Un analista de compensaciones copia la tabla de salarios de una gerencia y la pega en un asistente para que le arme un comparativo.
No hubo mala intención: nadie le dijo nunca dónde estaba el límite. La información de esas personas ya salió a un servidor que la empresa no eligió ni controla.
La regla “no compartas datos sensibles” no evita eso, porque cada uno decide qué entra en esa categoría. Lo que sí lo evita es una lista concreta. Si querés ver cómo se usa la IA dentro de un entorno con permisos definidos, mirá cómo funciona el soporte con IA en Mandü.
El límite que cada persona define por su cuenta
Entre los datos que claramente no salen y los que claramente sí hay una zona gris amplia: un organigrama con nombres, los resultados de clima de un área chica, el ausentismo de un sector.
Ninguno es un número de documento, pero los tres pueden identificar a alguien si se cruzan con otra cosa.
Cuando esa zona gris no está escrita, se resuelve en el momento y sin registro. Y la consulta que la persona querría hacer antes de pegar algo no tiene a quién hacerse.
Por qué la lista no se escribe
Porque parece que hay que cubrir todos los casos posibles, y eso suena a un proyecto largo. Alcanza con tres categorías y una condición de uso clara para cada una.
El segundo motivo es que la lista obliga a decidir cosas incómodas: si el organigrama puede salir, si los resultados de un equipo chico son anónimos de verdad, quién autoriza las excepciones. Son decisiones de quince minutos que se postergan meses.
Qué definir antes de escribir la política
- Qué información no sale de los sistemas propios bajo ninguna herramienta.
- Qué puede usarse con autorización previa y anonimización.
- Qué es de uso libre con las herramientas ya aprobadas.
- Quién autoriza una excepción y cómo queda registrada.
- Qué pasos sigue una herramienta nueva antes de usarse.
- Cómo se registra que cada persona leyó y entendió las reglas.
Tres niveles y la condición de uso de cada uno
|
Nivel |
Qué incluye |
Condición de uso |
|---|---|---|
|
Rojo |
DNI o CUIL, legajos, salud ocupacional, tablas salariales, evaluaciones individuales, datos biométricos |
No sale de los sistemas autorizados |
|
Amarillo |
Organigramas con nombres, resultados de clima de equipos chicos, ausentismo por área |
Requiere autorización del responsable y anonimización previa |
|
Verde |
Plantillas de comunicación, borradores de descripciones de puesto sin datos reales, resúmenes de políticas públicas |
Uso libre con herramientas aprobadas |
El nivel amarillo es el que más trabajo da y el que más importa. En un equipo chico, un resultado “anónimo” cruzado con el organigrama puede señalar a alguien: la anonimización tiene que mirar el tamaño del grupo, no solo si figura el nombre.
Una cláusula posible: “Queda prohibido ingresar datos de nivel rojo en cualquier plataforma, aplicación o asistente que no figure en el registro de herramientas autorizadas”.
El tratamiento ante un uso fuera de la política conviene definirlo con tu asesoría y con el reglamento interno, no en el mismo texto.
Cómo autorizar una herramienta nueva
El circuito que funciona es corto. El área que la quiere usar responde tres preguntas: qué datos va a procesar y de qué nivel son, dónde se almacena lo que recibe y genera, y si el proveedor permite borrar la información a pedido.
Con eso, tecnología evalúa el riesgo técnico, RR. HH. el impacto sobre datos de personas, y la decisión queda escrita antes del primer uso.
Ese registro permite responder después qué se aprobó, cuándo y con qué fundamento. Es la misma lógica de las políticas de seguridad que ya existen: la política nueva se integra con ellas en lugar de vivir aparte.
El circuito de autorización
|
Paso |
Qué se define |
Quién participa |
|---|---|---|
|
Solicitud |
Qué datos procesa, dónde se alojan, si se pueden borrar |
El área solicitante |
|
Riesgo técnico |
Cómo trata la información la herramienta |
Tecnología |
|
Impacto en personas |
Qué nivel de datos toca y con qué condición |
RR. HH. |
|
Decisión |
Aprobación o rechazo con fundamento escrito |
Comité de RR. HH., IT y legales |
|
Alta |
Incorporación al registro de herramientas aprobadas |
RR. HH. |
|
Registro |
Constancia del circuito completo en el legajo documental |
RR. HH. |
Para que la lista no envejezca, conviene definir qué eventos disparan una revisión: un cambio normativo, el alta de una herramienta corporativa, incidentes que se repiten o el paso de un año desde la última versión.
Qué errores evitar
- Dejar la regla en “no compartas datos sensibles”, que cada uno interpreta distinto.
- Resolver solo los extremos y dejar la zona gris sin condición de uso.
- Tratar como anónimo un resultado de un equipo donde se puede deducir quién respondió.
- Autorizar herramientas por mensaje, sin dejar escrito qué se evaluó.
- Prohibir todo, que en la práctica empuja el uso hacia donde nadie lo ve.
- Distribuir la lista y no registrar quién la leyó ni si la entendió.
Cómo te acompaña Mandü
Mandü te permite distribuir la política y el registro de herramientas aprobadas a toda la dotación, con firma con validez legal y constancia de quién leyó, cuándo y desde dónde.
Las funciones con IA operan dentro del esquema de permisos que definís, y los datos de cada persona se mantienen en un solo lugar en lugar de circular en planillas que se copian y se pegan.
Si querés contexto, esta nota sobre buenas prácticas frente al ciberdelito y esta sobre software de reclutamiento suman mirada. Si querés tener la lista escrita y comunicada con registro, agendá una demo.
Preguntas frecuentes sobre clasificación de datos en RR. HH
¿Esto aplica solo a RR. HH.?
A toda la organización. Finanzas maneja tablas salariales y legales maneja información de legajos, así que el alcance cubre a cualquiera con acceso a los sistemas. RR. HH. lidera la comunicación y el seguimiento.
¿Qué nivel tienen los resultados de una encuesta de clima?
Depende del tamaño del grupo. En equipos chicos conviene tratarlos como nivel amarillo, porque cruzados con la estructura del área pueden identificar a alguien. Los resultados agregados de grupos grandes pueden ir como verdes.
¿Cómo se verifica que la gente entendió y no solo firmó?
Con una evaluación breve además de la firma. Una pregunta como “¿podés cargar el documento de un colaborador en un asistente externo?” dice más que una casilla de leído y aceptado. El aprendizaje con registro de finalización deja eso trazable.
¿Qué pasa con las funciones de IA del propio sistema de RR. HH.?
Se evalúan con el mismo circuito, mirando qué datos tocan y bajo qué permisos operan. Ahí la información no sale a un entorno externo, pero la revisión humana sobre cualquier resultado que afecte a una persona sigue siendo necesaria, sobre todo en selección.
¿Esta lista reemplaza la política de uso de IA?
No, es su primera sección.
