LGPD - Gestión de contenido corporativo y gobernanza

La transformación digital hizo que la mayoría de la información corporativa pasara a almacenarse en repositorios digitales, ya sea en “drives” en la nube o en sistemas de gestión electrónica de documentos (GED) – servicios en la nube o soluciones dentro de la infraestructura de la organización (on-premise). Sumado a este escenario, y a la enorme cantidad de datos generada cada año, la adopción de la inteligencia artificial (IA), especialmente los modelos generativos, se está acelerando en las organizaciones brasileñas.

Para tener una idea del orden de magnitud de ese volumen de información, observe la tabla siguiente y piense que, normalmente, un PDF ocupa entre 5MB y 50MB y una página web entre 2MB y 3MB:

Unidad	Equivalencia en bytes	Relación con 1 ZB
1 ZB (Zettabyte)	10²¹ bytes	1 ZB
1 EB (Exabyte)	10¹⁸ bytes	1 ZB = 1.000 EB
1 PB (Petabyte)	10¹⁵ bytes	1 ZB = 1.000.000 PB
1 TB (Terabyte)	10¹² bytes	1 ZB = 1.000.000.000 TB
1 GB (Gigabyte)	10⁹ bytes	1 ZB = 1.000.000.000.000 GB
1 MB (Megabyte)	10⁶ bytes	1 ZB = 1.000.000.000.000.000 MB

Aun existiendo ese océano de información, muchos gestores creen que estructurar carpetas y estandarizar nombres de archivos, llevando el control en “planillas maestras” o sistemas con funciones básicas, es suficiente para demostrar conformidad con la Ley General de Protección de Datos brasileña (LGPD).

Sin embargo, la LGPD está construida sobre principios como el respeto a la privacidad, la autodeterminación informativa, la libertad de expresión y el desarrollo tecnológico. Estas bases muestran que la simple organización de documentos no garantiza transparencia, seguridad ni responsabilidad, y que es necesario implementar mecanismos de gobernanza, trazabilidad y control.

Fundamentos legales de la LGPD y sus implicaciones

La LGPD se aplica a cualquier operación de tratamiento de datos, incluso en medios digitales, y protege derechos fundamentales como la privacidad, el honor y la imagen. Establece principios de finalidad, necesidad, transparencia, seguridad, prevención y responsabilización. Las sanciones previstas por incumplimiento incluyen advertencia, publicación de la infracción y multas de hasta el 2% de la facturación de la empresa, limitadas a R$ 50 millones por infracción. La ley también prevé el bloqueo o la eliminación de datos y, en los casos más graves, la suspensión de las actividades de tratamiento de los datos personales. Esta estructura muestra que la gestión de la información, en especial la gestión documental, debe dar condiciones para probar la conformidad, ya que las eventuales fallas pueden llevar no solo a sanciones financieras sino también a daños reputacionales y a la paralización de actividades.

Por qué organizar carpetas no basta

Organizar carpetas, nombrar archivos y clasificarlos según sus tipos y características (taxonomía) son prácticas importantes, pero no cumplen los requisitos de compliance de la LGPD. El Manual de Implementación de la LGPD del Estado de Paraná explica que la adecuación exige etapas como mapear el tratamiento de los datos personales, relevar riesgos, elaborar informes de impacto a la protección de datos, crear políticas de privacidad y de tratamiento de incidentes, designar a un encargado, capacitar a los equipos y asociar el compliance a la LGPD. El documento resalta que, además de la concienciación, la gobernanza debe involucrar análisis, planificación y control del uso de los datos, con evaluaciones periódicas para medir el nivel de madurez e implementar mejoras.

Otro punto crítico es la clasificación de la información desde el punto de vista de la criticidad y el sigilo – y no solo una simple clasificación documental. El Manual de Gestión Documental del Poder Judicial brasileño distingue la clasificación para la organización de archivos de aquella relacionada con el sigilo. Al clasificar un documento como confidencial, deben aplicarse las directrices de la Ley de Acceso a la Información y de la propia LGPD y registrar el grado de sigilo (ultrasecreto, secreto o reservado) en el sistema informatizado de gestión de documentos. Ese sistema debe restringir automáticamente el acceso conforme al grado de sigilo y mantener registros, pues los documentos digitales exigen mecanismos técnicos para asegurar el cumplimiento de las obligaciones. En otras palabras, archivar correctamente no elimina la necesidad de controles técnicos de acceso, etiquetado y logs.

Buenas prácticas de gestión documental y gobernanza de datos

La gobernanza documental combina procesos, personas y tecnología. El manual paranaense señala que la implantación de la LGPD en los organismos públicos comienza con un mapeo de datos personales para entender el flujo, catalogar las bases e identificar los riesgos. El relevamiento debe documentarse en sistemas electrónicos y actualizarse periódicamente, sirviendo de base para elaborar planes de acción, políticas de privacidad y procedimientos de respuesta a incidentes. El informe de impacto a la protección de datos (RIPD) es otro instrumento esencial: describe los procesos que pueden generar riesgos, indica salvaguardas y debe revisarse siempre que haya cambios.

