Cómo usar Inteligencia artificial generativa de manera segura en entornos empresariales

Contenido

El uso de inteligencia artificial ya forma parte de la actividad empresarial cotidiana a nivel global. Según el informe The state of AI de McKinsey, el 88 % de los encuestados señala que sus empresas la utilizan diariamente en al menos una (1) función del negocio. El nivel de penetración de la Inteligencia Artificial Generativa (IAG) nos conduce a una cuestión fundamental: cómo incorporarlas a los procesos empresariales con el menor riesgo legal posible.

En ese escenario, invertir en una herramienta de IAG exige comprender sus condiciones para aprovechar sus resultados. La primera aproximación jurídica suele concentrarse, de manera intuitiva, en aspectos de propiedad intelectual y cadena de titularidad sobre el contenido generado. Sin embargo, el análisis exige revisar otros aspectos igualmente críticos, tales como la seguridad de la información, coberturas y cuestiones tan elementales como determinar si lo generado mediante IAG encuentra protegido por propiedad intelectual. De ahí que, cualquiera que sea la actividad productiva de la empresa, los siguientes elementos son una guía orientadora para tomar una decisión informada sobre el alcance y mitigación de riesgos al implementar IAG.

El punto de partida es el resultado generado, denominado output. Cuando una empresa utiliza IAG para elaborar una pieza publicitaria, una canción o un documento, puede asumir que obtendrá derechos exclusivos sobre ese contenido. No obstante, buena parte de los resultados enteramente generados por IAG, sin creación humana original, no reúnen los requisitos de protección por derecho de autor. En Colombia, la Decisión Andina 351 reconoce como autor a la persona física que realiza la creación intelectual. La Dirección Nacional de Derecho de Autor (Dnda) también ha precisado que los resultados obtenidos con IAG mediante instrucciones no son registrables cuando no provienen de decisiones libres y creativas humanas.

Esta circunstancia choca con ciertas prácticas empresariales, donde las organizaciones buscan blindar la titularidad de sus contenidos mediante contratos de obra por encargo, contratos de cesión, de trabajo o de servicios, sin preguntarse realmente: ¿cuáles derechos se están cediendo, si probablemente no existe ninguno?

Sin perjuicio de lo anterior, y con independencia de la protección del resultado, toda decisión de implementación de IAG exige como mínimo, analizar los siguientes cuatro aspectos:

(i) Determinar si la herramienta de IAG a implementar en los procesos de la empresa prevé una cesión íntegra de los derechos patrimoniales que eventualmente le correspondan, o si únicamente concede una licencia. Asimismo, debe precisarse qué facultades de uso se reserva, durante cuánto tiempo y para cuáles territorios.

A partir de allí, la revisión debe atender al destino del contenido. Que una herramienta permita explotarlo comercialmente no garantiza exclusividad, pues otros usuarios podrían obtener y usar esos mismos resultados.

(ii) Analizar los estándares de seguridad de la información y lineamientos para el tratamiento de datos personales. Es habitual que las actividades empresariales procesen datos personales (incluidos datos biométricos y otra categoría de datos sensibles), datos de menores de edad e información confidencial mediante sistemas de IAG. Este tratamiento puede configurar, en muchos casos, una transferencia o una transmisión, nacional o internacional de datos personales. La diferencia depende del rol del destinatario: habrá transferencia si actúa como otro responsable del tratamiento, y transmisión si procesa los datos por cuenta de la empresa como encargado. Por tanto, dependiendo del tipo de tratamiento a realizar, será indispensable determinar si las autorizaciones existentes suplen los requisitos legales; si se precisa de un consentimiento adicional del titular; o, si definitivamente conviene evitar el procesamiento con una IAG que, por su jurisdicción y políticas de privacidad, no frece los estándares mínimos de seguridad requeridos.

(iii) Determinar escenarios de responsabilidad e indemnidad específica que ofrezca la herramienta de IAG sobre los resultados generados. Se trata de una cobertura selectiva, que no acompaña automáticamente a cualquier herramienta. Algunas licencias no prevén protocolos de indemnidad específicos, pero ofrecen, al menos, declaraciones sobre la seguridad, calidad y funcionalidad de la herramienta. Otras IAG, al contrario, cuentan con exclusiones de responsabilidad robustas, que en muchas ocasiones pasan inadvertidas. Proveedores como Microsoft y Adobe ofrecen indemnidades por valores que funcionan como un cap, sujeta a condiciones que pueden incluir mantener filtros de seguridad, contar con derechos sobre los materiales aportados (input) o utilizar funciones elegibles. Por eso, la existencia de una cláusula de indemnidad no equivale a una garantía general de originalidad sobre el output, o inexistencia de riesgo de infracción.

