Consultor de GRC de IA

Pregunta de muestra 1

La política interna de uso de IA de su empresa exige que cada prompt enviado a una herramienta de IA generativa se registre en su totalidad y se conserve de manera indefinida para fines de auditoría de seguridad. El área jurídica ahora advierte que este requisito entra en conflicto con las obligaciones de minimización de datos y de limitación del plazo de conservación previstas en la regulación de privacidad aplicable a los datos de los clientes de la empresa, porque una proporción significativa de los prompts de los empleados incluye información personal de clientes. Se le pide a usted resolver el conflicto entre la política interna y la regulación aplicable antes de que la regla de conservación se aplique en toda la empresa. ¿Qué resolución es la más defendible?

1. A.Continuar con el registro completo e indefinido de los prompts tal como lo especifica la política interna, ya que la política fue aprobada por el CISO y una política interna aprobada por el consejo de administración tiene precedencia sobre una regulación externa siempre que ambas entren en conflicto, y hacer constar que el equipo de seguridad se ha apoyado en esa misma autoridad interna para justificar decisiones similares de manejo de datos en el pasado sin ningún incidente.
2. B.Revisar la regla de conservación para que los prompts se registren en su totalidad únicamente durante el periodo necesario para sustentar una investigación de seguridad, y después eliminar o desidentificar la información personal que contengan, alineando así el rastro de auditoría que el equipo de seguridad necesita con los requisitos de minimización de datos y de limitación del plazo de conservación de la regulación, y documentar la regla revisada como una actualización de la política interna.
3. C.Dejar de registrar los prompts por completo para eliminar el conflicto de conservación, y depender de los logs propios del proveedor de IA si alguna vez se requiere una investigación de seguridad, ya que suprimir el registro interno de la empresa elimina la cuestión de cumplimiento, y señalar en la política que cualquier investigación futura dependerá de la disposición y la capacidad del proveedor para entregar registros cuando se le soliciten.
4. D.Escalar el conflicto a la alta dirección y suspender el uso de la herramienta de IA en toda la empresa hasta que se redacte una nueva política mediante el ciclo estándar de revisión del comité de gobernanza, que normalmente tarda de dos a tres trimestres en completarse, periodo durante el cual los equipos que dependen de la herramienta tendrán que regresar a su proceso manual anterior.

Pregunta de muestra 2

Un consultor de GRC en IA asesora a un cliente cuyo proveedor contratado opera el pipeline de bitácoras del chatbot de atención a clientes con IA del propio cliente. Un bucket de almacenamiento en la nube mal configurado expuso las transcripciones de chat de aproximadamente 40,000 clientes de la UE y de Estados Unidos, incluidos números de cuenta, durante 11 días antes de su descubrimiento. El proveedor, actuando como encargado del tratamiento, notifica la exposición al cliente, que es el responsable del tratamiento, a las 9 de la mañana del miércoles. El abogado general del cliente pregunta a partir de qué momento comienza a correr el plazo de 72 horas del GDPR para notificar a la autoridad de control, y qué obligación tenía el proveedor antes de ese aviso. ¿Cuál es la respuesta correcta?

1. A.El plazo de 72 horas comenzó a correr desde el momento en que el proveedor descubrió internamente el bucket expuesto, no cuando se informó formalmente al cliente el miércoles, por lo que es muy probable que el cliente ya haya rebasado su plazo de notificación bajo el GDPR para cuando apenas se entera de que ocurrió una vulneración de seguridad de datos personales.
2. B.El proveedor, como encargado del tratamiento, estaba obligado a notificar al cliente sin dilación indebida después de que el propio proveedor tuvo conocimiento de la vulneración; el plazo de 72 horas del cliente para notificar a su autoridad de control corre a partir de que el cliente tuvo conocimiento, que en este caso son las 9 de la mañana del miércoles, no a partir de que el proveedor descubrió la exposición.
3. C.Dado que el proveedor es únicamente encargado del tratamiento y no responsable, las obligaciones de notificación del GDPR no le aplican en absoluto al proveedor en esta relación, y el plazo de 72 horas del cliente solo comienza una vez que el propio equipo de seguridad del cliente confirma de manera independiente la exposición mediante su propia investigación, sin importar el aviso del proveedor.
4. D.Dado que la exposición incluye clientes tanto de la UE como de Estados Unidos en un solo incidente, una única ley federal estadounidense de notificación de vulneraciones prevalece sobre el GDPR para todo el asunto, y el plazo aplicable pasa a ser la ventana de 30 días que suelen usar la mayoría de las leyes estatales estadounidenses de notificación de vulneraciones.

Pregunta de muestra 3

Un consultor de GRC en IA apoya a un proveedor de tecnología de recursos humanos con sede en Estados Unidos, cuya herramienta de IA filtra a los candidatos a un empleo mediante el análisis de currículos y de entrevistas en video. Un banco alemán, cliente del proveedor, quiere usar la herramienta para puestos con sede en la UE, con los datos de los candidatos alojados en servidores en Estados Unidos. El equipo jurídico del cliente sostiene que, como los servidores del proveedor están en Estados Unidos, el GDPR no aplica a este tratamiento. El consultor debe corregir esta interpretación antes de que la contratación avance. ¿Cuál explicación es correcta?

1. A.El alcance territorial del GDPR está ligado al lugar donde se alojan físicamente los servidores de una empresa, por lo que trasladar los datos de los candidatos a infraestructura ubicada en Estados Unidos deja este tratamiento fuera del alcance del GDPR.
2. B.El contrato entre el proveedor y el banco establece la ley estadounidense como aplicable, y esa elección contractual de la ley determina si los requisitos del GDPR se aplican a este tratamiento.
3. C.El GDPR aplica porque el tratamiento se dirige a titulares de datos ubicados en la UE mediante servicios que se les ofrecen; alojar los datos en servidores en Estados Unidos no elimina esa obligación.
4. D.Al ser encargado del tratamiento y no responsable, el proveedor no tiene obligaciones de cumplimiento independientes bajo el GDPR; la condición de responsable del banco absorbe cualquier obligación del GDPR que de otro modo pudiera aplicar aquí.