CCPA & AI Compliance

Overview

La Ley de Privacidad del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA), es la ley de privacidad del consumidor más completa de Estados Unidos. En vigor desde enero de 2020 y reforzada de forma notable por las modificaciones de la CPRA que entraron en vigor en 2023, la CCPA otorga a los residentes de California amplios derechos sobre su información personal e impone obligaciones a las empresas que recopilan, usan o venden esos datos. Para los equipos de desarrollo de IA, la CCPA tiene consecuencias directas sobre cómo se obtienen, tratan y conservan los datos de entrenamiento.

La CCPA se aplica a las empresas con ánimo de lucro que operan en California y alcanzan cualquiera de estos tres umbrales: ingresos brutos anuales superiores a US$25 millones, ajustados por inflación (US$26,625,000 a partir de enero de 2025); comprar, vender o compartir la información personal de 100.000 o más consumidores u hogares de California; u obtener el 50 por ciento o más de los ingresos anuales de vender o compartir información personal. Dado el volumen de datos que exige el entrenamiento de IA, muchas organizaciones que desarrollan sistemas de IA alcanzarán estos umbrales. Las modificaciones de la CPRA también crearon la Agencia de Protección de la Privacidad de California (CPPA), el primer organismo de Estados Unidos dedicado exclusivamente a velar por la privacidad.

En el ámbito de la IA y el aprendizaje automático, la definición de información personal de la CCPA es muy amplia: abarca los identificadores evidentes y también las inferencias extraídas de la información personal para crear perfiles de consumidores. Esto significa que los modelos de IA entrenados con datos personales, y las predicciones que generan, pueden constituir a su vez información personal según la CCPA. Por ello, las organizaciones deben tener en cuenta las implicaciones regulatorias tanto de sus datos de entrenamiento como de los resultados de sus modelos y de los perfiles que crean mediante análisis basados en IA.

AI-Specific Requirements

La CCPA establece varios derechos de los consumidores que afectan directamente a los flujos de datos de entrenamiento de IA. El derecho a saber obliga a las empresas a informar de qué información personal recopilan, con qué fines y con qué categorías de terceros la comparten. Para los equipos de IA, esto supone mantener registros claros de qué datos personales entran en los flujos de entrenamiento y cómo se usan. El derecho de supresión obliga a las empresas a borrar los datos de un consumidor cuando este lo solicita, lo que plantea preguntas complejas sobre si hay que volver a entrenar los pesos del modelo para que «desaprenda» los datos eliminados.

Las modificaciones de la CPRA introdujeron el derecho a limitar el uso y la divulgación de la información personal sensible, que incluye la geolocalización precisa, el origen racial o étnico, la información de salud y los datos de cuentas financieras. Los conjuntos de datos de entrenamiento de IA contienen con frecuencia estas categorías sensibles, y las organizaciones deben ofrecer a los consumidores un mecanismo para limitar el uso de sus datos sensibles a lo razonablemente necesario para el servicio esperado. El derecho a excluirse de la venta o el intercambio de información personal también es fundamental. Si los datos de entrenamiento proceden de intermediarios de datos o se comparten con servicios de entrenamiento de modelos de terceros, los consumidores deben poder excluirse.

La limitación de la finalidad prevista en la CPRA impide a las empresas usar la información personal para fines sustancialmente distintos de los comunicados en el momento de la recopilación, o incompatibles con ellos. Esto significa que las organizaciones no pueden reutilizar sin más los datos de clientes recopilados para prestar un servicio como conjuntos de datos de entrenamiento de IA sin un aviso adicional y el consentimiento adecuado. Los requisitos de minimización de datos exigen además que la recopilación y el tratamiento se limiten a lo razonablemente necesario y proporcionado para los fines comunicados. Las multas administrativas de US$2,500 por infracción o US$7,500 por infracción intencionada, ajustadas cada año por inflación, pueden acumularse rápidamente en conjuntos de datos grandes. En 2025 California también aprobó de forma definitiva reglamentos sobre la tecnología de toma de decisiones automatizada, las evaluaciones de riesgos y las auditorías de ciberseguridad, con obligaciones que se aplican de forma escalonada a partir de 2026.

How Ertas Helps

Ertas Studio entrena en las GPU en la nube de Ertas, por lo que el conjunto de datos de entrenamiento se sube a Ertas y se almacena para poder repetir las ejecuciones. Si contiene información personal de consumidores, Ertas la recibe como parte de su tratamiento, y eso debe figurar en sus avisos y en sus contratos con proveedores de servicios. La vía más sencilla es minimizar primero: entrenar con datos desidentificados o solo con los campos que necesita la tarea. Data Craft, el generador de conjuntos de datos de Studio, le permite editar cada ejemplo y hacer seguimiento de su estado de aprobación antes del entrenamiento. Puede eliminar los conjuntos de datos subidos, lo que resulta útil cuando una solicitud de supresión afecta a sus datos de origen.

La inferencia es donde la información personal circula de forma continua. Exporte el modelo entrenado en GGUF o safetensors y ejecútelo en su propio entorno: las peticiones de los consumidores y las respuestas del modelo nunca llegan a Ertas, lo que deja a Ertas fuera de esas divulgaciones. El modelo es suyo y su versión no cambia hasta que vuelva a entrenarlo. El endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutar el modelo en su propia nube o en sus propias instalaciones (on-premise).

Los avisos, los mecanismos de exclusión y de limitación del uso, la gestión de las solicitudes de los consumidores y la decisión sobre si una solicitud de supresión obliga a volver a entrenar un modelo quedan a su cargo, al igual que las evaluaciones de riesgos y las obligaciones sobre decisiones automatizadas de los reglamentos más recientes de California.

Compliance Checklist