IA y datos personales de clientes en Panamá: qué revisar antes de subir información

Aplicar la Ley 81 antes de utilizar la herramienta

Introducir, resumir, clasificar o analizar datos personales con una herramienta de IA forma parte del tratamiento de esos datos. La empresa debe identificar quién determina la finalidad y los medios del tratamiento, quién actúa como proveedor o custodio y qué responsabilidades se mantienen aunque la operación tecnológica se encargue a un tercero.

Antes de usar información real, revisa estos puntos:

1. Condición de licitud. Identifica cuál de las condiciones del artículo 6 permite el tratamiento. El consentimiento es una posibilidad, pero no la única: la Ley también contempla, entre otros supuestos, la ejecución de una obligación contractual, el cumplimiento de una obligación legal o la autorización de una ley especial. No presentes el consentimiento como una autorización general para cualquier uso.
2. Finalidad y transparencia. Define para qué se utilizarán los datos y verifica qué se informó al titular. Utilizar después la información para una finalidad incompatible requiere una revisión nueva.
3. Proporcionalidad y minimización. Incorpora únicamente los datos necesarios para la tarea. Antes de cargar un expediente completo, pregunta si bastan campos seleccionados, datos disociados o un caso ficticio.
4. Seguridad y confidencialidad. Limita accesos, utiliza la modalidad de cuenta aprobada, registra quién puede usarla y define qué ocurrirá ante un incidente. El deber de confidencialidad alcanza a quienes intervienen en las distintas fases del tratamiento.
5. Conservación y derechos. Comprueba cuánto tiempo se guardan las entradas y los archivos, cómo pueden eliminarse y cómo atenderá la empresa las solicitudes de acceso, rectificación, cancelación, oposición y portabilidad que correspondan.

La guía de preguntas frecuentes de ANTAI explica las condiciones de licitud, el deber de información y los derechos de los titulares. La evaluación concreta debe considerar también las normas especiales y los compromisos profesionales aplicables al negocio.

Seis preguntas sobre el proveedor y la configuración

• ¿Qué uso hará de los archivos y de las instrucciones que ingresas?
• ¿Durante cuánto tiempo conserva la información?
• ¿Quiénes pueden acceder dentro y fuera de tu organización?
• ¿Qué controles ofrece la cuenta que realmente estás utilizando?
• ¿Qué condiciones aplican a transferencias, eliminación y gestión de incidentes?
• ¿Quién en tu empresa puede autorizar el uso para ese tipo de tarea?

Las respuestas deben basarse en términos y configuraciones vigentes. No asumas que una cuenta personal ofrece las mismas condiciones que otra modalidad, ni que una promesa comercial cubre todos los casos.

Empieza con un ejemplo ficticio o información mínima

Para aprender a estructurar un reporte o practicar una instrucción, utiliza datos ficticios. Si una tarea real requiere información del cliente, analiza qué parte es necesaria y qué tratamiento está permitido antes de incorporarla. Quitar el nombre puede ser insuficiente si otros detalles permiten identificar a la persona.

Ejemplo hipotético: un equipo quiere resumir un expediente. Puede probar primero la estructura de salida con un caso inventado: hechos, fechas, pendientes y dudas. La prueba permite evaluar utilidad sin exponer el expediente real. Después debe decidirse si existe una ruta adecuada para el uso previsto.