Política de uso de IA generativa

1. Introducción

Esta Política establece las obligaciones del Group ComponentSource, en relación con el uso de modelos, herramientas y sistemas de inteligencia artificial generativa (“AI”) (en conjunto, “Generative AI”), y las normas, reglamentos, procedimientos y principios que deben seguir la Company, sus empleados, agentes, contratistas u otras partes que trabajen en nombre de la Company, al usar Generative AI.

2. Ámbito

1. Los términos “inteligencia artificial” y “AI” no están actualmente definidos en las áreas del derecho que generalmente se aplican al uso de Generative AI.
   1. AI se ha definido como “tecnología que permite la programación o el entrenamiento de un dispositivo o software para –
      1. percibir entornos mediante el uso de datos;
      2. interpretar datos mediante un procesamiento automatizado diseñado para aproximarse a las capacidades cognitivas;
      3. hacer recomendaciones, predicciones o decisiones; con miras a lograr un objetivo específico”.
   2. Generative AI no tiene por el momento una definición jurídica independiente; sin embargo, puede definirse en términos generales como un tipo de AI que crea texto, imágenes, audio, vídeo o código de programación en respuesta a indicaciones introducidas por los usuarios. Esto es posible gracias al uso de grandes cantidades de datos de entrenamiento combinadas con algoritmos no supervisados y semisupervisados que comprenden el lenguaje natural.
2. Generative AI aún no está regulada directamente, pero se cruzan con ella otras áreas jurídicas, incluido el derecho de propiedad intelectual y el derecho de protección de datos. Otras cuestiones que surgen en relación con Generative AI incluyen riesgos relacionados con la exactitud, el sesgo, la desinformación, la información errónea y la discriminación.
3. ComponentSource se compromete no solo con la letra y el espíritu de las leyes pertinentes, sino también a garantizar que Generative AI se utilice de una manera que minimice los riesgos indicados anteriormente. Generative AI debe ser utilizada por empleados, agentes, contratistas u otras partes que trabajen en nombre de la Company con cuidado y la debida diligencia en todo momento y de conformidad con esta Política.
4. La Company considera que el uso innovador de Generative AI tiene el potencial de ser de gran valor para la Company y sus clientes. Esta Política tiene como objetivo garantizar que Generative AI se utilice en todo su potencial, minimizando al mismo tiempo la posibilidad de uso indebido intencional o involuntario, resultados ilícitos, resultados poco éticos, sesgo potencial, inexactitud, infracción de IP y el uso indebido (ilícito o de otro tipo) de datos personales.
5. El Data Protection Manager ("DPM") y el CIO son responsables de administrar esta Política y de desarrollar e implementar cualesquiera políticas, procedimientos y/o directrices relacionadas que sean aplicables:
6. Todos los managers son responsables de garantizar que todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la Company (“users”) cumplan esta Política y, cuando proceda, deben implementar las prácticas, procesos, controles y formación que sean razonablemente necesarios para garantizar dicho cumplimiento.
7. Cualquier duda relacionada con esta Política o con las leyes, reglamentos, principios o mejores prácticas aplicables debe dirigirse al DPM y/o al CIO.

3. Principios de aplicación de Generative AI

1. Los siguientes principios generales deben tenerse siempre presentes al usar Generative AI:
   1. Responsabilidad: Los users de herramientas de Generative AI son, en última instancia, responsables de su uso y de los resultados generados por dichas herramientas.
   2. Legalidad: Generative AI siempre debe usarse cumpliendo las leyes aplicables, incluidas, entre otras, la ley de protección de datos (como se establece más adelante en section 5 (Data Protection)) y la ley de propiedad intelectual (como se establece más adelante en section 8 (Intellectual Property Rights)).
   3. Confidencialidad y privacidad: Generative AI debe usarse siempre de una manera que proteja y preserve la confidencialidad y la privacidad de los datos, como se establece más adelante en section 5 (Data Protection) y section 6 (Confidentiality).
   4. Imparcialidad: Cuando Generative AI se utilice para generar resultados en los que exista riesgo de sesgo, deben adoptarse las medidas oportunas para identificar y mitigar dicho sesgo, como se establece más adelante en section 10 (Identifying and Mitigating Bias in Outputs).
   5. Claridad y transparencia: La aplicación y el resultado de Generative AI deben ser claros y comprensibles para los users y para los clientes y otros destinatarios, como se establece más adelante en section 11 (Transparency).

