Cómo cumplir la Ley 8968 al usar Inteligencia Artificial

¿Qué es la Ley 8968?

La Ley N° 8968, “Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales”, fue publicada en La Gaceta el 5 de julio de 2011. Regula el tratamiento de datos personales en Costa Rica, tanto en el sector público como privado, y se inspira en las directrices de privacidad de la OCDE. Su supervisión corresponde a la Agencia de Protección de Datos de los Habitantes (PRODHAB).

La ley define los roles de responsable (quén decide el tratamiento), encargado (quien lo ejecuta por cuenta del responsable) y titular (la persona a quien pertenecen los datos). En un proyecto de IA, su organización suele ser responsable; el proveedor de inferencia es encargado. Esa distinción determina quién responde si los datos se exponen.

Principios que la IA pone a prueba

La Ley 8968 establece principios que las herramientas de IA gratuitas o compartidas violan con facilidad. Conocerlos es el primer paso para elegir infraestructura que los respete.

Por qué la Inteligencia Artificial es un reto para la Ley 8968

Los modelos de lenguaje procesan texto que, con frecuencia, contiene datos personales: nombres, correos, saldos, historiales. Cuando esa información viaja a un proveedor en el extranjero, se pierde el control sobre tres cosas que la ley exige demostrar:

• Dónde están los datos. Un SaaS compartido no garantiza residencia; su información puede replicarse en centros de datos de otra jurisdicción.
• Quién los ve. Sin un modelo de tenencia dedicado, no hay forma de auditar el acceso por cliente.
• Para qué se usan. Algunos proveedores se reservan el derecho de reutilizar entradas para entrenar modelos — una finalidad distinta a la informada al titular.

Cada uno de esos puntos puede convertirse en una infracción documentable. La multa no recae solo en el proveedor; recae en el responsable del tratamiento: su organización.

Residencia de datos: la base del cumplimiento

Aunque la Ley 8968 no prohíbe toda transferencia internacional, exige que los datos personales solo salgan del país hacia jurisdicciones con un nivel de protección equivalente, o bajo las garantías que reglamente PRODHAB. En la práctica, para datos sensibles — salud, financieros, biométricos — la opción más segura y auditable es que permanezcan en territorio costarricense durante todo el tratamiento.

EmpresIA ejecuta inferencia en servidores dedicados ubicados en San José, Costa Rica. Los datos entran al modelo y salen de él dentro del país, sin replicarse a centros externos. Eso convierte la residencia en un hecho verificable, no en una promesa contractual.

Medidas de seguridad que la ley espera

El artículo de seguridad de la Ley 8968 obliga al responsable a aplicar medidas técnicas y organizativas adecuadas al riesgo. En un entorno de IA, eso se traduce en controles concretos:

• Cifrado en tránsito (TLS) y en reposo para los documentos y conversaciones que alimentan el modelo.
• Aislamiento por cliente: los datos de una organización no deben ser accesibles desde la instancia de otra.
• Control de acceso por rol con principio de menor privilegio, para que ni siquiera el operador del proveedor pueda leer contenido sin autorización.
• Registros de auditoría de quién consultó qué y cuándo, para reconstruir cualquier incidente.
• No reutilización para entrenamiento: cláusula que impide al proveedor usar las entradas para mejorar modelos públicos.

Un SaaS multitenant rara vez puede garantizar aislamiento a nivel de hardware. La infraestructura dedicada, asignada por cliente, lo hace por diseño.

Derechos ARCO en un sistema de IA

La Ley 8968 reconoce los derechos de acceso, rectificación, cancelación y oposición (ARCO). Atenderlos requiere saber dónde está cada dato personal dentro del sistema de IA — algo imposible cuando la información se dispersa entre proveedores no identificados.

Transparencia y trazabilidad

La Ley 8968 exige que el titular pueda conocer el tratamiento al que se someten sus datos. En IA, eso significa poder documentar: qué modelo procesó la consulta, qué datos ingresaron, quién autorizó el caso de uso y dónde ocurrió el procesamiento. Una plataforma que registra cada interacción permite reconstruir esa cadena; un servicio opaco, no.

La trazabilidad no solo protege al titular: protege a la organización. Ante una auditoría de PRODHAB, un registro central de modelos, accesos y consumos demuestra diligencia; su ausencia demuestra lo contrario.

Lista de verificación para su proyecto de IA

Use esta lista como punto de partida antes de mover datos personales a cualquier sistema de IA, propio o de terceros.

• 1Inventariar los datos personales que alimentan cada modelo o caso de uso de IA.
• 2Documentar la base legítima del tratamiento (consentimiento, contrato, ley) para cada conjunto de datos.
• 3Verificar que los datos permanezcan en territorio costarricense o en jurisdicciones equivalentes.
• 4Definir y registrar quién accede a los datos en cada etapa del ciclo de vida del modelo.
• 5Aplicar controles de acceso por rol, registros de auditoría y cifrado en tránsito y en reposo.
• 6Establecer un canal para atender solicitudes de acceso, rectificación, cancelación u oposición (ARCO).
• 7Evaluar el riesgo cuando se usan datos sensibles (salud, biométricos, financieros) y aplicar reforzamiento.
• 8Capacitar al personal en el manejo de datos personales dentro de herramientas de IA.
• 9Revisar contratos con proveedores de IA para garantizar el rol de encargado y la prohibición de reutilización.
• 10Documentar las medidas de seguridad y mantener un plan de respuesta ante incidentes.

Cómo EmpresIA ayuda a cumplir la Ley 8968

EmpresIA ofrece infraestructura de IA dedicada en San José, Costa Rica. No es un SaaS compartido: cada cliente recibe servidores asignados, donde la información se procesa y almacena en territorio nacional. Eso se traduce en cumplimiento concreto, no en cláusulas:

Para datos sensibles — salud, financieros, jurídicos — la residencia única y el aislamiento por cliente reducen el riesgo a su mínima expresión. Para el resto, convierten el cumplimiento en un hecho demostrable, no en una esperanza.