Polémica por la gestión de datos personales en Claude

• La empresa Anthropic ha generado una fuerte controversia debido a que su nueva política de privacidad, que entrará en vigor el próximo 8 de julio, plantea dudas sobre la confidencialidad de los usuarios. El núcleo del problema reside en que los cambios podrían permitir la entrega de información personal y datos de verificación, como el DNI, a terceras partes, incluyendo potencialmente a las fuerzas de seguridad.

El próximo 8 de julio entrará en rigor la nueva política de privacidad de Claude y ya se está generando polémica por los cambios que implementará Anthropic sobre la entrega de datos personales a terceros. En particular, en las condiciones detrás del envío de información de identificación y verificación, como el DNI y los datos biométricos, a autoridades gubernamentales o fuerzas de seguridad.

Por estas horas, se están replicando reportes respecto de que Anthropic podrá entregar los datos personales de los usuarios de Claude a la Policía sin requerir de una orden judicial. Recordemos que la startup incorporó este año medidas de verificación con DNI o pasaporte para permitir el acceso a ciertas funciones y capacidades de su IA.

Cuando la firma que dirige Dario Amodei introdujo esta capa extra de protección, indicó que era para bloquear cuentas de Claude cuando se detectaran irregularidades. Por ejemplo, si las mismas pertenecían a menores de 18 años, a personas radicadas en países bloqueados como China y Corea del Norte, o si se detectaban violaciones a los términos de uso o repetidas infracciones a las políticas de uso.

Según indicó Anthropic por entonces, la verificación de identidad se realizaría a través de un tercero (una empresa llamada Persona Identities) y que esos datos no se usarían para entrenar sus modelos de inteligencia artificial ni para campañas de marketing. Incluso se remarcó que solo se compartiría con autoridades si era para cumplir con un pedido legal de cumplimiento obligatorio. Una solicitud judicial, por citar un ejemplo.

Pero la nueva política de privacidad de Claude, que se editó este mes y que comenzará a regir en julio, ya no habla solo del cumplimiento de requisitos legales, regulatorios o de seguridad para entregar los datos personales a las autoridades. También se habla de que podrá hacerlo sin que exista un proceso legal formal, bajo una "creencia de buena fe". Vale aclarar que esto aplica sobre todos los datos personales y no solo los de identificación y verificación.

La nueva política de privacidad de Claude: ¿Qué pasa con tus datos personales?

Si comparamos la nueva versión de la política de privacidad de Claude con la anterior, que todavía está vigente, encontramos diferencias claras en el fraseo respecto de la entrega de datos personales a terceros.

La versión actual, que rige hasta el próximo 7 de julio dice esto (traducida desde el inglés):

"De conformidad con los requisitos legales o reglamentarios, la seguridad, los derechos de terceros y para hacer valer nuestros derechos o nuestros términos. Podemos divulgar datos personales a las autoridades reguladoras gubernamentales según lo exija la ley, incluso para fines legales, fiscales o contables, en respuesta a sus solicitudes de dicha información o para colaborar en investigaciones. También podemos divulgar datos personales a terceros en relación con reclamaciones, disputas o litigios, cuando la ley lo permita o lo exija, o si determinamos que su divulgación es necesaria para proteger la salud y la seguridad de usted o de cualquier otra persona, para protegernos contra el fraude o el riesgo crediticio, para hacer valer nuestros derechos legales o los derechos legales de terceros, para hacer cumplir los compromisos contractuales que usted haya asumido, o según lo permita o exija la ley aplicable".

La nueva política de privacidad de Claude, que rige desde el próximo 8 de julio dice esto (también traducida del inglés):

"De conformidad con los requisitos reglamentarios o legales, la seguridad, los derechos de otros y para hacer valer nuestros derechos o nuestros términos. Podemos compartir datos personales con autoridades gubernamentales, fuerzas del orden u otros terceros cuando, basándonos en la información disponible para nosotros, tengamos la creencia de buena fe de que la divulgación es razonablemente necesaria para (i) cumplir con la ley, el reglamento o el proceso legal aplicable, incluso para fines legales, fiscales o contables, o en respuesta a una solicitud gubernamental exigible; (ii) prevenir daños graves a cualquier persona o propiedad; (iii) detectar, prevenir o abordar de otro modo el fraude u otra actividad ilegal; o (iv) hacer valer nuestros términos, o proteger los derechos, la propiedad, la seguridad o la integridad de Anthropic, nuestros usuarios u otros".

Lo que hace la nueva política de privacidad de Claude no es eliminar el requisito de una orden judicial o una solicitud gubernamental ejecutable. Lo que sí hace es clarificar que existen situaciones donde Anthropic podrá compartir información sin un pedido legal, basándose en el criterio de buena fe. ¿Esto qué significa? Que la empresa puede compartir los datos en cuestión si considera que puede existir un riesgo grave e inminente.

Anthropic no está inventando nada

Anthropic no está inventando nada con la nueva política de privacidad de Claude. La cláusula de "buena fe" no es un invento de la firma de inteligencia artificial, ni nada por el estilo. De hecho, esto se encuentra estipulado dentro de la legislación de Estados Unidos. Puntualmente, en la Ley de comunicaciones almacenadas, que a su vez es parte de la Ley de privacidad de las comunicaciones electrónicas.

En la sección 18 U.S. Code § 2702 de la citada normativa se habla de la divulgación de registros y comunicaciones de los clientes de forma voluntaria. Allí se estipula el concepto de buena fe por parte de los proveedores. Específicamente, para compartir información "sin demora" si se considera que puede haber "peligro de muerte o lesiones físicas graves para cualquier persona".

El texto que ahora presenta la política de privacidad de Claude es lenguaje estándar para este tipo de documentos. De hecho, muchas empresas tecnológicas incluyen descripciones bastante similares para el tratamiento de los datos personales de los usuarios. Google, por citar un ejemplo externo a Anthropic, también lo indica en su política de privacidad. Lo puedes ver en la siguiente imagen.

Queda claro, entonces, que los responsables de Claude no están inventando nada nuevo para tener una excusa para compartir tu DNI o datos biométricos (que son solo una porción de los datos personales que se recolectan) con la policía u otras autoridades. Lo que sí da más lugar a la controversia es la amplitud del concepto de "daños graves" o serious harm.

Aquí sí entra en escena una idea de mayor discrecionalidad. Después de todo, es la propia empresa la que determina qué es o no un daño grave, y no un juez u otra autoridad. Esto exige un nivel de transparencia que no todas las compañías están dispuestas a asumir o cumplir. Ya veremos qué sucede en este caso en particular.