Política de uso de IA generativa

1. Introducción

Esta Política establece las obligaciones del Grupo ComponentSource en relación con el uso de modelos, herramientas y sistemas de inteligencia artificial generativa (“IA”) (denominados conjuntamente “GenAI”), así como las normas, disposiciones, procedimientos y principios que deben seguir la Empresa, sus empleados, representantes, contratistas u otras personas que actúen en su nombre al utilizar GenAI.

2. Ámbito de aplicación

1. Los términos “inteligencia artificial” e “IA” no están definidos actualmente en las ramas del derecho que se aplican con carácter general al uso de GenAI. El Reglamento de IA de la UE distingue las aplicaciones según su riesgo.
   1. La IA se ha definido como ”tecnología que permite programar o entrenar un dispositivo o software para:
      1. percibir entornos mediante datos;
      2. interpretar datos mediante un procesamiento automatizado diseñado para aproximarse a las capacidades cognitivas;
      3. formular recomendaciones, predicciones o decisiones con el fin de alcanzar un objetivo concreto.”
   2. Al margen de la interpretación de las disposiciones del Reglamento de IA de la UE, GenAI no tiene actualmente una definición jurídica independiente. No obstante, la inteligencia artificial puede definirse en sentido amplio como software que imita la inteligencia humana para realizar tareas como analizar datos, tomar decisiones y generar contenido. GenAI es un tipo de IA que crea texto, imágenes, audio, vídeo o código de programación en respuesta a instrucciones introducidas por los usuarios. Esto es posible gracias a grandes cantidades de datos de entrenamiento combinados con algoritmos no supervisados y semisupervisados que comprenden el lenguaje natural y están diseñados para mejorar mediante la experiencia y la exposición a datos. (Ejemplos: ChatGPT, Grok y Copilot).
2. La regulación de GenAI interactuará con otros ámbitos jurídicos, incluidos los derechos de propiedad intelectual y la protección de datos. Otras cuestiones relacionadas con GenAI incluyen riesgos de falta de precisión, sesgos, información errónea, desinformación y discriminación.
3. Aunque ComponentSource distribuye principalmente herramientas de software y componentes para el desarrollo de software, muchos de ellos incorporarán o facilitarán cada vez más funciones de IA. ComponentSource se compromete a cumplir tanto la letra como el espíritu de todas las leyes pertinentes en la medida en que sus actividades comerciales así lo exijan. Los empleados, representantes, contratistas y otras personas que actúen en nombre de la Empresa deben utilizar la IA en sus actividades con cuidado y diligencia debida en todo momento y conforme a esta Política.
4. La Empresa considera que un uso innovador de GenAI podría aportar un gran valor a ella y a sus clientes. Esta Política pretende aprovechar plenamente su potencial, a la vez que minimiza la posibilidad de uso indebido, intencionado o involuntario, resultados ilícitos o poco éticos, posibles sesgos, inexactitudes, infracciones de propiedad intelectual y uso indebido (ilícito o de otro tipo) de datos personales.
5. El Responsable de Protección de Datos (“DPM”) y el Director de Sistemas de Información (“CIO”) son responsables de administrar esta Política y de elaborar e implantar las políticas, procedimientos y directrices relacionados que correspondan.
6. Todos los responsables deben garantizar que los empleados, representantes, contratistas u otras personas que actúen en nombre de la Empresa (“usuarios”) cumplan esta Política y, cuando proceda, implantar las prácticas, procesos, controles y medidas de formación razonablemente necesarios para garantizarlo.
7. Las preguntas sobre esta Política o sobre las leyes, reglamentos, principios o buenas prácticas aplicables deben dirigirse al DPM y/o al CIO.

