Antes de enseñar un solo dato a una consultora de IA debe estar firmado un acuerdo de confidencialidad que diga qué información protege, para qué puede usarla la consultora, cuánto dura la obligación y qué pasa con tu información cuando el proyecto termine. Lo redacta o lo revisa tu abogado; tú, como dueño o gerente, puedes comprobar que cada uno de esos puntos aparece por escrito.
Las empresas grandes no dejan entrar a ningún proveedor sin este papel. En una pyme es frecuente fiarse de un apretón de manos o de un "ya sabes que esto es entre nosotros". Con la IA conviene ser más cuidadoso, porque hay riesgos propios: la información puede viajar a otros proveedores tecnológicos, quedarse en copias de seguridad o mezclarse con la de otros clientes si nadie lo ha previsto. Un buen acuerdo no es desconfianza; es dejar claro de antemano lo que de todos modos todos esperan.
¿Cuándo hay que firmarlo?
Antes de compartir cualquier información que no quieras que salga de tu empresa, y por tanto antes de la primera reunión de trabajo en la que se hable de procesos, clientes o precios. Una conversación comercial genérica sobre qué puede hacer un agente de IA no suele necesitarlo, pero en cuanto se explica cómo funciona tu negocio por dentro, sí. Si la consultora te pide primero los datos "para hacer una propuesta", firma antes. Y si el borrador lo propones tú, será más fácil que recoja tus intereses que si te llega ya hecho con las condiciones de la otra parte.
Los puntos que debes ver reflejados
Esta es la lista de comprobación que puedes llevar a tu abogado:
- Qué se considera confidencial. Una definición clara: lo que tú entregas (documentos, datos, procesos, precios, listas de clientes), lo que la consultora descubra al trabajar contigo y lo que genere el propio proyecto. También qué queda fuera: lo que ya es público, lo que la consultora conocía de antes o lo que le llegue legítimamente de un tercero.
- Para qué puede usarla. Solo para tu proyecto. Ni para entrenar o mejorar productos de otros clientes ni para fines propios.
- Quién puede acceder. Solo el personal que lo necesite, obligado también a guardar reserva. Los subcontratistas y los proveedores tecnológicos, solo con tu conocimiento y con las mismas obligaciones. Pregunta qué proveedor de IA utilizan y si tu información sale a sus servidores.
- Cuánto dura. Durante el proyecto y durante un tiempo después. No existe un plazo único válido para todos los casos: lo fija tu abogado según el tipo de información, y algunas, como un secreto empresarial, merecen protección mientras sigan siéndolo.
- Qué pasa al terminar. Devolución o destrucción de la información, incluidas las copias de seguridad, con confirmación por escrito.
- Medidas de seguridad. Mínimas y concretas: accesos limitados, canales seguros, registro de quién entra y cuándo.
- Qué hacer ante una fuga o una pérdida. Avisarte sin demora y en un plazo fijado, para que puedas reaccionar.
- Consecuencias y ley aplicable. Qué ocurre si se incumple y qué juzgados serían competentes. Esto es terreno exclusivo del abogado.
¿Basta un acuerdo de confidencialidad si hay datos personales?
No. El acuerdo de confidencialidad protege tu información de negocio, pero cuando la consultora va a tratar datos personales de tus clientes o empleados por cuenta de tu empresa, la normativa de protección de datos exige además un contrato específico de encargo de tratamiento, que fija qué datos se tratan, con qué fin, con qué medidas de seguridad y qué pasa con ellos al terminar. Son dos documentos distintos que se complementan: uno protege tu secreto comercial y el otro protege a las personas cuyos datos manejas. Tu abogado o tu delegado de protección de datos te dirá cuáles necesitas en tu caso y cómo encajarlos.
¿Cuánto debe pesar el acuerdo en tu decisión?
Menos de lo que parece, y más de lo que se suele hacer. Es un papel necesario, pero no sustituye a la prudencia: aunque haya firma, entrega solo lo que la consultora necesita en cada fase, como se explica en qué datos compartir con una consultora de IA y cuáles guardarte. Un acuerdo no evita una filtración; te da una base para reclamar si ocurre. Por eso funciona mejor combinado con accesos limitados, copias controladas y una persona responsable de revisar quién tiene qué.
Qué hace el agente y qué hace una persona
- El agente puede ayudarte con la parte mecánica: comparar un acuerdo recibido con la lista de puntos de arriba y marcar los que faltan, llevar un calendario de vencimientos y recordarte cuándo debe devolverse o destruirse la información. Cómo automatizar la gestión de acuerdos de confidencialidad con IA explica ese seguimiento.
- Una persona tiene que negociar, firmar y decidir. El abogado redacta o revisa el texto y asesora sobre lo jurídico; tú decides qué información compartes y con quién; la firma la pone quien tenga poder para obligar a la empresa. Un agente no da asesoramiento legal, solo prepara y organiza.
Qué cuidar
- Que sea recíproco si hace falta. Si tú también vas a recibir información de la consultora, el acuerdo puede obligar a ambas partes.
- Que firme quien tiene poder. Una firma de alguien sin capacidad para representar a la empresa vale poco.
- Que no se quede en un cajón. Guarda la copia firmada y anota en el calendario las fechas que importan: fin del proyecto, devolución, caducidad de la obligación.
- Que encaje con el resto de los documentos. El acuerdo de confidencialidad, el contrato de servicio y la responsabilidad de cada parte deben ser coherentes entre sí; en acuerdo de servicio con un proveedor de IA: qué exigir por escrito y en cómo repartir la responsabilidad legal con tu proveedor de IA tienes el resto de las piezas.
- Que no sea una plantilla ciega. Un texto genérico sin adaptar puede no recoger lo específico de la IA: el proveedor tecnológico que interviene, las copias o el uso de tus datos para otras finalidades.
Conclusión
Un buen acuerdo de confidencialidad con una consultora de IA define qué es confidencial, limita para qué se puede usar, nombra quién accede, fija cuánto dura y cómo se destruye al terminar, y se completa con un contrato de encargo de tratamiento si hay datos personales. La redacción es cosa del abogado; asegurarte de que todos esos puntos están escritos, antes de enseñar nada, es cosa tuya.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica. Lo razonable es que cada proyecto empiece con el acuerdo claro y con los datos mínimos necesarios.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.