación o retiro posterior del consentimiento
Derecho a retirar el consentimiento
Las personas pueden retirar su consentimiento para la recopilación futura de datos de interacción con IA en cualquier momento contactando a [DEPARTMENT]. El retiro del consentimiento no afecta la legalidad del procesamiento realizado antes del retiro. El retiro puede limitar la capacidad de la persona para utilizar determinados sistemas de IA.
4. Procedimientos de eliminación
Definir los procedimientos técnicos y administrativos para eliminar los datos de interacción con IA.
Eliminación programada
Los datos que hayan llegado al final de su período de retención y no estén sujetos a una retención legal deben eliminarse dentro de los 30 días calendario. El proceso de eliminación es:
- Identificación: El sistema automatizado de gestión de retención señala los datos que han alcanzado su fecha de vencimiento de retención
- Verificación de retención legal: El sistema verifica que no existan retenciones legales activas, órdenes de preservación regulatorias o investigaciones pendientes aplicables a los datos señalados
- Aprobación: Las solicitudes de eliminación por lotes son revisadas y aprobadas por [ROLE TITLE] en un ciclo mensual
- Ejecución: Los datos se eliminan permanentemente de todas las ubicaciones de almacenamiento primarias y de respaldo utilizando borrado criptográfico o métodos conformes con NIST SP 800-88
- Verificación: La eliminación se verifica mediante una validación automatizada que confirma que los datos ya no son recuperables
- Documentación: Se generan certificados de eliminación y se retienen durante 24 meses
Eliminación bajo demanda (solicitudes de titulares de datos)
Cuando una persona ejerce su derecho de supresión (p. ej., Artículo 17 del GDPR, CCPA):
| Paso | Acción | Plazo | Responsable |
|---|---|---|---|
| 1 | Recibir y registrar la solicitud | Día 0 | [DEPARTMENT] |
| 2 | Verificar identidad y autoridad | Dentro de 3 días hábiles | [DEPARTMENT] |
| 3 | Ubicar todos los datos de interacción con IA de la persona | Dentro de 10 días hábiles | Seguridad de TI |
| 4 | Evaluar la base legal para excepciones de retención | Dentro de 15 días hábiles | Legal |
| 5 | Ejecutar la eliminación (o documentar excepciones) | Dentro de 25 días hábiles | Operaciones de TI |
| 6 | Confirmar la eliminación al solicitante | Dentro de 30 días calendario | [DEPARTMENT] |
Eliminación de datos por parte de proveedores
Para los datos de interacción con IA procesados por proveedores externos:
- Los proveedores deben confirmar la eliminación por escrito dentro de los 30 días posteriores a la terminación del contrato o al vencimiento de la retención de datos
- Los certificados de eliminación del proveedor deben obtenerse y ser retenidos por [DEPARTMENT]
- Las auditorías anuales de proveedores deben verificar que los compromisos de eliminación se hayan cumplido
- Cualquier incapacidad del proveedor para confirmar la eliminación constituye un incidente reportable
5. Mapeo de cumplimiento
Vincular los requisitos de retención con los marcos regulatorios y estándares aplicables.
Alineación regulatoria
| Regulación / Estándar | Requisito relevante | Respuesta de esta política |
|---|---|---|
| GDPR (UE) | Artículo 5(1)(e) — Limitación del almacenamiento | Períodos de retención definidos por nivel de datos; eliminación automatizada al vencimiento |
| GDPR (UE) | Artículo 17 — Derecho de supresión | Procedimiento de eliminación bajo demanda con SLA de 30 días |
| CCPA (California) | Sección 1798.105 — Derecho a eliminar | Alineado con los procedimientos de eliminación del GDPR |
| HIPAA (EE. UU.) | 45 CFR 164.530(j) — Retención de 6 años | La retención de Nivel 4 de 36 meses + retención legal cubre este requisito |
| SOX (EE. UU.) | Sección 802 — Retención de documentos de 7 años | Las interacciones de IA relacionadas con finanzas se retienen bajo los cronogramas de Nivel 3/4 |
| PCI-DSS | Requisito 3.1 — Minimizar la retención de datos | Los datos de titulares de tarjetas están prohibidos en los prompts de IA; si ocurre un incidente, se retienen según el Nivel 4 |
| ISO 42001 | A.8.4 — Calidad de datos para IA | La retención garantiza la procedencia y el linaje de los datos para el aseguramiento de calidad de la IA |
| NIST AI RMF | GV-6 — Gobernanza de datos | La política implementa los requisitos de GV-6 para la gestión del ciclo de vida de los datos de IA |
Evidencia de auditoría
Esta política y su implementación generan la siguiente evidencia de auditoría:
- Certificados de eliminación con marcas de tiempo y descripciones de datos
- Registros de consentimiento con seguimiento de versiones
- Revisiones del cronograma de retención con firmas de aprobación
- Confirmaciones de eliminación de proveedores
- Registros de solicitudes de titulares de datos con plazos de respuesta
- Informes mensuales de cumplimiento del sistema de gestión de retención
Revisión y actualización de la política
| Activador | Acción | Plazo |
|---|---|---|
| Ciclo de revisión anual | Revisión completa de la política por el Comité de Gobernanza de IA | Cada 12 meses |
| Promulgación de nueva regulación | Evaluar el impacto y actualizar el mapeo de cumplimiento | Dentro de los 60 días posteriores a la promulgación |
| Incidente de IA relacionado con la retención de datos | Revisión posterior al incidente de las disposiciones de retención relevantes | Dentro de los 30 días posteriores al cierre del incidente |
| Incorporación de un nuevo sistema de IA | Verificar la cobertura de retención para los nuevos tipos de datos | Antes de la puesta en producción del sistema |
| Cambio de contrato con proveedor | Revisar las disposiciones de retención específicas del proveedor | Antes de la ejecución del contrato |
Propietario de la política: [ROLE TITLE], [DEPARTMENT]
Última revisión: [DATE]
Próxima revisión: [DATE]