¿Qué es lo primero que deberían hacer los asesores de inversión para adaptarse a esta normativa?

Creo que lo principal es hacer un inventario de los datos personales que manejan. Tienen que hacer un arqueo. Es decir, en este momento, hacer un corte. ¿Qué datos tengo yo, qué datos personales tengo en los computadores? ¿Qué usamos acá en la empresa? ¿Qué datos tenemos en nuestras cuentas de correo electrónico, en nuestras bases de datos, en nuestro WhatsApp? La nueva ley aplica también a la información de mis trabajadores. De lo que más se preocupa la ley, en definitiva, es que se pueda responder adecuadamente, qué información tengo y si la tengo para un fin legítimo.

¿Y hasta dónde habría que explicar el para qué?

En el fondo es para ver si usted puede o no tratar la información. Por ejemplo, si yo tengo fichas de clientes con datos de domicilio, nombre, cónyuge, incluso hijos, porque se hicieron perfiles completos de clientes, de una antigüedad de hace 7 años, que ya no son clientes, esa información, ¿para qué la tengo? La verdad es que ya no la usamos. Es información histórica que seguimos guardando. ¿Qué puedo hacer? ¿La puedo tratar o no? Bueno, no puedo. Esa es información que, bajo la Ley, tengo que eliminar o anonimizar. Así de importante es hacer ese arqueo. Y ese sería el gran consejo que le daría a un asesor, hacer esa revisión completa: qué información tengo y para qué la tengo.

¿Cómo opera este arqueo habiendo distintos tipos de asesores, unos más grandes, otros más pequeños, con distintos sistemas para guardar y administrar esa información?

Mira, el punto que tú mencionas es súper importante, la proporcionalidad. Es un principio que ha ido incorporándose en toda la industria financiera. Claro, tú puedes tener una empresa de asesoría con 35 personas, que tiene un área de operaciones y gente de sistema que se preocupa de hacer un seguimiento a la información, que puede tener en un sistema segregado y encriptada la información. Y también puedes tener una empresa de asesoría compuesta por un papá con dos hijos, y que básicamente tienen una SPA, y funcionan con sus cuentas de Gmail, y la verdad que no tienen mucho más. Esta ley aplica proporcionalidad en varios aspectos para fijar los requisitos que exige a los obligados, especialmente deberes de información y seguridad de la información.

¿Cómo se traduce en este caso?

Si eres una empresa, por ejemplo, de mayor tamaño, que asesora carteras de fondos de inversión, a personas de alto patrimonio, o que maneja información especialmente sensible por alguna razón, se te aplicarán estándares mayores, te van a pedir más. Te van a pedir que tengas sistemas más robustos de seguridad, que inviertas más en sistemas de protección y entregar más información al mercado. En cambio, si tú atiendes en general a personas con una cartera en general más reducida, tú eres un equipo más pequeño, te van a pedir menos. Los asesores, tanto en su actividad como asesores así como en el aspecto de manejo de datos personales, van a estar regidos por un criterio de proporcionalidad.

¿Cuáles son las principales dudas que surgen en el caso de subir información a la nube en el caso de los asesores?

El tema de la nube está dentro de una categorización que es importante en la ley. Si soy un asesor de inversión y un cliente me dice que quiere que le envíe mis datos a otra institución financiera para ejecutar, por ejemplo, una compra de acciones, yo estoy enviando datos personales a otra entidad regulada por esta ley, que está también tratando los datos del cliente. La nube, por otro lado, es como un subcontratista, alguien a quien yo le contrato un servicio, y que, además, generalmente está en el extranjero. Entonces acá le digo a Google, por ejemplo, que quiero que me dé el servicio de correo electrónico en la nube. Y la ley lo que te dice básicamente es que el contrato con este tercero deberá cumplir requisitos mínimos, tanto por ser un proveedor que tratará datos personales de tus clientes, como por ser extranjero. Y lo importante es que ese contratista, Google en este caso, no puede hacer tratamiento de datos personales, sino únicamente lo que yo le instruya. Entonces, si es que el contrato con el tercero dice que el proveedor solamente va a utilizar los datos que yo le dé para lo que yo le diga, por ejemplo, para manejar mi mail, estamos perfectos. Ahora, si yo, por ejemplo, estoy ocupando la versión gratis de ChatGPT, que autoriza a ChatGPT a usar esa información para mejorar su modelo, ahí estoy incumpliendo la Ley, ya que no tengo el consentimiento de mi cliente para eso.

Se impone un criterio en el uso de inteligencia artificial también.

Sí. En la práctica, la única manera en que alguien utilice herramientas de inteligencia artificial para la asesoría de inversión, para desarrollar su actividad, es que sean versiones pagadas, que no utilicen los datos de sus clientes para entrenar los modelos. Es la única manera, porque ningún cliente me dirá, señor, yo lo autorizo a utilizar mis datos para que se los entregue a otra empresa de inteligencia artificial, y que los use para entrenar sus modelos. Respecto a este tema, esa es la recomendación y la gran alerta. Por eso la recomendación es utilizar la inteligencia artificial en versiones pagadas en que los contratos explícitamente prohíban el uso de la información para entrenar modelos u otros fines. Las versiones gratuitas no, ya que generalmente utilizan los datos que le entregas para otros fines. O sea, uno tiene que ir por el camino más seguro posible. Hay cuentas profesionales que son súper baratas, y con eso alguien puede asegurarse de que los datos no los estén ocupando para otras cosas.