Cybersecurity and data protection: what to demand from IT and suppliers to reduce legal risk

La ciberseguridad y la protección de datos son dos aspectos críticos para la continuidad operacional, el cumplimiento normativo y la toma de decisiones.

Cada decisión sobre infraestructura, proveedores, uso de datos o adopción de IA tiene implicancias directas en términos de riesgo legal y reputación.

Los equipos de Data, Seguridad, Arquitectura y Legal enfrentan un desafío común: traducir principios abstractos en exigencias concretas, tanto para los equipos internos de una empresa como hacia terceros. 

No alcanza con cumplir normativas o tener controles; es necesario poder demostrar, auditar y sostener esos controles en el tiempo.

Este enfoque se alinea con una visión integral del data governance, donde la seguridad, la privacidad y el uso responsable de los datos forman parte de un mismo sistema de decisiones. 

De igual modo, cobra especial relevancia en el tratamiento de datos personales, donde el marco regulatorio y las expectativas de los usuarios son cada vez más exigentes.

Qué protege la ciberseguridad y qué exige la protección de datos

En muchas organizaciones, ciberseguridad y protección de datos se gestionan como dominios separados. Sin embargo, en la práctica, sus fronteras son cada vez más difusas y su interdependencia es total:

• The cybersecurity se enfoca en proteger los sistemas frente a accesos indebidos, ataques o fallas. Su objetivo es garantizar que la información esté disponible cuando se necesita, que no sea alterada sin autorización y que no sea expuesta a actores no autorizados. Constituye una capa de defensa sobre la infraestructura y los activos digitales.
• The protección de datos, en cambio, pone el foco en el uso legítimo de la información, especialmente cuando se trata de datos personales. Define qué se puede recolectar, con qué base legal, para qué propósito y bajo qué condiciones. Además, establece derechos para los titulares de los datos y obligaciones para quienes los procesan.

El problema aparece cuando estos dos mundos no están integrados. Una organización puede tener altos estándares de seguridad técnica, pero estar incumpliendo regulaciones por el uso indebido de datos. O tener políticas de privacidad definidas, pero carecer de controles técnicos que las hagan efectivas.

El desafío actual es fortalecer articular ciberseguridad y protección de datos dentro de un modelo de gobierno único, donde cada decisión sobre datos contemple simultáneamente seguridad, cumplimiento y valor de negocio.

Obligaciones ante un incidente: notificación, evidencias y tiempos

Los incidentes de seguridad son una certeza estadística. La diferencia entre organizaciones maduras e inmaduras no está en su capacidad de evitar incidentes, sino en cómo responden cuando ocurren.

Desde el punto de vista legal y operativo, hay tres dimensiones que deben estar definidas antes de que el incidente suceda. En conjunto, estos tres elementos convierten la gestión de incidentes en una capacidad organizacional, no sólo técnica.

1. Notificación

La capacidad de notificar en tiempo y forma es crítica. Las regulaciones suelen establecer ventanas específicas -en muchos casos entre 24 y 72 horas- para informar incidentes que involucren datos personales. 

Implica que la organización debe tener previamente definidos los circuitos de comunicación, los responsables y los criterios para determinar si un incidente es reportable.

No se trata solo de cumplir con un plazo: una notificación tardía o incompleta puede amplificar el impacto legal y reputacional.

2. Evidencias

Sin evidencia, no hay defensa posible. La trazabilidad de lo ocurrido -logs, accesos, cambios y flujos de datos- es lo que permite reconstruir el incidente, entender su alcance y demostrar que se actuó correctamente.

Esto requiere no solo herramientas técnicas, sino también políticas claras de registro, retención y acceso a la información. En entornos complejos, donde intervienen múltiples sistemas y proveedores, la trazabilidad debe ser transversal.

3. Gestión del incidente

La respuesta operativa debe estar orquestada. Esto incluye la contención del incidente, la mitigación de sus efectos, la evaluación del impacto y la documentación de todas las decisiones tomadas.

Además, es clave que exista una coordinación entre áreas: seguridad, IT, legal, comunicación y negocio. Si se carece de un enfoque integrado, las respuestas tienden a ser fragmentadas, lo que incrementa el riesgo.

Consentimiento: cómo gestionarlo y probarlo

El consentimiento es uno de los pilares del tratamiento de datos personales, pero también uno de los más subestimados desde el punto de vista operativo. 

Muchas organizaciones lo abordan como un requisito formal, cuando en realidad es un activo crítico que debe poder auditarse.

Para que el consentimiento sea válido, debe ser libre, específico, informado y verificable. Esto implica que el usuario debe entender claramente qué está aceptando y tener la posibilidad real de elegir.

Desde el punto de vista operativo, esto se traduce en la necesidad de registrar evidencia: 

• Cuándo se otorgó el consentimiento.
• Bajo qué condiciones.
• Con qué versión del texto legal.
• A través de qué canal. 

Se trata de información vital para defender el uso de datos ante una auditoría o un reclamo.

Besides, el consentimiento no es estático. Debe poder revocarse fácilmente, y los sistemas deben ser capaces de reflejar esa cancelación en todos los procesos que utilizan esos datos.

