Privacidad de datos en la IA: por qué los ajustes predeterminados importan más que las políticas

La privacidad de datos en la IA de un CRM se reduce a unos pocos ajustes predeterminados: si la IA se entrena con tus datos, qué conserva el proveedor de IA después de cada solicitud (la instrucción, la respuesta y cualquier registro del razonamiento del modelo), qué guarda el propio CRM y durante cuánto tiempo, y si puedes eliminar o exportar tus datos por tu cuenta. Un buen ajuste predeterminado combina cuatro cosas: ningún entrenamiento; ninguna retención por parte del proveedor de IA; un historial de IA guardado que puedes ver y eliminar; y la eliminación por tu cuenta. Todo ello sin tener que buscar antes ningún interruptor.

Todos los proveedores de CRM que ofrecen IA tienen una política de privacidad. Lee unas cuantas y empiezan a sonar igual: lenguaje de DPA, referencias a SOC 2, afirmaciones sobre el cifrado, el compromiso de tratar tus datos de forma responsable. El lenguaje es casi intercambiable.

Los ajustes predeterminados, no.

Políticas frente a ajustes por defecto

Una política de privacidad es lo que un proveedor promete hacer. Un ajuste predeterminado de privacidad es lo que pasa salvo que cambies algo. En la IA de un CRM, la mayor parte del riesgo real para la privacidad está en la distancia entre los dos.

Un ejemplo concreto. La opción de entrenamiento de modelos de IA de HubSpot, que permite a HubSpot entrenar sus modelos de IA con datos de clientes, viene activada por defecto, y los Super Admins pueden excluirse del entrenamiento de modelos de IA en cualquier momento desde los ajustes de IA de la cuenta. El interruptor te permite impedir el entrenamiento. El ajuste predeterminado significa que tus datos se usan para entrenar modelos salvo que un administrador lo cambie.

No es una excepción. Los términos de Freshworks indican que, al usar sus AI Services y salvo que el cliente se excluya, el cliente otorga a Freshworks una licencia libre de regalías para usar sus Datos del Cliente y el resultado de la IA (AI Output) para el entrenamiento de IA. La política de privacidad de Insightly dice que puede usar los datos que procesa Copilot, de forma agregada y desidentificada, para mejorar el rendimiento, la fiabilidad y la seguridad de sus sistemas de IA. Cada página se consultó el 28 de octubre de 2026. Una política puede sonar razonable mientras su ajuste predeterminado apunta en la dirección contraria.

Los ajustes predeterminados que de verdad importan

Hay cuatro ajustes predeterminados que conviene comprobar antes de contratar un CRM con IA, sea cual sea:

1. ¿La IA se entrena con tus datos por defecto?

El ajuste predeterminado correcto es no. Ni nosotros, ni nuestros proveedores, ni nadie. Y el comportamiento correcto es que no haya ningún interruptor para desactivarlo, porque el entrenamiento nunca estuvo activado. Si el proveedor tiene un ajuste de “mejora del modelo” y viene activado por defecto, tus datos están en un circuito de entrenamiento salvo que un administrador lo cambie.

2. ¿Qué retención de datos tiene cada llamada a la IA?

En la retención de datos de la IA, el ajuste predeterminado correcto en el proveedor de IA es ninguna retención. El modelo procesa la solicitud, devuelve la respuesta y no conserva nada: ni registros ni entradas en un conjunto de entrenamiento después de la llamada. Si el proveedor conserva las solicitudes durante 30, 60 o 90 días “para mejorar el producto” o “para detectar abusos”, es información útil, pero es otra postura.

Lo que guarda el propio CRM es otra cuestión. Un historial de chat o un registro de ejecuciones de agentes es útil, porque te permite comprobar lo que hizo la IA, así que el ajuste predeterminado correcto es un historial que puedes ver y eliminar. En Laureo, cada solicitud de IA va únicamente a proveedores que no guardan nada de ella, y Laureo conserva el historial de chat y de ejecuciones de agentes que ves en la aplicación. Puedes eliminar una conversación desde la página completa del chat.

3. ¿Qué pasa con tus datos después de cancelar?

