La certificación por sí sola no hace que un proveedor de IA de documentos sea seguro para los archivos confidenciales de los clientes. Para los bufetes de abogados, la diligencia debida del proveedor de IA debe examinar a dónde van los datos, cómo los maneja el proveedor, quién puede acceder a ellos y a qué se compromete contractualmente el proveedor.
Las preguntas correctas son tanto contractuales como técnicas. Antes de subir los documentos de los clientes, las empresas deben verificar las prácticas de datos, los controles de seguridad, los subencargados, las políticas de retención y los compromisos de cumplimiento del proveedor.
Puntos clave:
- Verifica la seguridad, las prácticas de datos y los contratos de un proveedor, no solo sus afirmaciones de cumplimiento.
- Elige proveedores que puedan explicar claramente sus controles de seguridad y políticas de datos.
- Parseur almacena los datos en la UE, no entrena IA con documentos de clientes y cumple con SOC 2 Tipo II, GDPR (UE y Reino Unido), CCPA de California, FADP suiza y PDPA de Singapur.
Por qué "Cumple con las normativas" en la página web de un proveedor significa muy poco
Que un proveedor diga que "cumple con las normativas" es solo un punto de partida para la diligencia debida del proveedor de IA. Esta afirmación cobra valor cuando se puede verificar qué abarca, qué controles la respaldan y a qué se compromete contractualmente el proveedor.
El riesgo derivado de terceros hace que esta verificación sea crucial. Una encuesta de ISC2 de 2025 encontró que el 70% de los profesionales de ciberseguridad estaban muy preocupados por los riesgos de ciberseguridad de la cadena de suministro, mientras que el 28% dijo que su organización había experimentado un incidente de ciberseguridad originado por un proveedor externo en los dos años anteriores.
La FTC recomienda incluir requisitos de seguridad en los contratos con los proveedores y verificar que estos los cumplan.
Las empresas que manejan datos confidenciales de clientes deben mirar más allá de las etiquetas de cumplimiento. Revisa el acuerdo de procesamiento de datos, los controles de seguridad, los subencargados, las prácticas de retención, los controles de acceso y los procedimientos de eliminación antes de confiar los documentos de los clientes a un proveedor de IA.
La lista de verificación para la diligencia debida del proveedor de IA
Antes de que una empresa envíe documentos confidenciales a un proveedor de IA, debe hacer preguntas específicas sobre cómo se procesan, almacenan, acceden y eliminan esos datos. Una simple etiqueta de cumplimiento no puede responder a estas cuestiones.
La seguridad y la privacidad ya son preocupaciones importantes para las empresas que adoptan la IA. En una encuesta de DISCO de 2025, el 70% de los encuestados de bufetes de abogados identificaron la seguridad y privacidad de los datos como el principal obstáculo para la adopción de la IA.
Esto convierte a la diligencia debida del proveedor de IA en algo más que un simple trámite de compras. Es un paso fundamental para decidir si una herramienta de IA es adecuada para los datos confidenciales de los clientes.
A continuación, presentamos 10 preguntas clave que debes hacer a cualquier proveedor, junto con las respuestas de Parseur.
1. ¿Dónde se procesan y almacenan los datos, y en qué jurisdicción?
Por qué es importante: La residencia de los datos puede afectar qué leyes de privacidad se aplican a la información y si la organización tiene restricciones sobre las transferencias transfronterizas.
El enfoque de Parseur: Parseur almacena sus datos en la Unión Europea, con infraestructura alojada en los Países Bajos. Su DPA también documenta las transferencias internacionales que involucran a subencargados y las salvaguardas utilizadas para esas transferencias, incluidas las Cláusulas Contractuales Tipo cuando correspondan.
2. ¿Se utilizan los documentos de los clientes para entrenar modelos, tuyos o de terceros?
Por qué es importante: Esta es una de las preguntas más importantes para las empresas que manejan información confidencial de clientes. Un proveedor debe indicar claramente si puede reutilizar documentos de clientes, prompts o datos extraídos para mejorar sus modelos de IA.
El enfoque de Parseur: No. Parseur no utiliza documentos de clientes para entrenar o mejorar sus modelos de IA. Su sistema de extracción mediante IA utiliza modelos preentrenados en lugar de aprender de los documentos individuales de los clientes.
3. ¿Quiénes son tus subencargados y dónde se encuentran?
Por qué es importante: Es posible que tu proveedor no sea la única organización que procesa los datos. Los proveedores de la nube, los servicios de correo electrónico y otros subencargados pueden tener acceso a partes de la cadena de procesamiento, por lo que se requiere visibilidad sobre quiénes son y dónde operan.
