Propiedad intelectual, procedencia y titularidad de los resultados
¿De quién es lo que entra y lo que sale?
Baseline: 3Enhanced: 2Advanced: 27 controles
A quién se aplica
Se entra en cada sistema de IA. Algunos de sus controles solo aplican si entrenáis o adaptáis el modelo (B1). Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Resuelve de quién es qué antes de que exista la primera salida valiosa, porque la IA crea dos exposiciones de propiedad intelectual que el software corriente nunca tuvo, una a la entrada y otra a la salida. A la entrada, los modelos y las colecciones de documentos que consultan se construyen con material cuya licencia y cuyo origen a menudo se desconocen; cualquier riesgo jurídico que arrastre ese material fluye en silencio hacia cada respuesta construida sobre él, y los tribunales de varias jurisdicciones siguen dirimiendo si entrenar con material protegido es lícito siquiera. No dejes que tu organización se convierta en el caso de prueba por accidente. A la salida, la titularidad de lo que la IA genera para ti —código, texto, diseños, mejoras— muy a menudo no está definida en ninguna parte: ni en tu política ni en las condiciones del proveedor. El silencio sobre la titularidad es la peor posición posible en una disputa posterior, y es la posición por defecto de casi todo el que adopta IA.
Qué hacer
Sigue el origen y la licencia de todo lo que ingiere el modelo, incluidos los documentos que consulta para responder. Con licenciar el modelo no basta. Los conjuntos de datos usados para entrenarlo o adaptarlo, y las colecciones de documentos de las que beben tus sistemas al generar respuestas, llevan cada uno su propia licencia y su propia situación de derechos de autor, y una fuente que no tenías derecho a usar contamina toda salida construida sobre ella. Registra, para cada fuente: de dónde vino, qué permite su licencia y quién aprobó su uso. Conecta estos registros con la lista de componentes del área de inventario, para que, cuando más adelante se descubra que un conjunto de datos o una fuente son ilícitos o se han retirado, la pregunta «¿a cuáles de nuestros sistemas afecta?» tenga una respuesta que se mide en horas.
Define de quién son las salidas antes de que tu gente genere nada de valor. Declara, en tu propia política y en cada contrato con un proveedor, de quién es el código, el contenido y las mejoras que la IA genera para ti, y en qué condiciones puedes usarlos, modificarlos y redistribuirlos. No des por hecho que la respuesta te favorece: las condiciones de los proveedores difieren, y algunas jurisdicciones no conceden titularidad alguna sobre la obra generada por una máquina. El momento de resolverlo es antes de que exista la primera salida valiosa; después estarás negociando sobre algo que ya importa.
Mantén tus secretos fuera de los modelos de otros. Una persona que pega código propio, cifras sin publicar o un contrato confidencial en una herramienta de IA externa puede estar entregando ese material a otra empresa, posiblemente para siempre, si el proveedor entrena con lo que recibe. Trátalo como una fuga de propiedad intelectual, no como un desliz menor en el manejo de datos: prohíbelo en la política para las herramientas no aprobadas, proporciona herramientas aprobadas cuyos contratos impidan entrenar con tus datos (la cláusula que aseguraste en el área de aprovisionamiento) y respalda la regla con los controles técnicos que cazan el material confidencial cuando va de salida.
Revisa las salidas valiosas en busca de material copiado antes de entregarlas. Los sistemas de IA reproducen a veces, de forma literal o casi, material licenciado o protegido con el que se toparon durante el entrenamiento. Allí donde la salida alimenta tus productos —código que se entrega, texto que se publica, diseños que se venden—, revísala en busca de material reproducido en vez de dar por supuesta su originalidad. La revisión es barata; descubrir la reproducción en una demanda por infracción de un competidor no lo es.
Convierte la prohibición en una matriz de una página. Cruza las clases de información que ya manejas —pública, interna, confidencial, datos personales— con las herramientas de IA que permites, y declara para cada par si la herramienta puede usarse, puede usarse con condiciones o no puede usarse. Publicada junto a la política de uso aceptable, responde a la pregunta que la plantilla se hace de verdad: ¿puedo pegar esto aquí?
Controles
Baseline3 controles
Control 61
Registra el origen, la licencia y la base jurídica de cada conjunto de datos con el que entrenes o afines.
BaselinePreventivodesarrollador (developer)por sistema
Qué es
Antes del entrenamiento, no después; un conjunto de datos sin origen registrado no se usa.
Cómo implantarlo · Contenido mínimo
Nombre del conjunto de datos, versión y descripción del contenido
Origen: quién lo creó, dónde y cuándo se obtuvo
Licencia y lo que permite (uso comercial, modificación, entrenamiento)
Si contiene datos personales y la base jurídica para usarlos
Quién lo aprobó y cuándo
Sistemas y versiones de modelo entrenados con él
Regla: un conjunto de datos sin registro completo no se usa para entrenar
Cómo arrancar
Antes del próximo entrenamiento o ajuste fino, completa el registro de cada conjunto de datos y no lo lances hasta que esté completo.
