Buk AI: Seguridad, Privacidad y Tratamiento de Datos

En este artículo encontrarás las respuestas a las principales dudas sobre la seguridad, privacidad de datos y gobernanza técnica detrás de Buk AI. Este contenido está diseñado para brindar total transparencia a administradores, equipos de TI y Oficiales de Seguridad sobre cómo protegemos la información de tu organización.

1. Modelos de IA y Tratamiento de Datos

¿Qué modelos de Inteligencia Artificial utiliza Buk AI y quién los provee? 

Buk utiliza modelos de lenguaje de gran escala (LLMs) propietarios a través de APIs comerciales empresariales, apoyándose en proveedores externos líderes como OpenAI, L.L.C. (familia GPT) y Google (Gemini).

• Rol de Buk: Buk actúa como integrador y es responsable del contexto, la arquitectura de prompts, la base de conocimiento y las herramientas que guían la respuesta.

• Propiedad intelectual: Los proveedores externos retienen la propiedad intelectual de los modelos base, mientras que Buk conserva la propiedad de los prompts, flujos e integraciones.

¿Se utilizan los datos de mi empresa para entrenar o reentrenar modelos de IA? 

No, en absoluto. Con el uso de Buk AI se garantiza lo siguiente:

• Los datos enviados no son utilizados para el entrenamiento ni mejora de los modelos de OpenAI, Google ni de ningún otro tercero.

• Buk no utiliza la información del cliente para entrenar modelos propios, salvo autorización explícita y previa.

• La información se envía únicamente para el procesamiento en tiempo real (inferencia) y el resultado es devuelto a Buk.

¿Cómo se protegen los Datos Personales Sensibles (PII)? 

Buk implementa enmascaramiento automático de PII antes de registrar cualquier traza o log en los sistemas de observabilidad:

• Se anonimizan automáticamente: RUT/DNI, correos electrónicos, números de tarjetas de crédito, contraseñas y valores monetarios.

• Cada consulta opera con aislamiento multi-tenant (el contexto del tenant y país se mantiene separado sin cruce de datos entre clientes).

• Se envía únicamente el contexto mínimo necesario para responder (últimos 10 mensajes).

2. Almacenamiento, Infraestructura y Seguridad (ISO 27001, ISO 42001 y GDPR)

¿Dónde y cómo se almacenan la información y el historial de chat?

• Almacenamiento permanente: La totalidad de la información del cliente y los resultados se almacenan exclusivamente en las bases de datos cifradas de Buk.

• Sin retención en terceros: Los proveedores de IA externos no almacenan la información del cliente de forma persistente; realizan un procesamiento temporal y devuelven el resultado a Buk inmediatamente.

• Historial de chat: Se mantienen los últimos 10 mensajes por sesión en memoria caché cifrada (AWS Valkey / ElastiCache dentro de la VPC de Buk).

¿Qué medidas de cifrado, seguridad y cumplimiento se aplican? Buk aplica controles de seguridad técnicos y organizativos alineados a los más altos estándares internacionales:

• Cumplimiento Normativo: Operamos en estricto cumplimiento de normativas internacionales de protección de datos, incluyendo el GDPR (Reglamento General de Protección de Datos). Además, nos encontramos alineados a la norma ISO 27001 y estamos en proceso de certificación para la ISO 42001 (Sistemas de Gestión de Inteligencia Artificial).

• Cifrado robusto: Todos los datos están cifrados en tránsito (TLS/HTTPS) y en reposo.

• Gestión de credenciales: Las claves de API y secretos se gestionan en gestores de infraestructura seguros, nunca expuestos en código.

• Aislamiento de infraestructura: La base de conocimiento vectorial opera en servidores AWS dentro de la red privada (VPC) de Buk, sin exposición pública.

3. Control, Trazabilidad y Gobernanza Técnica

¿Cómo se previene que el modelo genere respuestas erróneas o sufra "Data Poisoning"? 

Para mantener la precisión y mitigar desviaciones (Model Drift o respuestas fuera de contexto), Buk implementa:

• Arquitectura RAG con umbral estricto: Solo se incorporan documentos de la base de conocimiento cuando la similitud vectorial supera un umbral de exigencia definido, descartando datos irrelevantes o de baja confianza.

• Outputs estructurados: Las respuestas de herramientas utilizan esquemas tipados que limitan lo que la IA puede retornar.

• Límite de ejecución: Máximo 3 llamadas encadenadas de herramientas por respuesta para evitar bucles o comportamientos no controlados.

• Base de conocimiento cerrada: El contenido del vector store es gestionado y auditado exclusivamente por Buk.

¿Existe auditoría y trazabilidad de las interacciones? 

Sí. A través de la plataforma de observabilidad Langfuse se registra una traza completa de cada interacción:

• Se auditan: consumo de tokens, latencias, versión del prompt utilizado, modelo aplicado y herramientas ejecutadas.

• Todos los prompts están versionados y centralizados, permitiendo revertir cualquier cambio de forma inmediata sin necesidad de desplegar código.

¿Cómo se gestionan los permisos de acceso (RBAC)? 

El acceso a las funcionalidades de Buk AI está restringido mediante el motor de permisos de Buk (CanCan):

• Requiere permisos granulares por módulo y acción.

• Las acciones administrativas o de generación de contenido están bloqueadas para usuarios sin los roles o privilegios adecuados.

4. Supervisión Humana y Responsabilidad

¿La Inteligencia Artificial toma decisiones autónomas en RRHH? 

No. Buk AI actúa exclusivamente como un asistente informativo y auxiliar.

• No sustituye la supervisión, juicio ni decisión de los profesionales de Gestión de Personas.

• Las acciones críticas o modificaciones de datos dentro del sistema siempre requieren la confirmación explícita del usuario (Human-in-the-loop).

• El cliente es responsable de validar la exactitud de los resultados antes de tomar decisiones basadas en ellos.

¿Qué mecanismos existen en caso de detectar un comportamiento anómalo? 

Buk cuenta con Feature Flags activas que permiten desactivar el chatbot o herramientas específicas por cliente, país o de manera global en cuestión de segundos ante cualquier incidente de seguridad o degradación.

Consideraciones Importantes

• Uso exclusivo laboral: El servicio está diseñado para la gestión operativa y consultas del área de Recursos Humanos en la plataforma Buk.

• Mecanismo de Feedback: Cada respuesta del asistente incluye un endpoint para que los usuarios califiquen la utilidad de la respuesta y reporten imprecisiones para la mejora continua del sistema.