¿Qué es un secreto empresarial, en el sentido de la ley?
Su empresa responde a licitaciones, a cuestionarios de seguridad, a cuestionarios de due diligence (el DDQ que un cliente le dirige antes de confiarle un contrato). Con los años, estas respuestas forman una biblioteca: su organización, sus métodos, sus precios y su construcción, sus referencias de clientes, la arquitectura de sus sistemas, sus compromisos contractuales. Esta biblioteca es lo que le permite responder rápido y bien. Es también, muy probablemente, un secreto empresarial en el sentido de la ley.
La directiva (UE) 2016/943, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados, transpuesta en cada Estado miembro de la Unión Europea (en España, por la Ley 1/2019 de Secretos Empresariales), define el secreto empresarial en estos términos:
> «Está protegida en concepto de secreto empresarial toda información que reúna los siguientes requisitos: > 1.º No es, en su conjunto o en la configuración y reunión precisas de sus componentes, generalmente conocida por las personas pertenecientes a los círculos en que normalmente se utilice el tipo de información en cuestión, ni fácilmente accesible para ellas; > 2.º Tiene un valor comercial, real o potencial, precisamente por ser secreta; > 3.º Ha sido objeto de medidas razonables, por parte de su titular, para mantenerla secreta.»
La persona titular legítima es «quien ejerce su control de modo lícito». Tres condiciones, acumulativas. Las dos primeras describen la información. La tercera describe lo que usted hace con ella. Esta definición proviene de la directiva (UE) 2016/943 sobre protección de los conocimientos técnicos; en España se aplica a través de la Ley 1/2019 de Secretos Empresariales, que la transpone.
Este sitio no ofrece asesoramiento jurídico. Plantea la pregunta que su asesor debe responder, y la plantea porque rara vez se formula en el momento en que importa: aquel en que se elige una herramienta.
¿Por qué una biblioteca de respuestas cumple las dos primeras condiciones?
Primera condición: la información no es generalmente conocida. Tomada pieza por pieza, una parte de su biblioteca es pública: sus certificaciones, su plantilla, su dirección. Pero el texto legal también se refiere a «la configuración y reunión precisas de sus componentes». El ensamblaje de sus respuestas, es decir, la manera en que describe su método, en que construye un precio, en que responde a una pregunta de seguridad sobre su arquitectura, no lo conoce nadie más que usted. Es precisamente por eso que a un competidor le gustaría leerla.
Segunda condición: un valor comercial derivado del carácter secreto. El valor de su biblioteca reside en que sus competidores no la tienen. Una tarifa de precios conocida por todos deja de ser una ventaja. Una respuesta a un cuestionario de seguridad que describe sus controles y sus puntos débiles tiene un valor para usted, y otro distinto para quien quisiera atacarle. Una referencia de cliente detallada, un método de despliegue, un compromiso de nivel de servicio: cada uno vale por lo que los demás ignoran.
Estas dos condiciones se cumplen por la propia naturaleza de la biblioteca. Nadie tiene que decidir nada para que se cumplan.
La tercera condición es la que depende de usted
«Medidas razonables, teniendo en cuenta las circunstancias.» Es la condición que la empresa cumple o no cumple con sus actos. Y es la que pone en juego la elección de una herramienta de IA.
Incorporar su biblioteca de respuestas a una herramienta es confiársela. La pregunta no es si la herramienta es útil; lo es. La pregunta es si las circunstancias de esa confianza siguen constituyendo una medida de protección razonable. Cuatro puntos la determinan, y cada uno se lee en las condiciones contractuales de la herramienta, no en su folleto.
| Medida de protección | Lo que protege | La pregunta que plantear a la herramienta, contrato en mano |
|---|---|---|
| La localización del tratamiento | El perímetro jurídico en el que existen sus respuestas | ¿Dónde se tratan sus documentos, no solo se almacenan, y bajo qué derecho? |
| El uso de los datos | La exclusividad de su saber | ¿Sirven sus documentos o sus respuestas para mejorar un modelo compartido con otros clientes, incluso de forma agregada? |
| La reversibilidad | El control en el tiempo | Al final del contrato, ¿se le restituyen sus datos en un formato reutilizable, y se elimina con certificado todo lo que deriva de ellos (índices, representaciones, registros, copias de seguridad)? |
| La trazabilidad | La prueba de que ha tomado las medidas | ¿Puede establecer, para cada respuesta entregada, de dónde viene y quién ha tenido acceso a ella? |
Una empresa que puede responder con precisión a estas cuatro preguntas ha tomado medidas de protección, y puede demostrarlo. Una empresa que no puede ha debilitado quizá, sin quererlo, la tercera condición, y con ella la protección del conjunto.