3. Principios de aplicación de GenAI

1. Al utilizar GenAI, deben tenerse siempre presentes los siguientes principios generales:
   1. Responsabilidad: Los usuarios de herramientas de GenAI son, en última instancia, responsables de su uso y de los resultados que generan.
   2. Legalidad: GenAI debe utilizarse siempre de conformidad con las leyes aplicables, incluidas, entre otras, el Reglamento de IA de la UE, la normativa de protección de datos (véase el apartado 5 (Protección de datos)) y la legislación sobre propiedad intelectual (véase el apartado 8 (Derechos de propiedad intelectual)).
   3. Confidencialidad y privacidad: GenAI debe utilizarse siempre de manera que proteja y preserve la confidencialidad y privacidad de los datos, según se detalla en los apartados 5 (Protección de datos) y 6 (Confidencialidad).
   4. Imparcialidad: Cuando exista riesgo de sesgo en los resultados generados con GenAI, deben adoptarse medidas adecuadas para identificarlo y mitigarlo, según se explica en el apartado 9 (Identificación y mitigación de sesgos en los resultados y verificación de su precisión).
   5. Claridad y transparencia: La aplicación y los resultados de GenAI deben ser claros y comprensibles para usuarios, clientes y otros destinatarios, según se explica en el apartado 10 (Transparencia).
   6. Uso ético: Todo uso de GenAI en ComponentSource debe ser responsable y reflejar los valores de la Empresa. Debe evitarse el contenido que pueda ser sesgado, discriminatorio u ofensivo. El contenido no debe inducir a error.
   7. Directrices:
      1. Las herramientas de GenAI pueden resultar útiles, pero no sustituyen el juicio ni la creatividad humana. Muchas producen respuestas falsas o información desactualizada, por lo que siempre se requiere una revisión humana cuidadosa.
      2. Toda información facilitada a una herramienta de GenAI debe tratarse como si pudiera difundirse masivamente por internet y atribuirse a la Empresa.
      3. Si el Departamento de TI no ha proporcionado una herramienta de GenAI, debe obtenerse autorización escrita del DPM o del ICO antes de utilizarla. Téngase siempre cuidado con los chatbots maliciosos diseñados para robar información o persuadir a los usuarios para que la revelen.
      4. Todas las respuestas de una herramienta de GenAI deben verificarse en cuanto a precisión, idoneidad, ausencia de sesgos y respeto de los derechos de propiedad intelectual y privacidad. Deben ajustarse a todas las políticas de la Empresa y leyes aplicables. En caso de duda, consúltese al DPM o al ICO antes de utilizarlas.
      5. No se debe cargar en una herramienta de GenAI información personal, confidencial o de propiedad de la Empresa, incluidos, entre otros, contraseñas, datos del personal o documentos confidenciales.
      6. Nunca se debe intentar integrar una herramienta de GenAI o contenido generado por GenAI con el software o los sistemas internos de la Empresa sin autorización específica y escrita del DPM o del CIO.

4. Evaluación y aprobación de herramientas de GenAI y herramientas aprobadas

Las herramientas de GenAI aprobadas para su uso en la Empresa están sujetas a las restricciones de esta Política. Si durante su uso se cumple la Política, los usuarios autorizados podrán utilizar las herramientas allí enumeradas sin más evaluación ni aprobación.

1. No deben realizarse actividades para fines no evaluados ni aprobados en dispositivos propiedad de la Empresa o facilitados por esta, ni en combinación con software proporcionado por ComponentSource, cuando estén relacionadas con la Empresa.
2. Los usuarios de GenAI deben asegurarse de haber leído y comprendido sus condiciones de uso, política de privacidad y cualquier otra condición o documentación pertinente, y cumplirlas.
3. Al utilizar GenAI, los usuarios deben considerar los datos con los que se ha entrenado y lo que se produce a partir de ellos. Deben prestar especial atención a la titularidad de los derechos de propiedad intelectual sobre los datos de entrenamiento, a la posible información confidencial o de propiedad incluida en ellos y a los posibles datos personales. También deben considerar sesgos o inexactitudes inherentes a dichos datos, incluida su vigencia. Para más orientación, véanse los siguientes apartados:
   1. Apartado 5 (Protección de datos)
   2. Apartado 6 (Confidencialidad)
   3. Apartado 8 (Derechos de propiedad intelectual)
   4. Apartado 9 (Identificación y mitigación de sesgos en los resultados y verificación de su precisión)
4. Además, los usuarios deben conocer y cumplir las demás leyes, reglamentos, buenas prácticas o requisitos similares aplicables al fin para el que utilizan GenAI.

