3. Política de Semáforo de Datos (Clasificación Dinámica)

Encabezado Estándar para todas las Políticas

Estado: PROVISORIA (Versión Beta - Sujeta a revisión trimestral)

Vigencia Efectiva: 01 de Enero de 2026

Autoridad: CISO / Comité de Riesgos

Sanciones: El incumplimiento conllevará acciones disciplinarias según el Reglamento Interno y leyes laborales vigentes.

3. Política de Semáforo de Datos (Clasificación Dinámica)

ID: POL-AI-03 | Enfoque: Control centrado en el Dato

1. Propósito

Regular el uso de la IA basándose en la sensibilidad de la información procesada, alineándose con la Política Global de Clasificación de la Información.

2. Directrices Normativas

• Nivel Verde (Público): Se permite el uso de IAs públicas y corporativas para datos clasificados como "Públicos".

• Nivel Amarillo (Interno): Se permite exclusivamente IAs corporativas (Tenant propio) para datos "Internos".

• Nivel Rojo (Confidencial/Secreto): Queda prohibido ingresar, procesar o analizar datos "Confidenciales" en cualquier sistema de IA, salvo autorización escrita del Dueño del Dato y el CISO en un entorno aislado (Sandbox).

• Etiquetado: Todo documento generado o modificado por IA debe heredar la etiqueta de sensibilidad más alta de los datos de origen.

3. Lo que debe dejar de ocurrir (Prohibiciones Explicitas)

• Desclasificación para procesar: Eliminar intencionalmente las etiquetas de confidencialidad (ej. quitar "Sensitivity Label" de Purview) para que el sistema DLP permita enviar el dato a una IA.

• Anonimización manual precaria: Intentar "borrar los nombres" manualmente de una base de datos de clientes para subirla a una IA, asumiendo que eso elimina el riesgo de re-identificación.