En la plataforma Optivalue.ai, que edita este sitio, la instancia es privada por cliente y nunca se mutualiza entre organizaciones; se despliega en modo compartido, en nube privada o en sus propias instalaciones, con un alojamiento posible en más de 80 países, en la jurisdicción elegida; y la reversibilidad es contractual: restitución en un formato reutilizable, eliminación fechada que cubre los derivados, las copias de seguridad y los subcontratistas, certificado auditable, y prohibición de utilizar sus datos, incluso agregados, en beneficio de otros clientes. Sus documentos permanecen en su empresa, y usted puede demostrarlo.
El matiz que lo aclara todo
No todos los datos que confía a una IA son un secreto empresarial. Reformular un correo, resumir un artículo público, poner en limpio una nota de reunión sin contenido sensible: la IA genérica hace esto muy bien, y la cuestión de la normativa de secretos empresariales no se plantea, porque la primera condición no se cumple.
La cuestión se plantea en el momento preciso en que es la biblioteca misma la que se incorpora: las respuestas acumuladas, los precios, los métodos, las descripciones de sus sistemas. Es ahí donde la herramienta deja de ser un asistente de redacción y se convierte en depositaria de lo que le distingue. Un borrador no compromete a nadie. Su biblioteca, sí.
Tres preguntas que marcan la línea
Antes de incorporar sus respuestas a una herramienta, tres preguntas que plantear a su asesor jurídico y al proveedor, en este orden:
- ¿Qué contiene exactamente lo que incorporamos? Haga la lista: precios y su construcción, métodos, referencias nominativas, arquitectura de seguridad, compromisos contractuales. Si la lista contiene alguno de estos elementos, la primera y la segunda condición del secreto empresarial probablemente se cumplen.
- ¿Nos permiten las condiciones del proveedor afirmar que hemos tomado medidas razonables? Localización del tratamiento, uso de los datos, reversibilidad, trazabilidad: las cuatro líneas de la tabla anterior, con la cláusula que las cubre.
- ¿Podríamos demostrarlo ante un tribunal o un auditor? La tercera condición no exige solo medidas; exige poder establecer que se han tomado. Un contrato, un registro de accesos, un certificado de eliminación son pruebas. Un folleto no lo es.
Preguntas frecuentes
¿Es una IA genérica de uso general necesariamente incompatible con el secreto empresarial? No. Todo depende de las condiciones de uso suscritas y de lo que se le incorpore. La cuestión del secreto empresarial no recae sobre la herramienta en sí, sino sobre las medidas de protección tomadas, teniendo en cuenta las circunstancias. Son las condiciones contractuales y el contenido confiado los que responden, no la marca de la herramienta.
¿Tiene consecuencias concretas perder la protección del secreto empresarial? La protección de la normativa de secretos empresariales abre vías de recurso contra la obtención, la utilización o la divulgación ilícitas de un secreto. Si la tercera condición deja de cumplirse, esos recursos se vuelven inciertos. Su asesor jurídico es el interlocutor adecuado para valorar lo que esto significa en su situación.
¿Nos afecta esto en nuestras respuestas a cuestionarios de seguridad? Les afecta especialmente. Una respuesta a un cuestionario de seguridad describe sus controles, su arquitectura y, a menudo, sus carencias. Su valor comercial reside en su carácter secreto, y su divulgación tendría también una consecuencia de seguridad.
¿Qué vale una cláusula que promete no entrenar ningún modelo con nuestros datos? Vale lo que cubre. Lea si se extiende a los datos agregados, a los derivados (índices, representaciones vectoriales), a los subcontratistas, y a lo que ocurre tras el final del contrato. Una cláusula que cubre los cuatro es una medida de protección; una cláusula que solo cubre uno deja tres puertas abiertas.
¿Basta una instancia privada para cumplir la tercera condición? Contribuye a ello, con la localización del tratamiento, la reversibilidad y la trazabilidad. No exime de las medidas internas: derechos de acceso, registro de actividad, sensibilización de los equipos. La ley habla de medidas «teniendo en cuenta las circunstancias»: es el conjunto lo que cuenta.
Vea una instancia privada tratar sus propios documentos, sin que salgan de su empresa
Traiga una licitación real, un cuestionario de seguridad o un DDQ. Verá la cobertura de extracción, las fuentes citadas por página y el análisis de brechas sobre su documento, en una instancia dedicada a usted, no una demostración preparada.
Descubrir la plataforma Optivalue.ai · Reservar una demostración
Fuentes citadas
- La Ley 1/2019 de Secretos Empresariales (que transpone la Directiva (UE) 2016/943 sobre protección de los conocimientos técnicos y la información empresarial no divulgados).
- Directiva (UE) 2016/943, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados contra su obtención, utilización y divulgación ilícitas (transpuesta al Derecho nacional en cada Estado miembro).