5. Protección de datos

1. La legislación de protección de datos comprende distintas normas relativas a los datos y la privacidad, entre ellas, sin carácter exhaustivo, el RGPD de la UE, el RGPD del Reino Unido, la Ley de Protección de Datos británica de 2018, el Reglamento sobre Privacidad y Comunicaciones Electrónicas de 2003, la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento de IA de la UE.
2. Los términos “IA” e “inteligencia artificial” no están definidos actualmente en la legislación de protección de datos; sin embargo, esta se aplica cuando se utilizan datos personales con IA. Puede aplicarse en cualquier fase, incluido el desarrollo, despliegue y uso. En algunos casos, los datos de entrenamiento de GenAI pueden incluir datos personales y/o una herramienta de GenAI puede utilizarse posteriormente para tratarlos.
3. Las partes que utilizan datos personales pueden ser “responsables del tratamiento”, “encargados del tratamiento” o “corresponsables del tratamiento”. Al utilizar datos personales con GenAI, es importante determinar en cuál de estas capacidades se actúa, ya que pueden corresponder distintas obligaciones legales.
4. Los RGPD de la UE y del Reino Unido establecen principios fundamentales que debe cumplir toda parte que trate datos personales. Todos los datos personales deben:
   1. tratarse de manera lícita, leal y transparente en relación con las personas (“interesados”);
   2. recogerse con fines determinados, explícitos y legítimos, y no tratarse posteriormente de manera incompatible con dichos fines. El tratamiento posterior con fines de archivo en interés público, investigación científica o histórica, o fines estadísticos, no se considerará incompatible con los fines iniciales;
   3. ser adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento;
   4. ser exactos y, cuando sea necesario, mantenerse actualizados. Deben adoptarse todas las medidas razonables para suprimir o rectificar sin demora los datos inexactos en relación con los fines del tratamiento;
   5. conservarse de forma que permita identificar a los interesados durante un período no superior al necesario para los fines del tratamiento. Podrán conservarse durante más tiempo si se tratan exclusivamente con fines de archivo en interés público, investigación científica o histórica, o fines estadísticos, siempre que se apliquen las medidas técnicas y organizativas apropiadas para proteger los derechos y libertades de los interesados; y
   6. tratarse de manera que se garantice una seguridad adecuada, incluida la protección frente al tratamiento no autorizado o ilícito y frente a la pérdida, destrucción o daño accidental, mediante medidas técnicas u organizativas apropiadas.
5. Antes de utilizar una herramienta de GenAI entrenada con datos personales y/o tratar datos personales con ella, los usuarios deben asegurarse de haber leído y comprendido la Política de Protección de Datos de ComponentSource, así como las condiciones de uso y la política de privacidad de dicha herramienta, y cumplirlas.
6. La Política de Protección de Datos de ComponentSource se aplica a todo uso de datos personales dentro de la Empresa, para ella o en su nombre. Establece las obligaciones relativas a su recogida, tratamiento, transferencia, almacenamiento y eliminación. Al utilizar datos personales con GenAI, la Empresa, sus empleados, representantes, contratistas y demás personas que actúen en su nombre deben seguir en todo momento los procedimientos y principios de la Política de Protección de Datos.
7. Siempre que se utilice GenAI para tratar datos personales deben plantearse las siguientes preguntas. Para todos los detalles, consúltese la Política de Protección de Datos de ComponentSource:
   1. ¿En qué base jurídica se fundamentará el tratamiento de datos personales?
   2. ¿Actúa usted o actuamos nosotros como responsable, corresponsable o encargado del tratamiento? (Es probable que un desarrollador que entrene IA con datos personales sea responsable). Como usuario de GenAI desarrollada por terceros, usted o nosotros podemos desempeñar cualquiera de estas funciones. Si es necesario, consulte al DPM o al CIO.
   3. ¿Ha realizado una evaluación de impacto relativa a la protección de datos?
   4. ¿Cómo se mantendrá informados a los interesados y se garantizará la transparencia?
   5. ¿Cómo se mitigarán los riesgos de seguridad?
   6. ¿Cómo se mantendrá el tratamiento limitado y pertinente?
   7. ¿Cómo atenderá las solicitudes de ejercicio de los derechos legales de las personas (p. ej., solicitudes de acceso de los interesados)?
   8. ¿Utilizará GenAI para tomar decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar?
8. Antes de introducir datos personales, los usuarios deben comprender plenamente cómo utiliza la herramienta de GenAI los datos introducidos. Si incorpora dichos datos a los de entrenamiento y/o los comparte con terceros, no deben utilizarse datos personales con ella sin el consentimiento expreso y escrito de las personas de quienes se obtuvieron (sin perjuicio de los fines para los que se obtuvieron, que pueden permitir dicho tratamiento y comunicación, y de la información facilitada a los interesados).
9. Si los datos personales incluyen también información confidencial y/o información de propiedad protegida por derechos de propiedad intelectual, podrán aplicarse asimismo los apartados 6 y 8 de esta Política.
10. Las preguntas sobre datos personales o legislación de protección de datos, incluidas las relativas a los datos de entrenamiento, las entradas de una herramienta de GenAI o sus resultados, deben dirigirse al DPM.