El manual del Consejo Nacional de Justicia refuerza que, al clasificar documentos como confidenciales, el organismo debe almacenarlos en sistemas que registren el nivel de sigilo y restrinjan el acceso conforme a cada grado. Todas las acciones de apertura de expedientes, tramitación, inserción de datos, consulta y archivo necesitan registros y controles propios, pues la clasificación de sigilo no se confunde con la clasificación archivística. Ese manual también orienta que las políticas de gestión documental se integren con la protección de datos, mediante la actuación conjunta de las comisiones de evaluación documental y de los comités de protección de datos, garantizando que las acciones de difusión y acceso al acervo consideren los requisitos de la LGPD.

Adopción de IA y nuevos riesgos

Los avances en IA generativa traen beneficios, pero también amplían los riesgos de privacidad. El radar tecnológico de la Autoridad Nacional de Protección de Datos de Brasil (ANPD) destaca que la coexistencia de datos personales y no personales en los modelos y la generación de contenido sintético aumentan la probabilidad de tratar datos personales sin salvaguardas, pudiendo violar los principios de necesidad y transparencia. Los contenidos generados pueden ser indistinguibles de los datos reales y asociarse indebidamente a individuos. El documento alerta que estos sistemas presentan un bajo nivel de transparencia por tratarse de metodologías complejas y opacas, lo que exige atención a los principios de la LGPD.

Otro pasaje del radar explica que los sistemas de IA generativa pueden generar datos personales sin haber sido entrenados para esa finalidad y que el concepto amplio de compartición de datos abarca el envío de información por parte del usuario, la divulgación de los resultados y la reutilización de modelos preentrenados. Los usuarios pueden insertar en el prompt documentos enteros, y los resultados pueden incluir datos personales sensibles. En estas circunstancias, transferir la responsabilidad por la protección de datos al usuario es insuficiente, siendo necesario establecer una cadena de responsabilidad entre los agentes de tratamiento para garantizar la conformidad.

Las preocupaciones de seguridad se ven reforzadas por estudios internacionales. El white paper Navigating the security landscape of generative AI, de Amazon Web Services (AWS), observa que los modelos generativos están remodelando la gestión de datos, pero amplían los riesgos de seguridad e introducen nuevos vectores de ataque, como el desbordamiento de ventanas de contexto y las inyecciones de prompt. Estos sistemas deben mantenerse bajo los mismos estándares de conformidad y regulación que otras tecnologías, y las organizaciones que adopten un enfoque ágil de seguridad estarán mejor posicionadas.

Shadow AI y el riesgo de fugas

La popularización de las herramientas generativas dio lugar al fenómeno del shadow AI: el uso de aplicaciones de IA por parte de los colaboradores sin el conocimiento o la aprobación de los equipos de TI y de Gobernanza Corporativa. El blueprint sobre prevención de fuga de datos de Microsoft define el shadow AI como el uso de IA por parte de los empleados sin gobernanza y advierte que, si estos riesgos no se abordan, pueden producirse fugas de datos sensibles, incumplimiento de regulaciones y daños reputacionales. El documento destaca que el uso indebido de IA fuera del entorno corporativo puede exponer información confidencial y recomienda detectar el uso de aplicaciones de IA, bloquear el acceso a herramientas no autorizadas, etiquetar y proteger la información sensible y auditar las interacciones. Esto refuerza la importancia de ofrecer canales oficiales de IA con políticas de acceso y monitoreo, en lugar de simplemente prohibir su uso.

Consecuencias de la no conformidad y reputación

Además de las multas financieras ya citadas, la falta de gobernanza puede resultar en el bloqueo de bases de datos, la suspensión de las actividades de tratamiento o la eliminación de datos. Las fugas de datos o el uso indebido de la IA también afectan la reputación de la empresa y pueden traducirse en pérdida de confianza de clientes y socios. Para evitar estos daños, es esencial implementar:

• Inventario y clasificación de datos – catalogar los tipos de datos tratados, asignar niveles de acceso y aplicar un etiquetado automatizado de acuerdo con el grado de sigilo;

• Trazabilidad y pistas de auditoría – registrar quién accede, altera o comparte documentos; sin logs no es posible demostrar la conformidad ni investigar incidentes;

• Control de versiones y gestión del ciclo de vida – mantener versiones de los documentos y definir plazos de retención y eliminación;

• Gestión de riesgos e informe de impacto (RIPD) – identificar riesgos en las operaciones de tratamiento, establecer salvaguardas y revisar periódicamente el informe;

• Capacitación y cultura de seguridad – formar a los equipos para el tratamiento ético de los datos y el uso responsable de la IA. Esta acción reduce el riesgo de shadow AI y de otras prácticas inseguras.

Conclusión

La conformidad con la LGPD exige más que carpetas organizadas o repositorios en la nube. Los principios legales de la ley destacan la privacidad, la transparencia y la responsabilización, y las sanciones evidencian la gravedad de las violaciones. La gobernanza del contenido corporativo debe incorporar clasificación correcta, restricción de acceso, trazabilidad, control de versiones y políticas claras de tratamiento. El mapeo de datos, la evaluación de riesgos y la elaboración de informes de impacto son pilares para construir programas de compliance.

En paralelo, la adopción acelerada de la IA y el fenómeno del shadow AI exigen una atención redoblada: los modelos generativos pueden mezclar datos personales y generar contenido sintético que dificulta la transparencia, y el uso de IA sin supervisión puede causar fugas y multas.

Al integrar la gestión documental y la seguridad de la información con principios éticos y de gobernanza, las empresas reducen riesgos, protegen su reputación y aseguran una transición responsable hacia la era de la inteligencia artificial.