Digital Employee está diseñado teniendo en cuenta la privacidad, la seguridad, la supervisión humana y la gobernanza responsable de la IA. Nuestro enfoque apoya una evaluación de los marcos aplicables a cada proyecto, sin confundir la preparación técnica con el cumplimiento automático o la certificación ya otorgada.
Cada decisión queda en manos de la persona adecuada
La calidad y autorización de los datos, permisos, aprobaciones, criterio profesional y decisiones económicas siguen bajo tu responsabilidad.
La gobernanza va antes que la producción
Un Digital Employee recibe una asignación, no una autoridad ilimitada. Antes de conectarse a los sistemas empresariales, el proyecto necesita establecer qué tareas puede llevar a cabo, qué datos necesita, quién aprueba acciones sensibles y quién maneja las excepciones. La privacidad, la seguridad y la supervisión humana pertenecen al diseño, más que a una nota añadida al final.
Nuestro enfoque está diseñado para apoyar a las organizaciones que operan en múltiples jurisdicciones. Esto no significa que cada configuración cumpla automáticamente con todas las leyes. El alcance debe evaluarse en comparación con el caso de uso real, con el responsable del proceso, TI y los especialistas legales y de privacidad adecuados.
GDPR: comience con los datos y las responsabilidades
El RGPD regula la protección de datos personales. La arquitectura consciente de la privacidad puede respaldar una implementación compatible, pero no reemplaza una evaluación del procesamiento. Las preguntas a resolver incluyen el propósito, la base legal, las responsabilidades, la minimización de datos, el acceso, la retención, los proveedores involucrados y el manejo de los derechos de las personas. Referencia: Comisión Europea.
La ubicación de almacenamiento de datos debe distinguirse del lugar donde se procesan o se accede a los datos. Antes del lanzamiento, es necesario comprender el flujo completo: aplicaciones, modelos de IA, registros de actividad, soporte y subprocesadores. Se deben considerar acuerdos de procesamiento, transferencias internacionales y evaluaciones de impacto cuando corresponda. Un centro de datos europeo por sí solo no responde a todas estas preguntas.
Ley de IA de la UE: evaluar el caso de uso, no solo la tecnología
El marco europeo para la IA adopta un enfoque basado en el riesgo. Las obligaciones aplicables también dependen del uso previsto y del papel de la organización. El nombre del modelo o la etiqueta “Digital Employee” no es suficiente para determinar el alcance. Referencia: Comisión Europea, Ley de IA.
La evaluación debe establecer el propósito, las personas afectadas, las posibles consecuencias y la supervisión requerida. La transparencia, la documentación, la gestión de riesgos y los controles humanos deben definirse en relación con los requisitos aplicables. Un proceso que prepara un borrador no debe considerarse automáticamente equivalente a uno que toma decisiones sobre las personas.
NIST IA RMF: organizar la gestión de riesgos de IA
El Marco de Gestión de Riesgos de IA del NIST es una referencia voluntaria para incorporar la fiabilidad en el diseño, desarrollo, uso y evaluación de la IA. No es una certificación de producto. Nuestras prácticas de gobernanza están alineadas con principios reconocidos internacionalmente para una gestión de riesgos de IA fiable y responsable. Referencia: NIST.
En términos prácticos, esto significa asignar responsabilidades, comprender el contexto, verificar los resultados y gestionar los riesgos identificados. El proyecto también debe establecer cómo reportar un incidente, pausar una actividad y revisar los controles cuando cambian las herramientas, los datos o la tarea.
Canadá: establecer qué normas se aplican realmente
Nuestro enfoque está diseñado para respaldar implementaciones sujetas a los requisitos de privacidad canadienses aplicables, incluida PIPEDA cuando corresponda. El marco también puede incluir legislación provincial y reglas sectoriales específicas: no existe una etiqueta única de “cumplimiento con Canadá” que cubra todos los proyectos. Referencia: Oficina del Comisionado de Privacidad de Canadá.
El propósito, el consentimiento cuando sea necesario, la recopilación limitada, la retención, las salvaguardias y la responsabilidad del proveedor deben considerarse en el contexto de la organización. También requieren atención los flujos de datos a través de fronteras provinciales o nacionales.
ISO/IEC 42001: distinguir la norma de la certificación
ISO/IEC 42001:2023 se refiere al sistema de gestión de inteligencia artificial de una organización. No es una garantía general de que cada uso individual de un producto cumpla con todos los requisitos aplicables. Referencia:ISO.
Hay que verificar cualquier certificación según entidad jurídica, alcance, organismo emisor y validez. El proyecto no contiene pruebas que confirmen una certificación de Digital Employee o ESD ni el estado actual del proceso de un proveedor.
Los controles a acordar para tu proceso
Antes de la producción, el proyecto debe hacer verificables seis elementos: la asignación y sus límites; sistemas y datos autorizados; acciones que requieren aprobación; registros de actividad relevante; manejo de excepciones y condiciones de parada; y responsabilidades y arreglos de revisión. La disponibilidad y el detalle de los controles dependen de la solución y las integraciones acordadas.
Por ejemplo, un Digital Employee podría preparar una comparación entre facturas y órdenes de compra. El proyecto podría requerir que las discrepancias permanezcan abiertas para que la revisión del equipo y la autorización de pago permanezcan separadas. Este es un proceso ilustrativo para evaluar, no una promesa de que estos controles ya estén activos en cada configuración.
Pasar de las declaraciones a la evidencia
Empieza con un proceso específico y pregunte qué datos toca, qué decisiones prepara o ejecuta y qué evidencias permiten verificar el trabajo. Nuestro Seguridad y gobernanza resume el enfoque. las guías para permisos y aprobaciones y evaluación de proveedores ayudarte a preparar las preguntas correctas antes de una demostración.
Esta guía describe nuestro enfoque y los marcos de referencia. No es un asesoramiento legal, una certificación ni una garantía de cumplimiento. La evaluación debe completarse para el caso de uso específico.