Expediente de transferencias internacionales de datos para servicios de IA

Cómo usar este documento

• Sirve para documentar, servicio por servicio, los envíos de datos personales a proveedores de IA situados o que operan desde otros países: qué datos salen, hacia dónde, con qué mecanismo, con qué evaluación del país de destino y con qué medidas adicionales.
• Dueños sugeridos: el delegado de protección de datos (DPO) o la función de privacidad, con legal para los contratos y compras para la relación con el proveedor. TI y seguridad aportan la información técnica de cada flujo.
• Antes de adoptarlo, la organización debe decidir qué servicios de IA se pueden usar con datos personales, quién aprueba una transferencia nueva y qué nivel de riesgo residual impide usar un servicio.
• Abra un expediente por proveedor de IA (o por servicio, si un proveedor ofrece varios con condiciones distintas). Complete las partes A a G en orden: el mapa de flujos alimenta todo lo demás.
• Use el anexo del proveedor (parte E) como cuestionario antes de contratar y archívelo con sus respuestas.
• Conserve solo las variantes de los países desde los que salen los datos. Si los datos salen de varios países, aplican varias variantes a la vez.
• Los campos [COMPLETAR] con indicación "confirmar con su asesor" señalan puntos que conviene verificar, como listas de países adecuados, modelos de cláusulas aprobados, registros ante la autoridad y plazos de transición.
• Pida a legal interno o a un asesor externo que revise el mecanismo elegido y la evaluación del país de destino antes de la primera transferencia.
• Apruebe cada expediente con la firma de la persona con autoridad sobre el servicio, consérvelo con control de versiones y vincúlelo al registro de actividades de tratamiento.

Expediente de transferencias internacionales de datos para servicios de IA

Campo	Contenido
Organización exportadora	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Proveedor de IA importador	[PROVEEDOR]
Servicio o sistema de IA	[SISTEMA DE IA]
País o países de origen de los datos	[PAÍS]
Dueño del expediente	[RESPONSABLE]
Área	[ÁREA RESPONSABLE]
Referencia en el registro de actividades	[COMPLETAR]
Versión y fecha	[COMPLETAR] / [FECHA]
Estado	Borrador / En revisión / Aprobado / Suspendido
Contacto de privacidad	[EMAIL DE PRIVACIDAD]

1. Objeto y alcance

1.1. [NOMBRE DE LA ORGANIZACIÓN] mantiene este expediente para documentar que cada envío de datos personales a un proveedor de servicios de IA fuera del país de origen cuenta con un mecanismo válido, una evaluación del riesgo en el país de destino y medidas proporcionadas.

1.2. A efectos de este expediente se considera que hay envío internacional, entre otros casos, cuando:

• el personal introduce datos personales en un asistente, chatbot o API de IA cuyo procesamiento se realiza en otro país;
• se suben documentos, grabaciones o conjuntos de datos a un servicio de IA alojado fuera;
• el proveedor conserva fuera instrucciones (prompts), respuestas, registros o telemetría que contienen datos personales;
• personal del proveedor o de sus subencargados accede en remoto desde otro país, por ejemplo para soporte o revisión de abusos;
• se envían datos para entrenar, ajustar o evaluar un modelo en infraestructura extranjera.

1.3. No se incluyen los datos que, antes de salir, se han anonimizado de forma que las personas ya no son identificables por medios razonables. La anonimización se documenta en la parte D.

1.4. Este expediente complementa, y no sustituye, el acuerdo de tratamiento de datos (DPA) con el proveedor, la diligencia debida del proveedor y la evaluación de impacto en protección de datos cuando sea necesaria.

2. Definiciones

• Exportador: la entidad que envía los datos o permite su acceso desde otro país. En este expediente, [RAZÓN SOCIAL].
• Importador: la entidad que recibe los datos o accede a ellos, normalmente el proveedor de IA o su subencargado.
• Transferencia: comunicación de datos a un tercero en otro país que decide sobre ellos. Algunas normas la distinguen de la comunicación a un encargado que trata por cuenta del exportador (por ejemplo, el envío a una persona encargada en México o la "transmisión" en Colombia).
• Mecanismo de transferencia: el fundamento que habilita el envío internacional: país con nivel adecuado, cláusulas contractuales tipo o modelo, normas corporativas vinculantes, certificación, autorización de la autoridad, consentimiento o excepción legal.
• Evaluación de impacto de la transferencia: análisis de si la legislación y las prácticas del país de destino permiten que las garantías elegidas funcionen en la práctica.
• Medidas complementarias: medidas técnicas, contractuales u organizativas que se añaden al mecanismo para cubrir los riesgos detectados.