La inteligencia artificial está transformando la gestión documental y el compliance laboral a una velocidad notable. Pero cuando los datos que se procesan son de empleados —CURP, DNI, salario, diagnósticos médicos, situación familiar— surge una pregunta que muchos equipos de RRHH y legal todavía no han respondido formalmente: ¿a dónde van esos datos cuando los procesamos con IA?
La respuesta importa. No solo desde el punto de vista ético, sino desde el regulatorio y el de responsabilidad empresarial.
Cuando un equipo de RRHH sube un contrato de trabajo a un modelo de IA público para que lo analice o resuma, ese documento —con nombre, salario y condiciones del trabajador— puede quedar como parte del historial de entrenamiento del modelo. Dependiendo del país y la norma aplicable, esto puede constituir una transferencia de datos personales no autorizada.
Qué datos laborales son considerados sensibles en LATAM
Las leyes de protección de datos de los principales mercados de Rokisoft categorizan ciertos datos laborales como "datos sensibles" o "datos de categoría especial", que requieren mayor protección y consentimiento explícito para su tratamiento:
| Tipo de dato | Mexico (LFPDPPP) | Argentina (Ley 25.326) | Peru (Ley 29733) | Colombia (Ley 1581) |
|---|---|---|---|---|
| Estado de salud / incapacidades | Sensible | Sensible | Sensible | Sensible |
| Origen etnico / racial | Sensible | Sensible | Sensible | Sensible |
| Creencias religiosas | Sensible | Sensible | Sensible | Sensible |
| Filiación sindical | Sensible | Sensible | Sensible | Sensible |
| Salario y datos financieros | Confidencial | Confidencial | Confidencial | Semiprivado |
| Datos biométricos (huella, foto) | Sensible | Sensible | Sensible | Sensible |
| CURP / DNI / CUIL | Personal | Personal | Personal | Personal |
El riesgo real de usar IA pública con datos de empleados
No todos los modelos de IA de terceros son iguales en sus políticas de privacidad. Algunos ofrecen acuerdos de procesamiento de datos (DPA) que garantizan que el contenido enviado no se usa para entrenamiento. Pero incluso en esos casos, los datos salen de la infraestructura del cliente y pasan por la del proveedor de IA, lo que puede violar:
- Las políticas internas de seguridad de la información de empresas con certificación ISO 27001.
- Los contratos de confidencialidad firmados con los empleados.
- Las obligaciones de localización de datos en algunas regulaciones sectoriales (banca, salud, gobierno).
- Los requerimientos de auditoría que exigen saber exactamente qué sistemas accedieron a qué datos.
Un asistente de RRHH pega en una herramienta de IA pública el texto completo de 50 contratos de trabajo para que "los clasifique y resuma". Esos contratos contienen nombres, salarios, cláusulas de confidencialidad y datos de contacto. La empresa no tiene un DPA con ese proveedor de IA. Resultado: potencial incumplimiento de LFPDPPP/Ley 1581 y posible responsabilidad ante los trabajadores.
¿Qué es la IA privada y cómo funciona en compliance?
La IA privada (también llamada IA local o on-premise) es aquella donde el modelo de lenguaje o el sistema de análisis se ejecuta dentro de la infraestructura controlada del proveedor de software o del cliente. Los datos nunca salen de ese entorno.
En el contexto del compliance laboral, esto significa que el sistema puede:
- Leer un contrato escaneado y extraer los campos clave (nombre, fecha, tipo de contrato, vigencia).
- Verificar si el documento cumple los elementos obligatorios según la norma del país.
- Generar una alerta si el vencimiento de un contrato modal está a 30 días.
- Producir un resumen de compliance del expediente completo del trabajador.
Todo esto sin que un byte de datos personales salga del servidor del proveedor hacia un tercero.
Casos de uso de IA en compliance laboral con datos seguros
Clasificación automática de documentos
El sistema identifica si un archivo subido es un contrato, una boleta, un certificado médico o una carta de cese, y lo archiva en la carpeta correcta del expediente.
Extracción de campos clave
OCR inteligente que extrae nombre, DNI/CURP, fecha de inicio, tipo de contrato y monto de documentos escaneados, eliminando la carga manual de registro.
Alertas inteligentes de vencimiento
Detecta contratos modales próximos a vencer, NOM-035 sin evaluación vigente, o períodos de vacaciones no registrados y alerta al responsable de RRHH.
Análisis de brechas de compliance
Revisa el expediente de cada trabajador y genera un mapa de documentos faltantes o desactualizados, priorizado por riesgo regulatorio.
Generación de reportes de auditoría
Produce automáticamente el paquete de documentos para responder un requerimiento de SUNAFIL, UGPP o STPS, con índice y tabla de contenidos.
Monitoreo de cambios normativos
Analiza el diario oficial de cada país y alerta cuando se publican cambios normativos que impactan los procesos de compliance configurados en la plataforma.
ISO 27001 e IA: el marco de control para datos laborales
La certificación ISO/IEC 27001:2022 incluye controles específicos sobre el tratamiento de datos en sistemas de IA y en servicios en la nube (Anexo A, controles 5.23 y 8.25 de la versión 2022). Para que una plataforma con IA cumpla esos controles, debe poder demostrar:
- Inventario de activos de información: qué datos procesan los modelos de IA, cómo se etiquetan y quién tiene acceso.
- Evaluación de riesgos de IA: análisis de los riesgos específicos del uso de IA sobre datos personales sensibles.
- Gestión de proveedores de IA: si se usa IA de terceros, debe haber un contrato de tratamiento de datos y auditorías de seguridad del proveedor.
- Logs de acceso del modelo: registro de qué documentos fueron procesados por el sistema de IA, cuándo y con qué resultado.
Rokisoft desarrolló e implementó sus propios modelos de IA para el procesamiento de documentos laborales. Los modelos corren en infraestructura propia, dentro del alcance de la certificación ISO/IEC 27001:2022. Ningún dato de empleado sale de los servidores del cliente para ser procesado por modelos de terceros.
Preguntas que debe hacerle a cualquier proveedor de IA para RRHH
Antes de adoptar cualquier herramienta que procese datos de empleados con IA, el equipo de legal, compliance y TI debe validar:
- ¿Los datos enviados al modelo de IA quedan fuera de mi infraestructura? ¿En qué país se alojan?
- ¿El proveedor tiene un DPA (Data Processing Agreement) firmable que cumpla con la ley de protección de datos de mi país?
- ¿El proveedor usa los datos de mis empleados para entrenar o mejorar sus modelos de IA?
- ¿Tiene el proveedor alguna certificación de seguridad (ISO 27001, SOC 2) que incluya el sistema de IA?
- ¿Puede el proveedor demostrar qué modelo procesó qué documento, con logs auditables?
- ¿Qué sucede con los datos si cancelo el servicio? ¿Se eliminan de forma certificada?
Preguntas frecuentes
IA en compliance laboral sin comprometer la privacidad de sus empleados
Rokisoft incluye módulos de IA local para clasificación documental, alertas inteligentes y análisis de compliance. Certificado ISO 27001 en México, Argentina y Perú.
Solicitar demostración