En escenarios de IA, este punto se vuelve aún más complejo. El uso de datos para entrenamiento, ajuste o inferencia requiere que el consentimiento cubra explícitamente esos fines. De lo contrario, la organización puede estar utilizando datos de manera indebida, incluso sin intención.

Proveedores cloud: qué pedir en contratos y SLA

El crecimiento del modelo cloud y de servicios digitales externalizados cambió radicalmente el mapa de riesgos. Hoy, gran parte de la operación y del tratamiento de datos ocurre fuera de la organización, en manos de terceros.

Esto implica que el contrato deja de ser un documento comercial para convertirse en una herramienta de control y gestión del riesgo.

Uno de los aspectos más relevantes es el modelo de responsabilidad compartida. No todos los proveedores cubren lo mismo, y es fundamental entender qué parte de la seguridad recae en el proveedor y cuál en la organización. Esta definición debe ser explícita.

También es clave que los SLA incluyan aspectos de seguridad, no solo de disponibilidad. Tiempos de respuesta ante incidentes, niveles de servicio en la gestión de vulnerabilidades y compromisos de notificación son elementos que deben estar claramente definidos.

La ubicación de los datos y las transferencias internacionales son otro punto crítico, especialmente en contextos regulatorios estrictos. Saber dónde están los datos y bajo qué jurisdicción se procesan es fundamental para evaluar el riesgo.

Finalmente, la cadena de terceros -subprocesadores- debe ser transparente. Cada eslabón adicional introduce un nuevo punto de riesgo que debe ser evaluado y controlado.

IA y datos personales: riesgos y controles mínimos

La adopción acelerada de soluciones de inteligencia artificial introdujo nuevas capas de complejidad en la gestión de datos. 

La velocidad con la que se implementan estas tecnologías muchas veces supera la capacidad de las organizaciones para gobernarlas adecuadamente.

Uno de los principales riesgos es el uso de datos personales sin una base legal clara, especialmente en procesos de entrenamiento o ajuste de modelos. A esto se suma la posibilidad de que información sensible sea expuesta a través de prompts o respuestas generadas.

La falta de trazabilidad es otro desafío. En muchos casos, resulta difícil explicar cómo un modelo llegó a una determinada decisión o qué datos influyeron en ese resultado. Esto no solo es un problema técnico, sino también regulatorio.

Para mitigar estos riesgos, es necesario establecer controles mínimos. Entre ellos: 

• Definir políticas claras sobre el uso de IA con datos personales.
• Asegurar la trazabilidad de datasets, modelos y decisiones.
• Evaluar rigurosamente a los proveedores de tecnología.

También es importante implementar mecanismos de aislamiento que eviten la fuga de datos hacia entornos no controlados, como modelos públicos o APIs externas sin garantías suficientes.

In short, la IA no elimina las obligaciones existentes: las amplifica y las vuelve más exigentes.

Checklist legal-operativa para compras y seguridad (cláusulas y controles mínimos)

Este checklist traduce los principios de seguridad y privacidad en criterios concretos que pueden aplicarse en procesos de compra, contratación y auditoría. Su valor está en convertir conceptos abstractos en requisitos verificables.

1. SLA y responsabilidades explícitas (RACI). Definir quién es responsable de cada aspecto permite evitar zonas grises. Cuando ocurre un incidente, la falta de claridad en los roles suele ser uno de los principales problemas.

2. Ubicación/transferencia internacional de datos definida. Conocer dónde residen y se procesan los datos es clave para evaluar cumplimiento normativo y exposición a riesgos legales.

3. Notificación de incidentes (plazos, canal, evidencias). Establecer estos elementos a nivel contractual asegura que el proveedor actuará en línea con las necesidades regulatorias de la organización.

4. Auditorías / reportes de seguridad (periodicidad). El acceso a reportes y la posibilidad de auditar permiten verificar que los controles no solo existen, sino que funcionan.

5. Cifrado en tránsito y en reposo + gestión de llaves. La protección de los datos debe contemplar todo su ciclo de vida, incluyendo quién controla las claves de cifrado.

6. Subprocesadores y cadena de terceros declarada. La transparencia en la cadena de proveedores es esencial para evitar riesgos ocultos.

7. Retención/borrado y devolución de datos al finalizar contrato. Definir qué ocurre con los datos al finalizar la relación evita problemas futuros y asegura el cumplimiento de políticas de minimización.

8. Controles para uso de IA con datos personales (política + tooling). Incorporar explícitamente el uso de IA dentro de los contratos permite anticipar y gestionar riesgos emergentes.

Próximos pasos

Para muchas organizaciones, el desafío no es entender qué hay que hacer, sino cómo empezar de manera ordenada y con impacto.

Un primer paso efectivo es realizar un assessment que permita identificar brechas entre la situación actual y los estándares requeridos. Esto incluye revisar contratos, evaluar controles existentes y mapear riesgos en la cadena de proveedores.

A partir de ahí, es posible definir un plan de acción con quick wins, por ejemplo, ajustes contractuales o mejoras en la gestión de evidencias, y una hoja de ruta más amplia para fortalecer el gobierno de datos, la seguridad y la privacidad.

Agendá un workshop de seguridad, privacidad y datos con nuestro equipo.