Los laboratorios de IA hacen una promesa clara a sus clientes corporativos: tus datos no se usarán para entrenar el modelo. Las políticas de OpenAI y Anthropic dicen eso.
Pero un episodio reciente mostró que la promesa no basta por sí sola. El problema no surgió en el entrenamiento sino en cuánto tiempo se guardan los registros.
Qué pasó
Anthropic anunció que guardaría durante 30 días los registros de uso de su modelo insignia, Fable. Eso no significaba usarlos para entrenar; solo conservarlos un tiempo.
Aun así, Palantir, Nvidia y Booz Allen Hamilton retrocedieron en el uso del modelo para trabajos sensibles. La política no había cambiado; había cambiado el periodo de retención, y con eso bastó.
Por qué la reacción fue tan fuerte
Lo que comparten esas tres empresas es la naturaleza de su trabajo. En defensa, inteligencia e infraestructura crítica, que una petición permanezca 30 días en algún sitio crea un problema contractual.
| Pregunta | Lo que responde la política | Lo que pregunta el cliente |
|---|---|---|
| ¿Se usan los datos para entrenar? | No | — |
| ¿Se retienen los datos? | 30 días | Dónde y quién puede acceder |
| ¿Hay garantía de borrado? | Al terminar el plazo | ¿Se puede auditar? |
La columna derecha muestra el asunto real. La pregunta que hace un cliente corporativo no es "¿entrenáis con ello?" sino "¿dónde están los datos y quién me lo verifica?".
La velocidad de la reacción también llama la atención. El repliegue llegó en días y no en semanas tras el anuncio, lo que indica que los procesos internos de evaluación de esas empresas ya estaban preparados sobre esta cuestión.
Política y confianza no son lo mismo
Las políticas de privacidad de las empresas de IA se han endurecido mucho en los últimos dos años. El problema de confianza sigue ahí, porque una política es una declaración y la confianza es una cuestión de verificación.
Con un proveedor de nube esa distinción se institucionalizó con los años: informes de auditoría independientes, elección de región, claves de cifrado en poder del cliente. Sus equivalentes del lado de los modelos aún no se han asentado.
El argumento para guardar registros
También hay una razón sensata del lado del proveedor. Detectar abusos, depurar errores e investigar incidentes de seguridad exigen conservar registros un tiempo.
Así que no hay respuesta fácil: la retención cero vuelve imposible detectar abusos. Los datos en que se apoyan los informes de amenazas publicados este mes son precisamente esos registros.
Esa tensión se hará más visible con el tiempo. Los proveedores quieren guardar más registros para detectar abusos mientras el cliente corporativo pide menos, y ambas cosas se encuentran en el mismo contrato.
Qué significa para un comprador regulado
La lección aquí tiene que ver con cómo se leen los contratos. La frase "tus datos no se usan para entrenar" no dice nada sobre plazo de retención, lugar de almacenamiento ni permisos de acceso.
Para una organización que lo evalúe bajo normas de protección de datos, tres preguntas son claras: en qué país se guardan los registros, cuántos días y quién puede acceder en ese plazo. Si las respuestas no están escritas en el contrato, la política por sí sola no cuenta como garantía.