Evidencia
Los registros de los conjuntos de datos, fechados antes de los entrenamientos que los usaron.
Modo: ligero / estándar / completo
ligero
El desarrollador lleva un registro por conjunto de datos en una hoja de cálculo junto al proyecto.
estándar
El responsable de datos o ingeniería aprueba cada registro y lo guarda con la lista de componentes.
completo
Una función de gobierno del dato mantiene un catálogo y el proceso de entrenamiento rechaza conjuntos no registrados.
Control 62
Adopta una política de titularidad y licencias de los resultados para el trabajo generado por IA.
BaselinePreventivotodos los rolespor sistema
Qué es
Abarca qué puede generar tu personal, a quién pertenece y en qué condiciones puede usarse, antes del primer resultado valioso.
Cómo implantarlo · Estructura mínima
Alcance: código, textos, imágenes, diseños y análisis generados con IA por el personal y los colaboradores externos
Propiedad: el trabajo generado para la organización le pertenece, en la medida en que lo permitan los contratos laborales y de colaboración
Qué puede generarse libremente y qué requiere aprobación, p. ej. contenido publicado o código que se entrega
Condiciones del proveedor: qué dicen las de cada herramienta aprobada sobre propiedad de resultados y restricciones de uso
Donde la propiedad del trabajo generado por máquina pueda no reconocerse, registra la aportación humana en los resultados valiosos
Responsable de la política; revisión cuando cambien las herramientas aprobadas
Cómo arrancar
Lee las condiciones sobre resultados de cada herramienta de IA aprobada y redacta una política de una página que indique quién es dueño de qué y las restricciones.
Evidencia
La política aprobada y las condiciones del proveedor en que se basó.
Modo: ligero / estándar / completo
ligero
La gerencia la redacta, con una revisión puntual de un asesor externo si se venden los resultados.
estándar
El área jurídica la redacta con el responsable de IA y la aprueba el comité.
completo
El área jurídica la mantiene con especialistas en propiedad intelectual.
Control 63
Prohíbe introducir material confidencial o propietario en herramientas de IA no aprobadas y ofrece alternativas aprobadas.
BaselinePreventivotodos los rolespor sistema
Qué es
La norma y la alternativa llegan juntas, o la norma se ignora.
Cómo implantarlo · Estructura mínima
Regla en la política de uso aceptable: nada de material confidencial, reservado o personal en herramientas de IA no aprobadas
Matriz de una página: clases de información (pública, interna, confidencial, datos personales) frente a herramientas permitidas: se puede, con condiciones, no se puede
Al menos una alternativa aprobada, cuyo contrato excluya entrenar con tus datos, disponible antes de que la regla entre en vigor
Comunicada junto con la guía de uso seguro y con acuse de recibo del personal
Respaldada por los controles técnicos que detectan material confidencial al salir, donde existan
Cómo arrancar
Publica la matriz junto con el acceso a al menos una herramienta aprobada y después anuncia la regla.
Evidencia
La regla, la matriz, la lista de herramientas aprobadas y los acuses de recibo del personal.
Modo: ligero / estándar / completo
ligero
La gerencia aprueba una herramienta de IA empresarial, envía la matriz por correo y recoge los acuses de recibo.
estándar
Informática facilita las herramientas aprobadas y el responsable de la política publica la matriz en la intranet.
completo
La matriz se vincula al esquema de clasificación de la información y se aplica con prevención de fuga de datos en todos los canales.
Enhanced2 controles
Control 64
Sigue el origen y la licencia de cada fuente de entrenamiento y de cada colección consultada.
EnhancedPreventivotodos los rolespor sistema
Qué es
Vinculado a la lista de materiales, para poder responder a las preguntas sobre contaminación.
Cómo implantarlo · Contenido mínimo
Nombre de la fuente, versión y tipo: conjunto de entrenamiento, conjunto de adaptación o colección documental consultada al responder
Origen y fecha de obtención
Licencia o situación de derechos de autor y usos permitidos
Quién la aprobó y cuándo
Sistemas que la usan, vinculados a su lista de componentes
Estado: activa, retirada o en litigio, con fecha
Prueba: desde cualquier fuente, obtener en horas los sistemas afectados
Cómo arrancar
Amplía la lista de componentes de cada sistema para que recoja sus fuentes, empezando por las colecciones documentales que consultan tus asistentes.
Evidencia
El registro de fuentes vinculado a las listas de componentes y una consulta de prueba con los sistemas afectados por una fuente.
Modo: ligero / estándar / completo
ligero
Una persona designada mantiene una pestaña de fuentes en la hoja de inventario, vinculada por nombre de sistema.
estándar
El responsable de ingeniería lleva el registro con la lista de componentes y aprueba las fuentes nuevas.
completo
Un catálogo de datos sigue fuentes y trazabilidad de forma automática y responde a consultas de sistemas afectados.