6. Confidencialidad

1. La Empresa define “información confidencial” como toda información que ComponentSource o la Empresa designe como confidencial y la siguiente información adicional:
   1. toda información confidencial o de propiedad relativa a:
      1. el negocio, los clientes, los editores o los proveedores de la Empresa;
      2. las operaciones, los procesos, la información sobre productos, los secretos comerciales, los conocimientos técnicos o la información técnica de la Empresa; y
   2. otra información, datos, análisis o conclusiones derivados de dicha información confidencial.
2. La definición anterior también se aplica a la información de esta naturaleza recibida de terceros y designada como confidencial (por ejemplo, la sujeta a un acuerdo de confidencialidad, que puede imponer restricciones adicionales a su uso).
3. La definición anterior se aplica con independencia de que la información sea sensible desde un punto de vista comercial o de otro tipo, y cualquiera que sea su forma tangible o intangible o su modo de comunicación.
4. Al utilizar información confidencial con una herramienta de GenAI, los usuarios deben cumplir las políticas específicas o las condiciones de los contratos pertinentes (p. ej., acuerdos de confidencialidad). Si alguna política o contrato prohíbe ese uso, la información no debe utilizarse con GenAI.
5. Antes de introducir información confidencial, los usuarios deben comprender plenamente cómo utiliza la herramienta de GenAI los datos introducidos. Si los incorpora a sus datos de entrenamiento y/o los comparte con terceros, no debe utilizarse esa información sin el consentimiento de la parte de la que se obtuvo.
6. Si la información confidencial incluye también datos personales y/o información de propiedad protegida por derechos de propiedad intelectual, podrán aplicarse asimismo los apartados 5 y 8 de esta Política.
7. Las preguntas sobre información confidencial, ya sea en los datos de entrenamiento, las entradas de una herramienta de GenAI o sus resultados, deben dirigirse al DPM y/o al CIO.

7. Seguridad

1. Las siguientes políticas de ComponentSource se aplican a los usuarios de GenAI para actividades relacionadas con la Empresa, en dispositivos propiedad de esta o facilitados por ella, o en combinación con software que proporcione. Al utilizar herramientas de GenAI deben seguirse siempre sus procedimientos y principios:
   1. Política de Ciberseguridad;
   2. Política de Protección de Datos.
2. Como establece el apartado 4, las herramientas de GenAI (incluidas sus nuevas versiones) deben evaluarse y aprobarse antes de utilizarlas.
3. Como establece el apartado 5, los datos personales solo pueden utilizarse con GenAI conforme a los principios y requisitos del apartado 5, la Política de Protección de Datos de la Empresa y las leyes de protección de datos aplicables.
4. Como establece el apartado 6, la información confidencial solo puede utilizarse con GenAI conforme a los principios y requisitos del apartado 6 y en la medida permitida por las políticas y contratos aplicables.
5. Los usuarios autorizados no deben facilitar acceso a estas herramientas a quienes no estén autorizados para usar GenAI en actividades relacionadas con la Empresa, en dispositivos propiedad de esta o facilitados por ella, o junto con software proporcionado por ella, salvo autorización previa y escrita del DPM. Esto se aplica a empleados, representantes, contratistas y demás personas que actúen en nombre de la Empresa.
6. Las preguntas sobre seguridad deben dirigirse al DPM y/o al Departamento de TI.

