Política de Inteligencia Artificial

Propósito

Esta política establece el marco de gobernanza con el que Cloud Legion desarrolla, implementa, gestiona y usa la inteligencia artificial (IA), sobre los principios de transparencia, privacidad por diseño, proporcionalidad, seguridad integral y mejora continua. La Alta Dirección promueve una adopción responsable y ética de la IA y facilita los recursos necesarios para gestionarla dentro de nuestros marcos de seguridad y privacidad.

Sus objetivos son:

Transparencia y trazabilidad: procesos claros para comprender cómo funcionan los sistemas de IA y con qué criterios deciden, facilitando auditorías y revisiones.
Confiabilidad y seguridad: minimizar los riesgos y asegurar que los sistemas funcionen según lo previsto, protegiendo los datos y la solidez de los modelos ante ataques o fallos.
Ética y conformidad legal: respetar los derechos de las personas, incluidas la privacidad, la no discriminación y los derechos humanos.
Rendimiento y eficiencia: monitorear y mejorar continuamente el desempeño de los sistemas.
Decisiones basadas en datos: apoyar decisiones informadas y precisas que generen valor.
Innovación y mejora continua: actualizar los sistemas a medida que cambian la tecnología y el mercado.
Responsabilidad social: que el uso de la IA beneficie a la sociedad, promueva la confianza y minimice los impactos negativos.

Alcance y marco de referencia

Aplica a todas las áreas y colaboradores de Cloud Legion que interactúan con tecnologías de IA o participan en el ciclo de vida de los datos que estas usan, incluidos los servicios de consultoría, mantenimiento, operación, soporte e implementación de soluciones tecnológicas, también las basadas en IA, para organizaciones públicas y privadas. Cubre los sistemas de IA que proveemos y usamos durante todo su ciclo de vida, desde el diseño y desarrollo hasta la implementación, el monitoreo y el retiro.

Nuestro Sistema de Gestión de Inteligencia Artificial (AIMS) está certificado bajo la norma ISO/IEC 42001:2023 y se integra con nuestros sistemas de seguridad (ISO/IEC 27001) y privacidad (ISO/IEC 27701). Cumplimos la legislación de cada país en que operamos, en particular la Ley 25.326 en Argentina y la LGPD en Brasil, y tomamos como referencia el Reglamento de Inteligencia Artificial de la Unión Europea (Reglamento UE 2024/1689) cuando corresponde.

Gobernanza

Cloud Legion cuenta con un Comité de Ética y Gobernanza de IA multidisciplinario, integrado por:

Chief AI Officer (CAIO): responsable principal del AIMS y del cumplimiento de esta política.
Chief Information Security Officer (CISO): integra los principios de seguridad y ciberseguridad en los sistemas de IA.
Chief Privacy Officer (CPO): asegura que las actividades de IA cumplan con las normas de privacidad.
Legal: asesora en el cumplimiento regulatorio y ético.
Área de servicios: alinea los servicios de IA con los objetivos estratégicos.

El Comité define los lineamientos estratégicos del uso de IA; evalúa, prioriza y aprueba cada proyecto o servicio de IA antes de su paso a producción; supervisa su cumplimiento ético, normativo y de transparencia; y gestiona sus riesgos. Todo sistema de IA pasa por una evaluación de impacto ético y de riesgos antes de su desarrollo y nuevamente antes de su implementación, que considera los sesgos, la protección de datos, la transparencia y el impacto en las personas. Una auditoría interna anual revisa la seguridad, la privacidad y la efectividad de los sistemas implementados.

Compromiso de la Dirección

La Dirección se compromete a promover las funciones y responsabilidades de seguridad y privacidad en el AIMS, facilitar los recursos necesarios, impulsar la concientización, exigir el cumplimiento de la política y de la legislación, considerar los riesgos éticos y de privacidad en sus decisiones, supervisar la privacidad por diseño y por defecto, promover la explicabilidad de los sistemas y monitorear continuamente sus impactos éticos y de privacidad.

Uso ético

No discriminación: diseñamos y entrenamos los sistemas para evitar sesgos injustos por género, origen étnico, religión, orientación sexual, discapacidad u otras características protegidas, y evaluamos los sesgos regularmente.
Derechos humanos: la IA debe respetar la privacidad, la libertad de expresión y la dignidad de las personas, y no se usa para fines que comprometan su seguridad o libertad.
Privacidad: los datos de entrenamiento siguen el principio de minimización y se gestionan según nuestra Política de Privacidad; se anonimizan y cifran cuando corresponde, y los datos sensibles no se usan sin el consentimiento adecuado.
Usos prohibidos: está prohibido usar la IA para manipular información, para la vigilancia invasiva no consentida o para cualquier fin perjudicial o contrario a nuestros valores.
Supervisión: el Comité supervisa la ética de todos los sistemas, y toda violación o incidente se reporta y gestiona.