4. Evaluación y aprobación de herramientas de Generative AI y herramientas aprobadas

Cualquier herramienta de Generative AI aprobada para su uso dentro de la Company está sujeta a las restricciones establecidas en esta Política y, siempre que se cumpla esta Política durante su uso, las herramientas de Generative AI que en ella figuran pueden utilizarse sin evaluación o aprobación adicional por parte de users autorizados.

1. Las finalidades no evaluadas y aprobadas no deben emprenderse para actividades relacionadas con la Company, en dispositivos de propiedad de la Company o proporcionados por la Company, ni en combinación con ningún software proporcionado por la Company.
2. Al usar Generative AI, los users deben asegurarse de leer, comprender y seguir los términos de uso (también conocidos como terms and conditions), la política de privacidad y cualquier otro término o documentación relacionados con esa Generative AI.
3. Al usar Generative AI, los users deben ser conscientes de los datos con los que se ha entrenado Generative AI y de lo que se está usando esos datos para producir. Debe prestarse especial atención a la titularidad de los derechos de propiedad intelectual subsistentes en los datos de entrenamiento, a cualquier información confidencial o propietaria que pueda incluirse en los datos de entrenamiento, y a cualquier dato personal que pueda incluirse en los datos de entrenamiento. Los users también deben considerar cualquier sesgo o inexactitud que pueda ser inherente a los datos de entrenamiento, incluida la actualidad de esos datos de entrenamiento. Para más información sobre estas cuestiones, consulte las siguientes secciones de esta Política:
   1. Section 5 (Data Protection);
   2. Section 6 (Confidentiality);
   3. Section 8 (Intellectual Property Rights);
   4. Section 9 (Identifying and Mitigating Bias in Outputs); and
   5. Section 10 (Verifying Accuracy of Outputs).
4. Además, los users deben asegurarse de conocer y cumplir cualesquiera otras leyes, reglamentos, mejores prácticas o similares aplicables, que se apliquen a su finalidad concreta de uso de Generative AI.

