La protección de datos en fotos con IA no es un tema menor para las empresas

Hay un tipo de datos que uno no puede simplemente restablecer. Una contraseña se puede cambiar, una tarjeta de crédito bloquear, una dirección trasladar. Un rostro no. Es el único rasgo biométrico que ustedes llevan consigo toda la vida, y precisamente eso lo convierte en uno de los datos más delicados que existen. Cuando las empresas empiezan a generar retratos profesionales con IA a partir de los selfies de sus empleados, no están moviendo una imagen cualquiera por la red. Están moviendo un original biométrico.

Aun así, muchos tratan el tema como si se tratara de un logotipo corporativo. Uno sube algo rápidamente, va clicando por una herramienta y se alegra del resultado. El reflejo es comprensible, porque el resultado parece muy inofensivo. Pero el camino hasta allí no siempre lo es. Entre el selfie en el móvil y el retrato terminado en la web suele mediar un viaje por centros de datos ajenos, y en ese viaje se decide si ustedes conservan el control o lo ceden en silencio.

Un rostro es un dato especial

Aquí el derecho establece una distinción clara, y no es una sutileza jurídica, sino sentido común en forma de artículo de ley. Los datos biométricos gozan de una protección reforzada porque identifican a una persona de manera inequívoca y permanente. Un rostro se puede cotejar con otras bases de datos, seguir a lo largo de los años, colocar en contextos que ya nada tienen que ver con el fin original. Justo por eso no basta con tratar una foto como un archivo cualquiera.

Imaginen que una empleada les entrega su selfie para un retrato corporativo. Con ello les confía algo más personal que su número de teléfono. Si ese selfie pasa por un servicio cuyas condiciones nadie ha leído, puede ocurrir que su rostro acabe en algún sitio como material de entrenamiento o se conserve por tiempo indefinido. Ella dio su consentimiento para un retrato. No para pasar a formar parte de un modelo que algún día moldeará rostros ajenos.

El camino invisible por servidores ajenos

El verdadero riesgo rara vez está en el resultado visible, sino en el transporte invisible. Una imagen que ustedes suben desaparece por un instante de su vista. A dónde va. Quién la procesa. Cuánto tiempo se queda. Se elimina una vez hecho el trabajo o va a parar a un archivo al que ustedes ya no tienen acceso. Estas preguntas suenan técnicas, pero son el núcleo del asunto, porque la protección de datos es siempre una cuestión de quién puede hacer qué con sus datos y cuándo.

Un ejemplo cotidiano lo hace tangible. Ustedes no dejarían el expediente de personal de su equipo abierto sobre una fotocopiadora ajena confiando en que nadie se lo lleve. Con las imágenes ocurre justo eso, y con sorprendente frecuencia. Uno las sube a cualquier parte porque resulta cómodo y confía en que el proveedor ya lo hará bien. La comodidad es aquí el consejero más silencioso y más caro, porque lo que una vez queda en un servidor ajeno escapa a su disposición.

Por qué todo esto es asunto de la dirección

Existe la tendencia a delegar la protección de datos en el departamento de informática o en una sola área especializada. Con las fotos de los empleados, eso es un error. Porque aquí no se trata solo de técnica, sino de confianza entre personas. Si un empleado se entera de que su rostro circuló por canales dudosos sin un acuerdo claro, eso daña la relación con la empresa. Y ese daño no se repara con ningún retrato bonito.

Responsabilidad significa aquí pensar antes de la primera subida, y no después. Quién ostenta la soberanía sobre los datos. Qué consentimiento han obtenido realmente, y para qué exactamente. Qué pasa cuando alguien abandona la empresa y quiere que su imagen desaparezca de todos los sistemas. Una empresa que responde con claridad a estas preguntas transmite seguridad hacia dentro y hacia fuera. Una que las ignora se sienta sobre un riesgo que permanece callado mucho tiempo y luego se vuelve ruidoso.

En qué deben fijarse en concreto

La palanca más importante es la pregunta por el destino de las imágenes. Una vía seria se distingue porque los originales solo se procesan el tiempo necesario para el resultado y después desaparecen. Ustedes deberían poder saber si sus imágenes se usan como datos de entrenamiento, y deberían poder oponerse a ello. Un proveedor que no da una respuesta clara al respecto ya les está dando, con eso, una respuesta.

Igual de importante es la posibilidad de eliminación. Un buen sistema permite retirar un rostro por completo, de forma limpia y verificable. Esto suena evidente, pero no lo es, porque muchos servicios están diseñados para conservar datos, no para devolverlos. Comprueben, por tanto, no solo con qué facilidad suben algo, sino con qué facilidad vuelven a deshacerse de ello. El camino de vuelta revela más sobre un proveedor que el de ida.

Al final queda una actitud sencilla. Traten el rostro de su gente con el mismo respeto que sus datos de salud o su salario. Hoy existen vías modernas, sin estudio, para convertir selfies en retratos coherentes sin ceder por ello la soberanía sobre los datos, y precisamente vale la pena buscar esas vías. Quien va por delante en protección de datos no vende miedo. Muestra madurez, y la madurez es la señal más silenciosa, pero más fuerte, de profesionalidad.