Privacidad, tratamiento de datos y la cláusula de "No-Training"​

El tratamiento de datos personales en negocios de AIaaS (AI as a Service) —donde el proveedor actúa como un Applied AI Provider (AAIP) prestando servicios sobre infraestructuras de terceros como Anthropic o Google— requiere precisiones estrictas sobre los roles de Responsable y Encargado. El Responsable es quien define los fines y medios del tratamiento (la empresa contratante), mientras que el Encargado es quien ejecuta dicho tratamiento bajo las directrices del primero (el proveedor de IA especializada).

Esta asignación de roles se configura automáticamente al insertar datos de identificación en sistemas de Large Language Models (LLM). Ya sea que los datos personales operen dentro de la ventana de contexto o se estructuren bajo una arquitectura RAG (Retrieval-Augmented Generation), ambas modalidades constituyen actos de recolección, almacenamiento y uso regulado. Por consiguiente, es imperativo suscribir un Contrato de Transmisión de Datos, dando cumplimiento estricto al Artículo 25 del Decreto 1377 de 2013.

Dicha operación adquiere un carácter internacional si el Encargado utiliza infraestructuras cloud con zonas de disponibilidad fuera de Colombia, activando el régimen de transmisión internacional. En ambos escenarios, el contrato debe estipular límites infranqueables respecto al uso de la información para procesos de ajuste fino (fine-tuning) o reentrenamiento de modelos fundacionales; es decir, es innegociable la inclusión de cláusulas No-Training.

Finalmente, la arquitectura contractual debe prever el cumplimiento de los requisitos de la Circular 002 de 2024, específicamente la obligación de Privacidad desde el Diseño y por Defecto. Este blindaje técnico-legal es la única vía para mitigar el riesgo sancionatorio y evitar multas que pueden comprometer la viabilidad financiera de la operación.

Retornar al Pilar de Contratación de Servicios de IA