5. Protección de datos

1. Las leyes de protección de datos consisten en un conjunto de normas que se aplican a la protección de datos y la privacidad e incluyen, entre otras, el EU GDPR, el UK GDPR, la UK Data Protection Act 2018 y la Privacy and Electronic Communications Regulations 2003, así como la California Consumer Privacy Act (CCPA).
2. Los términos “AI” y “inteligencia artificial” no están actualmente definidos en la ley de protección de datos; no obstante, cuando se usan datos personales con AI, la ley resulta aplicable. Puede aplicarse en cualquier fase, incluido el desarrollo, la implantación y el uso. En algunos casos, los datos de entrenamiento utilizados para Generative AI pueden incluir datos personales y/o una herramienta de Generative AI puede usarse posteriormente para tratar datos personales.
3. Las partes que usan datos personales pueden ser “controllers”, “processors” o “joint controllers”. Cuando se usan datos personales en combinación con Generative AI, es importante determinar en cuál de estas capacidades se actúa, ya que en cada caso pueden aplicarse distintas obligaciones legales.
4. Los GDPR del Reino Unido  y de la UE establecen principios básicos que cualquier parte que trate datos personales debe cumplir. Todos los datos personales deben:
   1. tratarse de manera lícita, leal y transparente en relación con las personas (“data subjects”);
   2. recogerse con fines determinados, explícitos y legítimos y no tratarse ulteriormente de una manera incompatible con dichos fines. El tratamiento ulterior con fines de archivo en interés público, fines de investigación científica o histórica, o fines estadísticos no se considerará incompatible con los fines iniciales;
   3. ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan;
   4. ser exactos y, cuando sea necesario, mantenerse actualizados. Deben adoptarse todas las medidas razonables para garantizar que los datos personales inexactos, teniendo en cuenta los fines para los que se tratan, se supriman o rectifiquen sin demora;
   5. conservarse de forma que permita la identificación de los data subjects durante no más tiempo del necesario para los fines para los que se traten. Los datos personales podrán conservarse durante períodos más largos en la medida en que los datos personales se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica, o fines estadísticos, sujeto a la implementación de las medidas técnicas y organizativas apropiadas requeridas para salvaguardar los derechos y libertades de los data subjects; y
   6. tratarse de manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daño accidentales, mediante el uso de medidas técnicas u organizativas apropiadas.
5. Cuando se utilice una herramienta de Generative AI que haya sido entrenada con datos personales y/o cuando se traten datos personales mediante una herramienta de Generative AI, los users deben asegurarse primero de leer, comprender y seguir la Data Protection Policy de ComponentSource y los términos de uso (o terms and conditions) y la política de privacidad de esa herramienta de Generative AI.
6. La Data Protection Policy de ComponentSource se aplica a todos los usos de datos personales dentro de la Company, para la Company y en nombre de la Company. Establece las obligaciones de la Company con respecto a la recogida, tratamiento, transferencia, almacenamiento y eliminación de datos personales. Cuando se usan datos personales en combinación con Generative AI, los procedimientos y principios establecidos en la Data Protection Policy deben ser seguidos en todo momento por la Company, sus empleados, agentes, contratistas u otras partes que trabajen en nombre de la Company.
7. Deben formularse las siguientes preguntas siempre que se utilice Generative AI para tratar datos personales. Para obtener todos los detalles, los users deben consultar la Data Protection Policy de la Company:
   1. ¿En qué base legítima se apoyará para tratar los datos personales?
   2. ¿Está usted/nosotros actuando en calidad de controller, joint controller o processor? (Es probable que un desarrollador que entrene AI usando datos personales sea un controller. Como user de Generative AI desarrollada por otra parte, usted/nosotros puede ser un controller, joint controller o processor. Si es necesario, debe consultar con el DPM o el CIO para obtener más ayuda.
   3. ¿Ha realizado una Data Protection Impact Assessment?
   4. ¿Cómo se mantendrá informados a los data subjects individuales y se garantizará la transparencia?
   5. ¿Cómo se mitigarán los riesgos de seguridad?
   6. ¿Cómo se mantendrá el tratamiento limitado y pertinente?
   7. ¿Cómo cumplirá las solicitudes formuladas por las personas para ejercer sus derechos legales (por ejemplo, las solicitudes de acceso de los data subjects)?
   8. ¿Utilizará Generative AI para tomar decisiones exclusivamente automatizadas que produzcan efectos jurídicos o de importancia similar?
8. Los users deben asegurarse de comprender plenamente cómo la herramienta de Generative AI utiliza las entradas de datos antes de introducir cualquier dato personal. Si Generative AI añade los datos de entrada a sus datos de entrenamiento y/o comparte esos datos con terceros, no deben usarse Datos Personales en combinación con esa herramienta de Generative AI sin el consentimiento expreso por escrito de las personas de las que se hayan obtenido los datos personales (sujeto a las finalidades para las que se obtuvieron los datos personales, que pueden permitir dicho tratamiento y compartición, y a la información proporcionada a los data subjects).
9. Cuando los datos personales también incorporen información confidencial y/o información propietaria protegida por derechos de propiedad intelectual, también pueden aplicarse las disposiciones de section 6 y section 8 de esta Política.
10. Cualquier duda relativa a los datos personales o a la ley de protección de datos, incluidas las relacionadas con los datos de entrenamiento, las entradas a una herramienta de Generative AI o los resultados producidos por Generative AI, debe dirigirse al DPM.