8. Derechos de propiedad intelectual

1. En esta Política, “derechos de propiedad intelectual” comprende patentes, derechos sobre invenciones, derechos de autor y derechos conexos, derechos morales, marcas comerciales y de servicio, nombres comerciales, nombres de dominio, derechos sobre la presentación e imagen comercial, fondo de comercio y acciones por usurpación de denominación, derechos sobre diseños y bases de datos, derechos sobre software, derechos de uso y protección de información confidencial y cualesquiera otros derechos de propiedad intelectual, registrados o no, incluidas las solicitudes, los derechos a solicitar y obtener renovaciones o prórrogas y a reivindicar prioridad, así como los derechos equivalentes y otras formas de protección existentes ahora o en el futuro en cualquier parte del mundo.
2. Las herramientas de GenAI pueden crear una amplia variedad de obras sujetas a derechos de propiedad intelectual. Asimismo, sus datos de entrenamiento pueden incluir muchas clases de obras protegidas, especialmente por derechos de autor.
3. Una GenAI entrenada con datos preexistentes genera resultados basados en el procesamiento de esos datos mediante sus algoritmos internos. Si se entrenó con datos protegidos por derechos de propiedad intelectual (p. ej., derechos de autor sobre textos, imágenes, fotografías y grabaciones sonoras), sus resultados pueden incorporar esos datos o elementos de ellos en mayor o menor medida. Por ello, es importante conocer los datos utilizados, la titularidad de los derechos sobre su contenido y la existencia y condiciones de las licencias para utilizarlos.
4. GenAI a menudo no proporciona referencias de los materiales de entrenamiento en sus resultados. Los usuarios deben tenerlo siempre presente y no presumir que los datos están correctamente licenciados salvo que las licencias estén documentadas y disponibles. Aunque los datos de entrenamiento se examinarán al evaluar y aprobar nuevas herramientas, los usuarios deben seguir actuando con la debida diligencia.
5. Cuando corresponda, el usuario debe revisar los resultados de GenAI para comprobar que cumplen todas las licencias aplicables. Si no está claro que los datos de entrenamiento tengan la licencia adecuada o que el resultado no infrinja derechos de terceros, deberá modificarse para eliminar la infracción o suprimirse, según proceda.
6. Si persiste esa incertidumbre y el resultado ya se ha utilizado (p. ej., distribuido a otros o integrado en otra obra), deberán adoptarse medidas adecuadas para modificarlo y eliminar la infracción, o retirarlo, borrarlo o reclamar su devolución, e informar a quienes lo hayan recibido.
7. La titularidad de los derechos sobre los resultados de GenAI puede variar entre herramientas. Los usuarios deben leer, comprender y cumplir sus condiciones de uso y demás documentación. En los casos en que el usuario sea titular de los derechos sobre la obra, la Empresa será titular de todas las obras creadas por empleados y exigirá a los contratistas que cedan o licencien los derechos, según corresponda, conforme a sus contratos con la Empresa.
8. Si las condiciones de uso de una GenAI exigen alguna etiqueta, reconocimiento o referencia para el resultado, los usuarios deben cumplir dicho requisito.
9. Antes de introducir información o contenido protegido por derechos de propiedad intelectual, los usuarios deben comprender plenamente cómo utiliza GenAI los datos introducidos. Si los añade a sus datos de entrenamiento y/o los comparte con terceros, no deben utilizarse con ella salvo que exista una licencia clara para ese uso.
10. Las preguntas sobre la titularidad de los derechos de propiedad intelectual en los datos de entrenamiento, las entradas de una herramienta de GenAI o sus resultados deben dirigirse al DPM.

9. Identificación y mitigación de sesgos en los resultados y verificación de su precisión

1. Una GenAI entrenada con datos preexistentes genera resultados a partir del procesamiento de esos datos mediante sus algoritmos internos. Por tanto, los sesgos o inexactitudes de los datos de entrenamiento pueden aparecer también en los resultados. Por ejemplo, dichos datos pueden ser exactos solo hasta una fecha determinada.
2. GenAI a menudo no proporciona referencias de los materiales de entrenamiento en sus resultados. Los usuarios deben tenerlo siempre presente y nunca presumir que un resultado es correcto, imparcial o no discriminatorio.
3. Cuando corresponda, antes de seguir utilizando los resultados, el usuario debe revisarlos y verificar los hechos con fuentes alternativas fiables y actualizadas, como haría para tareas similares sin GenAI. Si contienen sesgos u otras inexactitudes, deben modificarse y corregirse.

10. Transparencia

Todo contenido creado con herramientas de GenAI debe identificarse como tal.

11. Formación

1. Todos los usuarios de GenAI recibirán formación sobre la aplicación de esta Política y el uso seguro, responsable y lícito de GenAI.
2. Los usuarios no deben utilizar herramientas de GenAI en actividades relacionadas con la Empresa, en dispositivos propiedad de esta o facilitados por ella, o junto con software proporcionado por ella, hasta completar la formación pertinente.

12. Comunicación de usos indebidos o inquietudes y remisión de preguntas

1. Todo uso indebido de GenAI (sospechado o real; intencionado o accidental), otras inquietudes sobre su uso o preguntas sobre temas incluidos o no en esta Política deben remitirse al DPM y/o al CIO.
2. La infracción de esta Política por un empleado de ComponentSource se considerará una falta disciplinaria muy grave que podría dar lugar al despido e incluso a acciones legales.

13. Entrada en vigor de la Política

Esta Política entra en vigor el 1 de noviembre de 2025.
Su revisión está prevista para el 31 de octubre de 2026.

CSGAI 11/2025