A menudo sí, pero la respuesta depende de cuatro decisiones, no de la marca del modelo: dónde se almacenan los datos, dónde se ejecuta la inferencia, quién actúa como encargado del tratamiento y si los datos personales cruzan una frontera por el camino. Toma esas decisiones para cada flujo de trabajo, déjalas por escrito y confírmalas con tus asesores legales. Esto no constituye asesoramiento jurídico.
#Ideas clave
- El nombre del modelo no determina el cumplimiento; lo determinan el almacenamiento, la inferencia, el encargado y la transferencia.
- El lugar de la inferencia importa tanto como el del almacenamiento, porque cada llamada al modelo trata los datos allí donde se ejecuta el modelo.
- Los modelos que un proveedor ofrece en cada país cambian a menudo, así que pide por escrito la lista de regiones vigente, con fecha.
- Elige primero el alojamiento y después el modelo; de lo contrario, puede que el piloto nunca reciba autorización para pasar a producción.
- Nada de esto es asesoramiento jurídico: tus asesores legales confirman la base jurídica antes de usar datos de clientes.
#¿Qué regulan las leyes de protección de datos de los EAU y de Arabia Saudí?
En los EAU, los datos personales se rigen por el Decreto-ley federal n.º 45 de 2021 sobre la protección de datos personales (portal del Gobierno de los EAU). En Arabia Saudí, la ley de protección de datos personales (PDPL) pasó a ser plenamente exigible el 14 de septiembre de 2024, y SDAIA es el regulador (Clyde & Co, septiembre de 2024).
Ambas leyes regulan cómo se tratan y se trasladan los datos personales. Qué exigen para tu flujo de trabajo concreto y cómo tratan una llamada a un modelo realizada desde otro país son cuestiones para tus asesores legales. Este artículo te ofrece las decisiones que debes llevar a esa conversación. No constituye asesoramiento jurídico, así que confirma cada punto con tus asesores.
#¿Por qué importa el lugar de la inferencia, y no solo el del almacenamiento?
Muchos equipos comprueban dónde está la base de datos y se quedan ahí. Pero cada vez que un flujo de trabajo envía un registro de cliente a un modelo, ese registro se trata allí donde se ejecuta el modelo. Si el almacenamiento está en el país y la inferencia ocurre en otra región, los datos personales han viajado igualmente. Pide al proveedor por escrito la región de inferencia de cada modelo, con la fecha en que la confirmó.
Lo mismo se aplica a los registros, las cachés de instrucciones, las copias de evaluación y el acceso del soporte del proveedor. Cada uno es un lugar donde los datos de clientes pueden quedarse o ser leídos. Inclúyelos en la lista junto a la base de datos principal, no después.
#¿Qué modelos de IA pueden alojarse dentro de los EAU o de Arabia Saudí?
No vamos a nombrar aquí un modelo y un país, porque la disponibilidad por región la fija cada proveedor de nube y de modelos, y cambia con cada nueva versión. Pide al proveedor su lista de regiones vigente para la versión exacta del modelo que piensas usar. Obtenla por escrito, guarda la fecha y vuelve a comprobarla antes de cada nuevo flujo de trabajo.
Las opciones que conviene comparar suelen incluir un modelo ofrecido a través de la región local de un proveedor de nube, un modelo de pesos abiertos ejecutado en una infraestructura que tú controlas y la API propia de un proveedor. Cada una responde de forma distinta a las decisiones siguientes, así que compárelas según esas decisiones y no según las puntuaciones de referencia.
#¿Qué debe dejar por escrito para cada flujo de trabajo?
- Almacenamiento: dónde están los datos de origen, los registros y cualquier copia, y quién puede leerlos.
- Inferencia: la región en la que se ejecuta el modelo para este flujo de trabajo, confirmada por escrito por el proveedor, con fecha.
