Traducción automática con IA y contratos confidenciales

Una herramienta de traducción con IA en línea recibe el texto que el usuario pega en su ventana. Un modelo de lenguaje lo procesa, y el texto sale del equipo del empleado en cuanto se envía.

El punto que hay que comprobar es el destino del texto después de la traducción. OWASP pide a los editores que mantengan políticas claras sobre la conservación, el uso y la eliminación de los datos, y que permitan a los usuarios rechazar que sus datos sirvan para el entrenamiento¹. OWASP añade que las restricciones incluidas en las instrucciones internas de un modelo no siempre se respetan y pueden eludirse mediante inyección de prompts u otros métodos¹. Por tanto, una promesa del editor no sustituye a un contrato de empresa.

La CNIL recuerda que los derechos de acceso, rectificación, oposición y supresión existen, pero que pueden ser difíciles de ejercer frente a un modelo de IA, tanto para identificar a las personas en el modelo como para modificarlo².

Antes de traducir, el empleado comprueba si la empresa ofrece una herramienta validada. Si es así, la utiliza, y solo esa, para cualquier documento profesional.

Sin herramienta validada, un documento confidencial no se pega en un servicio gratuito. El empleado pide la opinión del responsable de seguridad o del jurista, o encarga la traducción a un proveedor vinculado a la empresa por contrato.

Para un pasaje no sensible, una preparación previa limita la exposición. OWASP cita la tokenización y el enmascaramiento (redaction) entre las técnicas que sirven para depurar la información sensible antes del tratamiento¹. A mano, esto consiste en sustituir los nombres, los importes y las referencias por marcadores neutros, por ejemplo «[Empresa A]» e «[Importe]», y luego volver a ponerlos en la traducción. Este método no sirve para un texto cuya estructura misma es confidencial.

Después de la traducción, el empleado revisa el resultado. NIST describe el riesgo de contenido erróneo enunciado con seguridad³: en un contrato, un jurista o una persona que lea el idioma original verifica los términos jurídicos, los plazos y los importes.

Si ya se ha pegado un texto confidencial en un servicio no validado, el empleado lo comunica de inmediato, sin esperar a saber si ha habido algún daño.

• Las versiones gratuitas: sus condiciones de uso deciden qué sucede con el texto. OWASP recomienda que las aplicaciones ofrezcan un modo de rechazar la reutilización de los datos¹, pero nada garantiza que un servicio gratuito lo ofrezca.
• Las extensiones del navegador: las fuentes citadas aquí no detallan su funcionamiento. El empleado no puede suponer, por tanto, que traten el texto con más cautela que un sitio en línea, y las valida como cualquier otra herramienta.
• La traducción fluida pero falsa: un texto bien escrito no es un texto exacto³.
• La anonimización incompleta: quitar un nombre no basta si el contexto permite reconocer a las partes. La CNIL señala que algunos modelos son anónimos y otros no, lo que muestra que el anonimato no está garantizado por defecto².
• La confianza en los avisos mostrados: una regla del tipo «este servicio no conserva nada» solo tiene valor si figura en un compromiso escrito del editor con la empresa.
• El olvido de la obligación de confidencialidad: un contrato puede prohibir comunicar su contenido a un tercero. Las fuentes citadas aquí no detallan estas cláusulas, que se leen en el propio contrato.

OWASP recomienda proporcionar pautas para evitar introducir información sensible y ofrecer formación sobre buenas prácticas de interacción segura con los LLM¹. Para un empleado, esto se traduce en una regla de equipo clara: qué herramienta, para qué documentos y con qué revisión.