Control 65
Fija la titularidad de los resultados en cada contrato con proveedores.
EnhancedPreventivotodos los rolespor sistema
Qué es
Son tus condiciones, no los valores por defecto del proveedor, las que deciden a quién pertenece lo que el servicio produce para ti.
Cómo implantarlo · Estructura mínima
Propiedad de los resultados asignada a la organización, o una licencia clara que cubra todos los usos previstos
Tus derechos a usar, modificar, redistribuir y explotar comercialmente los resultados
Derechos del proveedor: ninguna reutilización de tus resultados más allá de prestar el servicio
Apoyo o indemnización si un resultado infringe derechos de terceros, si es negociable
Tus condiciones prevalecen sobre las condiciones estándar del proveedor
Cómo arrancar
Revisa los contratos de IA vigentes en busca de una cláusula de propiedad, lista los que se apoyan en las condiciones por defecto del proveedor y corrígelos en la renovación.
Evidencia
La cláusula de propiedad en cada contrato con proveedores de IA y la lista de contratos aún pendientes.
Modo: ligero / estándar / completo
ligero
Elige proveedores cuyas condiciones empresariales ya asignen los resultados al cliente y archiva esa página.
estándar
Compras y el área jurídica insertan una cláusula tipo de propiedad en todo contrato de IA.
completo
El área jurídica la exige como mínimo obligatorio y las desviaciones las aprueba riesgos.
Advanced2 controles
Control 66
Revisa los resultados destinados a productos para detectar material reproducido.
AdvancedPreventivotodos los rolespor sistema
Qué es
Se aplica siempre que se incluya trabajo generado por IA en tus productos o publicaciones.
Cómo implantarlo · Reglas mínimas
Alcance: código generado con IA que se entrega, textos que se publican, imágenes y diseños que se venden
Código: activa el filtro del asistente de programación contra coincidencias con código público; analiza las versiones y comprueba la licencia de cada coincidencia
Textos: haz una comprobación de similitud con fuentes publicadas antes de publicar
Imágenes y diseños: haz una búsqueda inversa de imágenes para detectar coincidencias cercanas
Ante una coincidencia: reescribe, licencia y atribuye, o retira; registra la decisión
Registra qué se revisó, cómo y el resultado
Cómo arrancar
Activa el filtro de coincidencias con código público en los asistentes de programación y añade una comprobación de similitud a la lista de verificación de publicación.
Evidencia
Los registros de revisión de los resultados entregados y las decisiones tomadas ante cada coincidencia.
Modo: ligero / estándar / completo
ligero
El autor hace una comprobación de similitud gratuita antes de publicar y anota el resultado en la lista de verificación.
estándar
Ingeniería y comunicación integran la revisión en la revisión de código y en la aprobación editorial.
completo
Análisis automático en el proceso de compilación y en el flujo de publicación, con las coincidencias derivadas al área jurídica.
Control 67
Publica un resumen del contenido de entrenamiento y una política de cumplimiento de los derechos de autor cuando proporciones un modelo de uso general.
AdvancedPreventivodesarrollador (developer)toda la organización
Qué es
Lo que necesitan saber sobre lo que se incorporó a tu modelo quienes construyen sobre él y aquellos con cuyas obras se entrenó.
Cómo implantarlo · Estructura mínima
Aplicabilidad: solo si pones un modelo de uso general a disposición de terceros
Resumen: principales fuentes por categoría (web pública, con licencia, de usuarios, sintéticas), principales conjuntos de datos, periodo cubierto, idiomas
Práctica de recopilación: cómo se obtuvo el contenido y cómo se respetaron las exclusiones legibles por máquina de los titulares de derechos
Política de derechos de autor: cómo se detectan y respetan las reservas de derechos, cómo se trata el contenido con licencia y contacto para reclamaciones
Publicados en tu web y actualizados con cada nueva versión del modelo
Cómo arrancar
Confirma si proporcionas a terceros un modelo de uso general; si es así, reúne la lista de fuentes a partir de tus registros de conjuntos de datos y redacta el resumen.
Evidencia
El resumen y la política publicados, fechados y vinculados a las versiones de modelo que cubren.
Modo: ligero / estándar / completo
ligero
Un proveedor pequeño redacta ambos documentos desde sus registros de datos, con una revisión puntual de un asesor externo.
estándar
El equipo del modelo los redacta y el área jurídica los aprueba antes de cada versión.
completo
El área jurídica y la función de gobierno del dato los mantienen como entregables de cada versión, generados desde el catálogo de datos.
Evidencia
El registro de procedencia de cada conjunto de datos de entrenamiento; la política de titularidad; el registro de origen y licencia; las cláusulas contractuales con el proveedor sobre titularidad y entrenamiento; los registros de revisión de las salidas que se entregan; la regla de confidencialidad y la evidencia de que se hace cumplir. El resumen publicado del contenido de entrenamiento y la política de derechos de autor, cuando proceda.