El ajuste predeterminado correcto es una eliminación programada después de un periodo de gracia claramente indicado, con la exportación por tu cuenta mientras tanto. Si cancelar pone en marcha un proceso de varias semanas en una cola de tickets para recuperar tus datos, el proveedor está cómodo conservando tus datos durante más tiempo del que tú estás cómodo dejándoselos.

4. ¿Puedes eliminar datos concretos bajo demanda, sin esperar?

El ajuste predeterminado correcto es sí, por tu cuenta, desde tus propios ajustes. Elimina tu perfil de estilo de redacción. Purga el contenido de correo en caché. Borra el historial de actividad de la IA. Elimina todo lo asociado a tu cuenta. Todo desde una página que puedes abrir ahora mismo. Si la respuesta es “envía una solicitud de derechos del interesado y espera 30 días”, vas a estar esperando 30 días.

Por qué los ajustes predeterminados importan más

Leer la política te dice lo que un proveedor podría hacer. Leer los ajustes predeterminados te dice lo que está haciendo. El ajuste predeterminado es lo que les pasa a tus datos hasta que alguien lo cambie, así que un ajuste que nadie abre decide cómo se usan tus datos.

La diferencia aparece en las conversaciones de auditoría. Un equipo de cumplimiento que evalúa a un proveedor pregunta: “¿Su IA se entrena con datos de clientes?”. La respuesta sincera suele ser “nuestra política lo permite, pero pueden excluirse”, que no es lo mismo que “no”. El proveedor con un no por defecto puede responder con una sola palabra. El proveedor con exclusión voluntaria tiene que explicar el interruptor.

La lista de comprobación de diligencia debida

Esta lista de comprobación de privacidad de la IA tiene tres preguntas que van más allá del lenguaje de las políticas:

1. “¿Hay un interruptor que controle si ustedes entrenan con mis datos?” Si lo hay, pregunta cuál es su valor predeterminado. Si el valor predeterminado es “entrenamiento activado”, la postura de privacidad del proveedor es de exclusión voluntaria, no privada por defecto.
2. “¿Qué pasa en sus servidores después de que el modelo devuelva una respuesta?” Si la respuesta es “registramos la instrucción y la respuesta para el control de calidad durante cierto número de días”, la retención no es cero. Si la respuesta es “el proveedor del modelo no conserva nada después de la llamada, y el historial de IA que guardamos está a la vista de ustedes y pueden eliminarlo”, la retención en el proveedor es cero y lo que queda está bajo tu control.
3. “¿Puedo eliminar ahora mismo mi perfil de estilo de redacción, mi contenido de correo en caché y mi historial de actividad de la IA desde mis propios ajustes, sin su equipo de soporte?” Si la respuesta requiere un ticket, los controles por cuenta propia no son tan sólidos como sugiere la política.

Los ajustes predeterminados como decisión de producto

Los ajustes predeterminados de privacidad son una decisión de producto, no jurídica. Un proveedor puede tener una postura jurídica de privacidad excelente y aun así dejar a sus clientes, por defecto, en un tratamiento permisivo de los datos, porque el equipo de producto optimizó otra cosa (una inferencia más barata, una mejor calidad del modelo, una depuración más sencilla).

Los proveedores que convierten los ajustes predeterminados de privacidad en una prioridad de producto lo hacen porque su cliente objetivo lo pidió: normalmente, el equipo de seguridad de una gran empresa durante una evaluación de compras, o el dueño de una pyme preocupado por la privacidad que leyó demasiados titulares sobre filtraciones de datos. Los ajustes predeterminados reflejan las conversaciones que el proveedor está dispuesto a tener desde el primer día, frente a las que espera que te saltes.

En resumen

Lee los ajustes predeterminados, no la política. Si la página de ajustes de IA de tu CRM empieza con un interruptor con la etiqueta “Permitir que [proveedor] entrene con mis datos”, comprueba hacia dónde apunta. Si apunta hacia el entrenamiento, tus datos se están usando así en este momento. No es un incumplimiento del contrato. Es el acuerdo que aceptaste. Y quizá no sea el acuerdo que querías aceptar.

La postura que conviene exigir combina ninguna retención por parte del proveedor de IA en ninguna llamada, un historial de IA guardado que puedas ver y eliminar, ningún entrenamiento con tus datos como promesa predeterminada y, desde tus propios ajustes, la exportación y la eliminación por tu cuenta. Cualquier cosa menos es una política; algo más todavía no existe.