Transparencia y supervisión humana

Desarrollamos sistemas explicables cuando su uso lo requiere, de modo que sus resultados puedan entenderse.
Informamos claramente a clientes y colaboradores cuando interactúan con un sistema de IA, qué datos procesa y cómo toma decisiones.
Informamos el uso de datos personales en los sistemas de IA, y los titulares pueden ejercer los derechos que les reconoce la legislación aplicable.
Las decisiones automatizadas que afectan directamente a personas pueden ser revisadas por un ser humano, y nuestros clientes pueden pedir una explicación y la revisión de esas decisiones.
Comunicamos los riesgos y beneficios del uso de la IA a las partes interesadas.

Privacidad y seguridad de los datos

Los sistemas de IA siguen los lineamientos de nuestra Política de Privacidad. Antes de desarrollar o implementar un sistema de IA que use datos personales realizamos una evaluación de impacto en la privacidad. Recolectamos solo los datos necesarios y revisamos anualmente que su uso siga siendo necesario y proporcionado; aplicamos anonimización y, cuando no es posible, seudonimización; ciframos los datos en reposo y en tránsito, controlamos el acceso por roles y aplicamos políticas de retención y eliminación seguras. Ante un incidente de seguridad activamos nuestro plan de respuesta, con notificación oportuna a los afectados y a las autoridades competentes, y contamos con respaldo y recuperación ante desastres.

Gestión de riesgos

Mantenemos un marco específico para identificar, evaluar y mitigar los riesgos de la IA durante todo su ciclo de vida, alineado con la privacidad y la seguridad desde el diseño. Consideramos especialmente los sesgos algorítmicos, las decisiones incorrectas o no explicables, las violaciones de privacidad y el impacto social y ético. Cada riesgo se evalúa por probabilidad e impacto en una matriz de riesgos, y para cada uno definimos planes de mitigación, como controles adicionales, revisiones éticas, técnicas de balanceo de datos y pruebas rigurosas antes de producción.

Desarrollo seguro y validación

Datos: usamos datos relevantes, confiables y revisados para reducir sesgos, con minimización y revisiones periódicas de su calidad y origen.
Entrenamiento: en entornos seguros y monitoreados, con conjuntos separados de entrenamiento, validación y prueba, y técnicas de reducción de sesgos.
Pruebas: de precisión y robustez con datos adversos o imprevistos, medidas con métricas como precisión, sensibilidad, especificidad y tasa de error, y pruebas de seguridad y de penetración de los sistemas que interactúan con el modelo.
Auditoría previa a la implementación: verifica el cumplimiento de los requisitos de seguridad, privacidad y precisión, y de la legislación aplicable.
Implementación y monitoreo: despliegue bajo controles de seguridad y seguimiento continuo con indicadores de desempeño.

Ciberseguridad en IA

Simulamos ataques adversariales durante las pruebas y entrenamos los modelos para resistir entradas maliciosas.
Monitoreamos los sistemas en producción para detectar patrones de entrada sospechosos, con alertas automáticas.
Protegemos la integridad de los datos que alimentan los modelos con cifrado y verificación de integridad.
Restringimos el acceso a modelos y datos con control de acceso por roles y autenticación multifactor en desarrollo y producción, registramos las actividades y revisamos los permisos periódicamente.

Cumplimiento y auditorías

Realizamos auditorías periódicas, internas o externas, del cumplimiento de nuestros sistemas de IA con las leyes y normas aplicables, y revisamos nuestros sistemas y políticas ante cambios normativos. Mantenemos las certificaciones ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 42001 con las auditorías que cada norma requiere.

Capacitación y concientización

Capacitamos de forma continua al personal que desarrolla, opera o supervisa sistemas de IA en desarrollo seguro, gestión de datos, mitigación de riesgos, normativa aplicable y uso ético, y realizamos campañas de concientización para todo el personal, con canales internos para plantear dudas o reportar usos indebidos o sesgos.

Evaluación de impacto social y en derechos humanos

Antes de implementar un sistema de IA evaluamos cómo podría afectar a distintos grupos, incluidos los riesgos de exclusión, discriminación e impacto en el empleo, y analizamos los riesgos para los derechos humanos en los sistemas que afectan a personas. Cuando identificamos riesgos significativos, los mitigamos antes de la implementación, por ejemplo con supervisión humana o mayor transparencia.

Reportes y canales de denuncia

Documentamos y monitoreamos las actividades de desarrollo y operación de los sistemas de IA, incluidos los resultados de auditorías. Los colaboradores cuentan con un canal interno confidencial, gestionado por el Comité de IA, y los clientes y terceros pueden reportar de forma confidencial cualquier problema que consideren que afecta sus derechos o los principios de esta política escribiendo a grc@cloudlegion.com.ar.

Responsabilidad y mejora continua

El Comité de IA supervisa el AIMS y cada área involucrada designa un responsable de su cumplimiento. Las fallas detectadas dan lugar a acciones correctivas. Esta política se revisa al menos una vez al año, o antes ante riesgos emergentes o cambios normativos, con la participación de seguridad, privacidad, legal y desarrollo, y sus cambios se comunican a colaboradores, proveedores y socios. Promovemos la innovación responsable: toda nueva solución de IA pasa por una revisión ética antes de su adopción.