Antes de la herramienta, la política de datos: la lección de gobernanza de IA que propone Arochi Lindner

La adopción de inteligencia artificial en los despachos no empieza por elegir la herramienta, sino por decidir qué datos pueden alimentarla y bajo qué reglas. Es la tesis de Gabriela Espinosa, counsel de Privacidad y Protección de Datos de Arochi Lindner, en una entrevista publicada por El Economista el 29 de octubre.

El punto de partida de su diagnóstico es un hecho incómodo: los equipos ya usan IA, con política o sin ella. Las herramientas gratuitas están a un clic, y la práctica común de pegar texto de un asunto en un chat público puede convertirse en una cesión de datos sin control. La respuesta que propone no es prohibir, sino ordenar: una política interna de gobernanza de datos aplicada a la IA.

Tres riesgos que la política debe atacar

La especialista identifica escenarios concretos que una política de gobernanza debe prever:

• Herramientas gratuitas. Las versiones abiertas de los asistentes de IA suelen usar las entradas de los usuarios para entrenar o mejorar los modelos. Pegar un contrato o una estrategia de litigio en una de esas ventanas puede equivaler a entregar información confidencial a un tercero.
• Entrenamiento con datos de usuarios. Incluso en versiones empresariales, la política debe exigir revisar qué dice el contrato del proveedor sobre el uso de los datos cargados: retención, entrenamiento, subprocesadores y jurisdicción.
• Técnicas de disociación. Antes de usar IA sobre un expediente, la recomendación es separar los datos personales del contenido jurídico: nombres, identificadores y datos sensibles se retiran o se sustituyen, de modo que el modelo trabaje sobre el problema y no sobre las personas.

El marco mexicano: sin ley general, pero no sin reglas

Espinosa recuerda que México no tiene una ley general de inteligencia artificial, pero eso no deja el terreno vacío: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la Ley Federal del Trabajo y la Ley Federal de Derechos de Autor ya ponen límites aplicables al uso de IA con datos de clientes, empleados y obras. La guía de marco legal de la IA para abogados en México detalla ese mapa normativo vigente.

Mirando adelante, la especialista anticipa al menos tres iniciativas de ley general de IA en 2027 -desde el Senado, la Cámara de Diputados y el Ejecutivo-, aunque su avance, advierte, dependerá del apetito político. Las propuestas coincidirían, según su lectura, en tres atributos: transparencia en el uso de los sistemas, rendición de cuentas (accountability) de quien los despliega y un enfoque de regulación proporcional al riesgo de cada aplicación.

Qué puede hacer hoy un despacho

Sin esperar a la ley, la ruta práctica que se desprende de la entrevista coincide con lo que recomienda la guía de política interna de uso de IA en el despacho: inventario de herramientas en uso, clasificación de la información que nunca debe salir del control del despacho, reglas claras sobre qué versiones contratadas son aceptables y revisión humana obligatoria de cualquier salida. La guía de confidencialidad de datos de clientes frente a la IA completa el punto con el tratamiento del secreto profesional.

La idea rectora es simple: la gobernanza no frena la adopción, la habilita. Un equipo que sabe qué puede cargar, dónde y con qué revisión usa la IA más rápido que uno que improvisa caso por caso.

El punto de partida realista: el inventario

La entrevista sugiere un primer paso que cualquier despacho puede ejecutar esta semana sin presupuesto: levantar el inventario de lo que ya ocurre. Qué herramientas usa cada persona, con qué tipo de documentos, en qué versión (gratuita o de pago) y con qué frecuencia. Ese diagnóstico, que suele sorprender a la dirección, convierte un riesgo difuso en una lista concreta de decisiones: qué se permite, qué se sustituye y qué se prohíbe. Sin inventario, toda política escrita queda desconectada de la práctica real del equipo.

Preguntas frecuentes

¿Qué es una política de gobernanza de datos para IA?

Es el conjunto de reglas internas que define qué información puede procesarse con herramientas de IA, en qué versiones o proveedores, con qué técnicas de anonimización y bajo qué controles de revisión humana.

¿México tiene una ley de inteligencia artificial?

No una ley general. Aplican normas existentes de protección de datos personales, laborales y de derechos de autor. Especialistas anticipan iniciativas de ley general para 2027, sin calendario confirmado.

¿Se pueden usar herramientas gratuitas de IA con datos de clientes?

Es la práctica de mayor riesgo: esas versiones suelen usar las entradas para mejorar sus modelos. La recomendación es prohibir su uso con información de asuntos y contratar versiones empresariales con garantías contractuales revisadas.

¿Qué es la disociación de datos?

Separar los datos personales del contenido de trabajo antes de usar la IA: retirar o sustituir nombres e identificadores para que el sistema procese el problema jurídico sin exponer a las personas.

Fuentes y límites

Esta nota se basa en la entrevista publicada por El Economista el 29 de octubre de 2026 con Gabriela Espinosa, counsel de Arochi Lindner. Las posiciones citadas son de la entrevistada; las anticipaciones legislativas son estimaciones suyas, no anuncios oficiales. Información, no asesoramiento jurídico.