En mayo de 2025, la jueza federal Ona T. Wang, del tribunal federal del Distrito Sur de Nueva York, dictó una orden que las soluciones de gobernanza todavía no habían anticipado. En el juicio del New York Times contra OpenAI —por el uso de obras protegidas para entrenar a ChatGPT—, ordenó que la plataforma preservara los registros de conversaciones de los usuarios, incluidas las que ellos mismos habían eliminado. La decisión alcanzó a más de 400 millones de usuarios en todo el mundo. Según la jueza, esos datos podían servir como prueba y no podían desaparecer.
OpenAI les había prometido a los usuarios que una conversación eliminada se borraría de forma permanente en un plazo de 30 días. La orden judicial suspendió esa promesa de manera indefinida. Y no fue un caso aislado: en años anteriores, los litigios sobre preservación de datos ya habían pasado por archivos, correos electrónicos y documentos en la nube. Lo nuevo fue que llegaran a la conversación con IA, justo cuando la mayoría de las empresas todavía la veía solo como una herramienta, no como un registro de negocio.
La orden de preservación de la jueza Wang sacó a la luz un dilema que la mayoría de las empresas nunca había enfrentado: decidir si se guarda una conversación con IA suele ser una decisión del proveedor, no de la empresa. Cuando la empresa no decide, carga con los dos riesgos a la vez: el riesgo de retener datos de conversación para siempre sin autorización legal (riesgo regulatorio), o el riesgo de descartar datos justo cuando una orden judicial pide preservarlos (riesgo de litigio).
La conversación ya es un registro de negocio
La orden de la jueza Wang no es solo un problema de OpenAI. Es una advertencia para toda empresa que usa IA. Según el análisis del estudio de abogados Nelson Mullins sobre el caso, la decisión muestra que los compromisos de privacidad asumidos por los proveedores de IA pueden entrar en conflicto con las órdenes de exhibición de pruebas, y eso puede exponer a las empresas clientes a pedidos de divulgación de datos que ellas no controlan. Si la empresa le vende a alguien, firma un contrato con una autoridad, responde a una investigación —y alguien después cuestiona qué se hizo—, la conversación con IA puede volverse prueba.
Eso cambia el estatuto de la conversación. Ya no es solo un historial personal del empleado que conversó con la IA. Es un registro que la empresa puede tener la responsabilidad de guardar o de descartar, según la ley y lo que pida un tribunal. Pero nadie fue advertido antes de empezar a usar IA a gran escala. La mayoría de los departamentos adoptó la herramienta pensando en ganancias de productividad. Nadie en la empresa pensó: "¿y si alguien nos demanda y pide estas conversaciones?".
En la práctica, lo que pasó fue: las conversaciones quedaron en el servidor del proveedor. Si el proveedor las borraba, desaparecían. Si el proveedor las retenía, nadie en la empresa sabía por cuánto tiempo ni para qué. Cuando llegó el riesgo legal, la empresa se dio cuenta de que no tenía control.
Por qué las políticas genéricas no alcanzan
Muchas empresas escribieron una política de retención de datos el año pasado. La política dice algo como "retiene por 30 días" o "retiene por 1 año". El problema es que la política se escribe una vez y después queda archivada en el servidor de documentos. Cuando la empresa es demandada por un tema específico, un juez puede pedir: "preserve todo sobre la transacción fiscal entre octubre y noviembre", o "preserve toda conversación del área comercial con clientes de riesgo". La empresa no puede hacerlo si la retención es solo un estándar único: "todo por 30 días".
Según la guía de retención corporativa de Spinach AI, una política genuina necesita tres capas: definir qué es cada tipo de dato, definir cuánto tiempo se guarda cada tipo en cada contexto, y dejar espacio para preservar fuera del cronograma normal cuando hay una orden judicial. Pero para hacer eso, hace falta que la herramienta de IA de la empresa permita configuración por tipo de dato, por área y por nivel de riesgo, no solo un interruptor de "guardar todo" o "borrar todo".
La mayoría de las empresas hoy no tiene eso. O guardan conversaciones de forma indefinida (riesgo de exposición, riesgo regulatorio cuando la ley pide borrar), o borran todo en días (riesgo de no poder cumplir una orden judicial cuando llega). Ninguna de las dos opciones es cómoda.
Lo que tiene que existir en la práctica
Una empresa que quiere estar preparada para la realidad después de la decisión de mayo de 2025 necesita cinco mecanismos verificables, no una promesa.
