Casi todas las conversaciones sobre inteligencia artificial en las empresas mexicanas se quedan en dos preguntas: qué herramienta compramos y cuánto cuesta.
Esta semana apareció un ejemplo de la tercera pregunta, que es la que realmente decide si el proyecto sobrevive a la primera auditoría: qué dice el contrato.
Qué pasó
Charles Schwab integró Claude para asesores en su red de custodia, que atiende a más de 16,000 asesores de inversión registrados. Es un despliegue grande en un sector donde los datos de los clientes son de los más regulados que existen.
Lo interesante no es la integración: es lo que Schwab consiguió por escrito.
El acuerdo prohíbe expresamente a Anthropic conservar datos de asesores o de clientes para entrenar modelos — y lo hace en todos los niveles de suscripción, no solo en las licencias Enterprise que ya traían esa protección por omisión. En palabras de Alison Dooher, responsable de IA de Schwab: ningún dato se retiene para entrenamiento, y ni la entrada ni la salida de las conversaciones se conservan con ese fin.
Las otras tres cláusulas, que son las más copiables
Además de la no retención, el acuerdo incluye tres controles que cualquier empresa puede pedir sin ser Schwab:
- Enmascaramiento de números de cuenta. El identificador va oculto; la IA trabaja con el resto del contexto.
- Campos que simplemente no se envían. Números de seguridad social y fechas de nacimiento quedan fuera de lo que sale hacia el proveedor.
- Integración de solo lectura. El asesor no puede modificar directamente los datos generados por la IA sobre el sistema: la IA propone, la persona ejecuta en su sistema.
Traducido al equivalente mexicano: RFC y CURP enmascarados o fuera del envío, números de cuenta bancaria nunca en el prompt, y la IA con permisos de lectura hasta que haya gobierno suficiente para darle escritura.
Qué pedirle a tu proveedor de IA
Esta es la lista corta, y no es exclusiva de clientes grandes:
| Cláusula | Qué preguntar |
|---|---|
| No entrenamiento | ¿Se usan mis datos para entrenar o mejorar modelos? ¿En qué planes? ¿Por escrito? |
| Retención | ¿Cuánto tiempo conservan los registros de las conversaciones y quién puede verlos? |
| Ubicación | ¿En qué país se procesan y se almacenan? |
| Campos sensibles | ¿Puedo enmascarar o excluir campos antes de que salgan de mi sistema? |
| Permisos | ¿La integración es de solo lectura o puede escribir en mi sistema? |
| Notificación de incidentes | ¿En cuántas horas me avisan si hay una brecha? |
| Subprocesadores | ¿Quién más toca mis datos y cómo me entero si cambia la lista? |
Ninguna es exótica. Lo raro es que se pregunten, porque la contratación de herramientas de IA suele pasar por operaciones o por marketing, no por quien revisa contratos. Se compran con tarjeta, se adoptan por área y para cuando alguien pregunta ya hay tres años de conversaciones con datos de clientes adentro.
Por qué esto importa más en México de lo que parece
La LFPDPPP no menciona la inteligencia artificial, y no hace falta que lo haga: mandar datos personales de tus clientes a un proveedor es una transferencia de datos, y las obligaciones son las mismas de siempre —aviso de privacidad, finalidad, medidas de seguridad, responsabilidad sobre el encargado.
Dicho de otro modo: el proveedor de IA es un encargado del tratamiento como lo es tu contador o tu nube. Si no puedes explicar qué datos salen, a dónde van y con qué garantías, no tienes un problema de tecnología, tienes uno de cumplimiento. Aquí está el repaso de lo que pide la ley, y aquí el detalle de cómo funciona la retención de datos en los modelos comerciales, que es donde más confusión hay.
La buena noticia: esto se resuelve antes de firmar, con preguntas, y casi siempre sale gratis. La mala: después de firmar, ya no.
IA con respaldo contractual
¿Tus herramientas de IA están contratadas o solo instaladas?
Revisamos qué datos salen de tu empresa, qué dicen los contratos vigentes y qué conviene renegociar antes de escalar el uso.