6. Confidencialidad

1. La Company define “Confidential information” como cualquier información designada por ComponentSource como confidencial, y cualquier otra información como sigue:
   1. toda y cualquier información confidencial o propietaria relativa a:
      1. el negocio, los customers, clients o suppliers de la Company;
      2. las operaciones, procesos, información de productos, secretos comerciales, know-how o información técnica de la Company; y
   2. información, datos, análisis o conclusiones adicionales derivados de dicha Confidential Information.
2. La definición de información confidencial establecida anteriormente también se aplicará a la información de esa naturaleza que se reciba de terceros y se designe como confidencial (por ejemplo, información confidencial sujeta a un acuerdo de confidencialidad, que también puede incorporar restricciones adicionales sobre el uso de dicha información).
3. La definición de Confidential information establecida anteriormente se aplicará tanto si la información confidencial es de naturaleza comercialmente sensible (o de otro tipo) como si no, y en cualquier forma tangible o intangible en que exista o se comunique la información confidencial.
4. Al usar cualquier información confidencial en combinación con una herramienta de Generative AI, los users deben atenerse a cualesquiera políticas específicas o a los términos de contratos específicos (por ejemplo, acuerdos de confidencialidad) que se apliquen a esa información confidencial. Si alguna política o contrato de este tipo prohíbe el uso de la información confidencial de tal manera, no debe usarse en combinación con Generative AI.
5. Los users deben asegurarse de comprender plenamente cómo la herramienta de Generative AI utiliza las entradas de datos antes de introducir cualquier información confidencial. Si la herramienta de Generative AI añade datos de entrada a sus datos de entrenamiento y/o comparte esos datos con terceros, la información confidencial no debe usarse en combinación con esa herramienta de Generative AI sin el consentimiento de la parte de la que se haya obtenido la información confidencial.
6. Cuando la información confidencial también incorpore datos personales y/o información propietaria protegida por derechos de propiedad intelectual, también pueden aplicarse las disposiciones de section 5 y section 8 de esta Política.
7. Cualquier duda relativa a la información confidencial, ya sea en relación con los datos de entrenamiento, las entradas a una herramienta de Generative AI o los resultados producidos por Generative AI, debe dirigirse al DPM y/o al CIO.

7. Seguridad

1. Las siguientes políticas de ComponentSource se aplican a los users de Generative AI para actividades relacionadas con la Company, en dispositivos de propiedad de la Company o proporcionados por la Company, o en combinación con cualquier software proporcionado por la Company. Al usar herramientas de Generative AI, los procedimientos y principios establecidos en estas políticas deben seguirse en todo momento:
   1. Cyber Security Policy;
   2. Data Protection Policy.
2. Tal como se establece anteriormente en la section 4 de esta Política, las herramientas de Generative AI deben evaluarse y aprobarse antes de su uso.
3. Tal como se establece anteriormente en la section 5, el uso de datos personales en combinación con Generative AI debe realizarse únicamente de conformidad con los principios y requisitos de la section 5, la Data Protection Policy de la Company y la legislación aplicable en materia de protección de datos.
4. Tal como se establece anteriormente en la section 6, el uso de información confidencial en combinación con Generative AI debe realizarse únicamente de conformidad con los principios y requisitos de la section 6 y solo cuando (y en la medida en que) lo permitan las políticas y contratos aplicables.
5. A los users que no estén autorizados a usar Generative AI para actividades relacionadas con la Company, en dispositivos de propiedad de la Company o proporcionados por la Company, o en combinación con cualquier software proporcionado por la Company, no se les deben dar acceso a esas herramientas por parte de users autorizados [sin aprobación previa por escrito del Data Protection Officer, ya sean esos users empleados de la Company, agentes, contratistas u otras partes que trabajen en nombre de la Company.
6. La siguiente información relacionada con la seguridad no debe introducirse en ninguna Generative AI por ningún motivo:
7. Cualquier duda relativa a la seguridad debe dirigirse al Data Protection Officer y/o al IT Department.