- Encargado del tratamiento: quién trata los datos en tu nombre, ya sea el proveedor del modelo, el proveedor de nube o ambos, y qué dice el contrato.
- Transferencia internacional: si algún paso envía datos personales fuera del país y qué base jurídica han confirmado tus asesores legales para ello.
- Minimización: qué campos necesita realmente el modelo. Los nombres, identificadores y números de cuenta pueden enmascararse a menudo antes de la llamada.
Tratamos en detalle la cuestión del encargado del tratamiento en quién es el encargado del tratamiento cuando la IA se ejecuta en tu nube. Trata también el texto de los clientes como una entrada no fiable: la inyección de instrucciones es el primer riesgo de la lista OWASP Top 10 para aplicaciones LLM.
We are
Stennir mapea el almacenamiento, la inferencia, el encargado y la transferencia de cada flujo de trabajo, aloja donde lo exijan tus normas y te deja como propietario de las cuentas, los datos y el interruptor de apagado.
We aren't
Stennir no es un despacho de abogados y no emite dictámenes jurídicos. Tus asesores legales confirman la base jurídica antes de que nada funcione con datos de clientes.
#¿Se puede automatizar un flujo de trabajo sin llevar los datos a una nube de EE. UU.?
A menudo, sí, eligiendo el alojamiento antes que el modelo. Empieza por el flujo de trabajo y los datos que toca, elige un despliegue que mantenga el almacenamiento y la inferencia donde lo exijan tus normas, y después elige un modelo disponible allí. Elegir primero el modelo es la forma en que los equipos acaban con un piloto que el departamento jurídico no autoriza para producción.
Los compradores también lo preguntan en árabe: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». El marco es el mismo, y Stennir lo recorre con tu equipo en árabe y en inglés.
#¿Qué debería hacer ahora un responsable de cumplimiento o de operaciones?
Elige un flujo de trabajo que toque datos de clientes y completa las cinco decisiones anteriores. Lleva esa hoja a tus asesores legales. La consultoría de IA incluye la región de alojamiento en el desarrollo que recomienda, y la implementación de IA ejecuta el flujo de trabajo donde lo exijan tus normas. Consulta IA para cumplimiento normativo, haz la evaluación de preparación gratuita o reserva una llamada de 30 minutos.
#Preguntas frecuentes
¿Es legal usar ChatGPT con datos de clientes en Arabia Saudí?
Depende de cómo se traten, almacenen y transfieran los datos, no del nombre del producto. SDAIA es la autoridad encargada de aplicar la PDPL, y tus asesores legales deben confirmar la base jurídica de cada flujo de trabajo. Esto no constituye asesoramiento jurídico. Lleva a tus asesores las decisiones sobre almacenamiento, inferencia, encargado y transferencia para el uso concreto.
¿Dónde se quedan nuestros datos?
Donde tú decidas, flujo de trabajo a flujo de trabajo. Stennir deja por escrito la región de almacenamiento, la región de inferencia y cada lugar donde puede quedar una copia, como registros y cachés. Las cuentas están a nombre de tu empresa, de modo que puedes ver la configuración por ti mismo y modificarla o cerrarla sin pedirnos nada.
¿Qué necesitan de nosotros para empezar?
El flujo de trabajo que tienes en mente, los campos que toca, tus contratos actuales de nube y de proveedores, y un contacto en el departamento jurídico o de cumplimiento. Con eso, la decisión de alojamiento puede tomarse antes de elegir ningún modelo, que es el orden que permite que un piloto llegue después a producción.
¿Qué podría salir mal?
El fallo habitual es comprobar el almacenamiento y pasar por alto la inferencia: la base de datos se queda en el país mientras cada llamada al modelo va a otro lugar. Otros son registros guardados en una región distinta, personal de soporte del proveedor capaz de leer las instrucciones y un proveedor que cambia su lista de regiones después de la firma. Vuelve a comprobar la lista antes de cada nuevo flujo de trabajo.