El enfoque de Parseur: Parseur publica una lista de subencargados que cubre proveedores como AWS, Google, Microsoft y proveedores de servicios de correo electrónico. La lista identifica sus propósitos, ubicaciones, los datos involucrados y los mecanismos de transferencia aplicables.
4. ¿Existe un acuerdo de procesamiento de datos (DPA) y a qué os compromete?
Por qué es importante: Una política de privacidad describe prácticas generales. Un DPA crea obligaciones contractuales en torno a cómo se procesan, protegen, transfieren y eliminan los datos personales.
El enfoque de Parseur: Sí. Parseur proporciona un DPA que define al cliente como el Responsable del tratamiento (Controller) y a Parseur como el Encargado (Processor). Limita el procesamiento a las instrucciones documentadas, establece obligaciones de confidencialidad y seguridad, y establece requisitos para los subencargados y las transferencias internacionales de datos.
5. ¿Cuánto tiempo se retienen los datos y podemos controlarlo o acortarlo?
Por qué es importante: Mantener documentos confidenciales más tiempo del necesario aumenta la cantidad de datos que podrían quedar expuestos o que podrían estar sujetos a una solicitud legal o regulatoria.
El enfoque de Parseur: Parseur permite a los clientes configurar la retención de documentos a nivel de buzón de correo. El período de retención se puede configurar en tan solo un día, y Parseur también ofrece la opción de "Procesar y Eliminar", la cual borra los documentos de forma segura tras su procesamiento exitoso y la entrega de los datos extraídos.
6. ¿Cómo exportamos y eliminamos todo?
Por qué es importante: La portabilidad y eliminación de datos deben ser procesos reales, no solo promesas. La empresa debe saber cómo recuperar sus datos y qué sucede cuando le pide al proveedor que los elimine.
El enfoque de Parseur: Los datos procesados se pueden exportar como CSV, Excel o JSON, y Parseur admite exportaciones automatizadas a través de integraciones y webhooks. Los clientes también pueden eliminar su cuenta y los datos personales asociados. En virtud del DPA, Parseur prevé la eliminación o devolución de los datos personales después de la terminación, sujeto a los requisitos legales de retención aplicables.
7. ¿Qué cifrado se aplica en tránsito y en reposo?
Por qué es importante: El cifrado reduce el riesgo de acceso no autorizado mientras los datos se transmiten y almacenan.
El enfoque de Parseur: Parseur cifra los datos en tránsito utilizando TLS 1.2 o superior y en reposo utilizando AES-256. Las versiones obsoletas de TLS están deshabilitadas.
8. ¿Quién dentro de tu empresa puede acceder a nuestros documentos?
Por qué es importante: El cifrado es solo una capa de seguridad. Las empresas también deben entender quién tiene acceso a los datos de los clientes y bajo qué circunstancias.
El enfoque de Parseur: Parseur no accede de manera rutinaria a los datos de los clientes porque el procesamiento de documentos está automatizado. Los miembros del equipo acceden a los datos de los clientes cuando un cliente solicita soporte técnico que lo requiera. El acceso se rige por los principios de privilegio mínimo y necesidad de saber, y el personal está sujeto a requisitos de confidencialidad y protección de datos.
9. ¿Qué certificaciones tienes actualmente y cuáles están en curso?
Por qué es importante: Las certificaciones y auditorías independientes pueden demostrar que los controles de seguridad se han evaluado frente a un marco normativo definido. Es preferible preguntar con qué cuenta el proveedor actualmente en lugar de fiarse de promesas futuras.
El enfoque de Parseur: Parseur cumple con SOC 2 Tipo II, GDPR (UE y Reino Unido), CCPA de California, FADP suiza y PDPA de Singapur. Los detalles de seguridad y cumplimiento están disponibles en trust.parseur.com.
10. ¿Qué pasa con nuestros datos si dejamos de pagar?
Por qué es importante: Cancelar una suscripción no debería dejar a la empresa con dudas sobre el acceso, la retención o la eliminación de la información. Asegúrate de que el proceso de cancelación del proveedor esté alineado con las políticas de retención y salida de datos de tu organización.
El enfoque de Parseur: Parseur permite a los clientes eliminar sus cuentas, lo que elimina permanentemente los datos asociados. Su DPA también establece que, tras la terminación o desactivación de la cuenta, los clientes pueden solicitar la devolución o eliminación de los datos personales, y las copias restantes se eliminarán en el plazo especificado en el acuerdo, sujeto a los requisitos legales de retención.
El objetivo de la diligencia debida del proveedor de IA no es encontrar la opción con la lista más extensa de promesas de seguridad. Consiste en elegir uno que pueda ofrecer respuestas claras y verificables a las preguntas que realmente afectan a los datos de la empresa.
Última actualización el