8. Derechos de propiedad intelectual

1. En el contexto de esta Política, el término “derechos de propiedad intelectual” significa patentes, derechos sobre invenciones, copyright y derechos afines, marcas, nombres comerciales, nombres de dominio, derechos sobre la imagen comercial y el trade dress, goodwill y el derecho a acciones por passing off, derechos de diseño, derechos sobre bases de datos, derechos subsistentes en el software, derechos de uso de información confidencial y el derecho a proteger los mismos, y cualesquiera otros derechos de propiedad intelectual, registrados o no registrados, incluidas las solicitudes y el derecho a solicitar (y obtener) renovaciones o ampliaciones de, y los derechos a reclamar prioridad sobre, cualesquiera de esos derechos y cualesquiera derechos equivalentes u otras formas de protección que subsistan ahora o en el futuro en cualquier lugar del mundo.
2. Las herramientas de Generative AI pueden usarse para crear una amplia gama de obras en las que subsistan derechos de propiedad intelectual. Del mismo modo, sus datos de entrenamiento pueden incorporar muchos tipos distintos de obras protegidas por derechos de propiedad intelectual y, en particular, por copyright.
3. Generative AI entrenada con datos de entrenamiento preexistentes generará resultados basados en esos datos tal como los procesen sus algoritmos internos. Generative AI que ha sido entrenada con datos protegidos por derechos de propiedad intelectual (por ejemplo, copyright, que subsiste en obras como texto, imágenes, fotografías y grabaciones sonoras) puede producir resultados que incorporen esos datos de entrenamiento o elementos de los mismos en mayor o menor grado. Por ello, es importante conocer los datos de entrenamiento utilizados, la situación de la titularidad de la propiedad intelectual en el contenido de esos datos de entrenamiento y la existencia y los términos de las licencias concedidas para su uso.
4. Generative AI a menudo no proporciona referencias de los materiales de sus datos de entrenamiento en los resultados. Los users deben ser conscientes de ello en todo momento cuando utilicen herramientas de Generative AI y no deben asumir que los datos de entrenamiento utilizados están correctamente licenciados salvo que dichas licencias estén documentadas y disponibles. Durante el proceso de evaluación y aprobación de nuevas herramientas de Generative AI se evaluarán los datos de entrenamiento, pero los users deben, no obstante, actuar con la debida diligencia.
5. Los resultados producidos por Generative AI deben, cuando proceda, ser revisados y comprobados por el user para garantizar el cumplimiento de cualesquiera y todas las licencias aplicables. Si no está claro que los datos de entrenamiento estén correctamente licenciados o que el resultado no infrinja los derechos de propiedad intelectual de un tercero, el resultado debe modificarse para que no infrinja derechos o eliminarse, según corresponda.
6. En caso de que no esté claro que los datos de entrenamiento estén correctamente licenciados o que el resultado no infrinja los derechos de propiedad intelectual de un tercero, y el resultado se haya utilizado posteriormente (por ejemplo, distribuido a otras partes o integrado en otro trabajo), deben adoptarse las medidas oportunas para modificar el resultado y hacerlo no infractor o para retirar, eliminar o recuperar el resultado e informar a cualquier parte a la que se haya distribuido.
7. La titularidad de los derechos de propiedad intelectual en los resultados producidos por Generative AI puede variar de una herramienta de Generative AI a otra y los users deben asegurarse de leer, comprender y seguir los términos de uso (o terms and conditions) y cualquier otra documentación relacionada con una herramienta concreta de Generative AI. En los casos en que el user de una herramienta concreta de Generative AI sea el titular de los derechos sobre la obra, la Company será la titular de todas las obras generadas por los empleados y exigirá a los contratistas que cedan o licencien la titularidad, según proceda, en los términos del contrato entre la Company y cada contratista.
8. Si los términos de uso (o terms and conditions) de una determinada Generative AI estipulan que debe aplicarse al resultado un etiquetado, reconocimiento o referencia específicos, los users deben asegurarse de que se cumplan esos requisitos.
9. Los users deben asegurarse de comprender plenamente cómo Generative AI utiliza las entradas de datos antes de introducir cualquier información o contenido que esté protegido por derechos de propiedad intelectual. Si Generative AI añade los datos de entrada a sus datos de entrenamiento y/o comparte esos datos con terceros, dicha información o contenido no debe usarse en combinación con esa Generative AI salvo que esté claramente licenciado para dicho uso.
10. Cualquier duda relativa a la titularidad de los derechos de propiedad intelectual, ya sea en los datos de entrenamiento, en las entradas a una herramienta de Generative AI o en los resultados producidos por Generative AI, debe dirigirse al Data Protection Officer.