Retención configurable por contexto y tipo de dato. La empresa define: una conversación personal se borra en 30 días. Una conversación con un cliente dura 6 meses. Una conversación sobre una decisión regulatoria dura lo que dure el proceso, más un año. Cuando un área hace algo sensible, el registro se conserva más tiempo. Todo esto de forma automática: la empresa no necesita una lista de espera de "borrar esto acá".
Descarte automático. Cuando el plazo vence, la conversación y su registro se destruyen sin intervención manual. Si no hay una orden judicial de preservación, llega la fecha y la conversación desaparece. Esto importa legalmente: la empresa puede probar que cumplió la regla de retención, no que se olvidó de borrar algo.
Datos de cada empresa separados. Si la empresa usa una plataforma compartida con otras organizaciones, la conversación de la empresa A no queda visible para nadie de la empresa B, ni para candidatos, ni para consultores externos. Aislamiento lógico reforzado en la propia base de datos, con políticas que ejecuta la plataforma, no algo que un operador humano tenga que recordar.
Acceso según el rol de cada persona. Un analista júnior ve las conversaciones de los casos en los que trabaja. Un director ve un resumen agregado de patrones y riesgos, no las conversaciones en sí. Un auditor ve todo cuando abre una investigación, y esa consulta queda registrada. No existe "alguien con acceso a todo siempre". Cada acceso es una acción registrada y auditable.
Registro de auditoría. ¿Quién pidió que se preservara una conversación, en qué fecha, por qué? ¿Quién accedió a la conversación de un cliente específico? ¿Cuánto tiempo se guardó antes de borrarse? Ante una auditoría o una investigación, la empresa puede responder: "acá está cada acción, en qué fecha, hecha por quién".
Así fue diseñada Skyller: retención configurable por contexto y descarte automático cuando el plazo vence.
Del improviso al plan
Toda empresa grande tiene una o dos personas que descubrieron una forma creativa de usar IA, y esa forma nunca sale de sus manos. El analista que encontró la manera perfecta de responder a un reclamo fiscal. La persona que armó el instructivo para revisar documentos de contrato. Nadie más sabe cómo hacerlo.
Cuando la empresa lleva la IA a una plataforma gobernada, esas conversaciones e instructivos dejan de ser propiedad de una sola persona. Pueden ponerse a disposición de otras personas del equipo —según su rol y sus permisos— y reutilizarse. Alguien crea; la empresa entera avanza. Y la empresa no empieza de cero: tiene acceso a modelos de procesos y políticas ya listos.
También hay un efecto en el presupuesto y en la visibilidad. Cuando cada persona compra su propia herramienta de IA, algunas gastan de más y otras casi no la usan. Cuando la retención queda dispersa entre varios proveedores, nadie sabe cuántos datos hay guardados ni dónde. Una plataforma de IA gobernada centraliza todo: créditos compartidos, consumo visible, riesgo visible. Si llega una orden judicial de preservación, la empresa sabe dónde están sus datos y puede cumplir.
Cinco preguntas para la próxima reunión
Antes de escribir otra política sobre IA, vale la pena responder estas preguntas con el área de TI, el departamento legal y los líderes de operaciones:
-
Si la empresa es demandada por prácticas de un área entre enero y marzo, ¿podemos preservar —y mostrar— toda la conversación de IA de ese período? Si la respuesta depende de buscar en varios proveedores, o de recordar quién usó qué herramienta, el problema no es de política. Es de arquitectura.
-
¿Cuántos datos de conversación con IA se están reteniendo en plataformas que la empresa ni siquiera sabe que existen? Si no puede responder, empiece por ahí: un inventario de las herramientas en uso.
-
Cuando la ley cambia —cambia el RGPD, cambia la Ley de IA de la UE, un nuevo regulador pide algo—, ¿podemos ajustar la retención en un día, o toma semanas de ticket con el proveedor? Si toma semanas, la empresa vive en un riesgo constante de incumplimiento durante esos días.
-
¿Existe un registro documentado de quién accedió a qué conversación, en qué fecha y por qué motivo? Si no existe, la empresa no puede demostrar seguridad en una auditoría.
-
¿La conversación que un director o auditor necesita ver está disponible rápidamente, o implica un pedido especial, un volcado de base de datos, una llamada con el proveedor? Si es lento, cuando llegue una orden judicial urgente, la empresa va a estar corriendo detrás de la respuesta bajo presión, en lugar de tener el proceso ya organizado.