(iv) Identificar qué tipo de licencia o suscripción de IAG necesita la empresa. Habitualmente la decisión de inversión se determina exclusivamente por la capacidad o tokens de procesamiento según demanda, sin considerar efectivamente si los outputs generados admiten usos comerciales. Aunque las coberturas más amplias suelen asociarse a modalidades empresariales específicas, las denominaciones «Pro», «Full» o «Enterprise» no tienen un alcance jurídico uniforme.

De modo que la elección de la licencia apropiada debe responder al uso previsto del output, a los territorios donde se explotará y a las condiciones de cesión, exclusividad y confidencialidad que exige el negocio. Una herramienta adecuada para preparar borradores internos puede resultar insuficiente para producir contenidos destinados a clientes. Así, la utilidad y seguridad de la herramienta depende también de que permita cumplir las obligaciones asumidas frente a terceros.

Resueltas estas cuestiones, subsiste el interrogante inicial: cómo determinar si el resultado puede estar protegido por derecho de autor u otra forma de derecho inmaterial. Si bien el contrato o licencia de IAG permite conocer y anticipar riesgos respecto a las condiciones de uso, la protección jurídica del output depende esencialmente de identificar y demostrar una intervención humana original suficiente en la expresión final. En este punto, dos errores frecuentes pueden llevar a sobreestimar los derechos adquiridos.

El primero consiste en atribuir valor a la extensión o complejidad del prompt, a la cantidad de instrucciones o a las horas invertidas en obtener el resultado. Sobre este punto, los procedentes jurisprudenciales más recientes en esta materia son claros en señalar que el derecho de autor protege la originalidad, de manera que el esfuerzo o el trabajo no la sustituyen. Tampoco exige una complejidad determinada ni un mérito artístico mínimo: un aporte sencillo puede ser original, mientras que un proceso laborioso y extenso puede no cumplir este requerimiento.

El segundo error radica en equiparar automáticamente las instrucciones con un aporte autoral. Sobre este punto, definir roles, estilos de trabajo o preferencias dentro de un conjunto de parámetros orienta la generación, pero no necesariamente determina su expresión concreta. Precedentes relevantes en esta materia[3] distinguen claramente entre formular instrucciones y controlar los elementos expresivos.

Por consiguiente, si bien no existe una fórmula cierta para asegurar la protección de un output mediante propiedad intelectual, las siguientes recomendaciones pueden favorecer la incorporación de originalidad humana al prompt e incrementar las probabilidades de que sea reconocido como una obra original:

(i) La identificabilidad: supone incorporar al resultado un elemento original enteramente creado por el usuario, que pueda separarse o reconocerse claramente frente a lo generado con asistencia de IA. Un texto, un dibujo o una melodía propios permiten precisar qué creación humana se incorporó en el output.

(ii) Control de elementos expresivos: exige que el usuario determine y concrete cómo se materializa la creación. Pedir «una canción triste» o «un logo sobrio y elegante» implica instruir a la IAG con estilos artísticos que los jueces tienden a rechazar como ejemplos de originalidad. Precisar, al contrario «una canción en tonalidad menor» «un logo en tonalidad de grises o una composición sin sobrecarga estética» es un aporte que mantiene el control expresivo en el usuario y delimita mejor el encargo, sin que ello, por sí solo, pruebe originalidad.

(iii) Trazabilidad: la demostración de originalidad de estos elementos se torna en un asunto esencialmente documental y probatorio. Para ello, es vital conservar el input utilizado, la herramienta y versión de IAG empleadas, el output generado y los elementos enteramente aportados por el humano. Los archivos originales, las versiones sucesivas y el registro de modificaciones permiten distinguir el encargo de la creación y reconstruir quién hizo cada aporte. De ahí la importancia de documentarlos desde la producción y conservarlos bajo las condiciones de seguridad aplicables a su contenido.

Integrar IAG en procesos productivos exige, por tanto, buscar que los resultados de la herramienta tengan la aptitud de ser activos intangibles monetizables y protegidos en exclusiva. Ese propósito se cumple al procurar una gestión adecuada de los distintos derechos involucrados, y alinear los procesos tecnológicos con los estándares que jurisprudencialmente se construyen alrededor de la protección legal a este tipo de resultados.