9. Identificación y mitigación del sesgo en los resultados

1. Generative AI entrenada con datos de entrenamiento preexistentes generará resultados basados en esos datos tal como los procesen sus algoritmos internos. Como resultado, los sesgos presentes en los datos de entrenamiento también podrían estar presentes en los resultados producidos por esa Generative AI.
2. Generative AI a menudo no proporciona referencias de los materiales de sus datos de entrenamiento en los resultados. Los users deben ser conscientes de ello en todo momento al usar herramientas de Generative AI y nunca deben asumir que un resultado es imparcial o está libre de discriminación.
3. Los resultados producidos por herramientas de Generative AI deben, cuando proceda, ser revisados y verificados en cuanto a los hechos antes de que el user los utilice ulteriormente, empleando fuentes alternativas fiables y actualizadas, del mismo modo que se haría al realizar tareas similares sin usar Generative AI. En caso de que existan sesgos u otras inexactitudes, los resultados deben modificarse y corregirse según corresponda.

10. Verificación de la exactitud de los resultados

1. Generative AI entrenada con datos de entrenamiento preexistentes generará resultados basados en esos datos tal como los procesen sus algoritmos internos. Como resultado, las inexactitudes presentes en los datos de entrenamiento también podrían estar presentes en los resultados producidos por esa Generative AI. Por ejemplo, los datos de entrenamiento podrían ser exactos solo hasta un determinado momento.
2. Generative AI a menudo no proporciona referencias de los materiales de sus datos de entrenamiento en los resultados. Los users deben ser conscientes de ello en todo momento al usar Generative AI y nunca deben asumir que un resultado es correcto.
3. Los resultados producidos por Generative AI deben, cuando proceda, ser revisados y verificados en cuanto a los hechos por el user utilizando fuentes alternativas fiables y actualizadas, del mismo modo que se haría al realizar tareas similares sin usar Generative AI. En caso de que existan inexactitudes, los resultados deben modificarse y corregirse según corresponda.

11. Transparencia

1. Todo el contenido creado mediante herramientas de Generative AI debe etiquetarse como tal.

12. Formación

1. Todos los users que utilicen Generative AI recibirán formación sobre la aplicación de esta Política y sobre el uso seguro, responsable y lícito de Generative AI.

13. Notificación de uso indebido o preocupaciones y remisión de preguntas

1. Cualquier uso indebido de Generative AI (sospechado o real; intencional o accidental), otras preocupaciones relacionadas con su uso o preguntas relativas a temas incluidos, entre otros, los cubiertos por esta Política, deben remitirse a una o más de las siguientes personas, según corresponda:
   1. el DPM
   2. el CIO
   3. el CEO

14. Implementación de la Política

Esta Política se considerará efectiva a partir del 1 de noviembre de 2024. Ninguna parte de esta Política tendrá efecto retroactivo y, por lo tanto, solo se aplicará a asuntos ocurridos en esa fecha o con posterioridad.

CSGAIUP 10/2025