Derya es responsable de éxito del cliente en una empresa internacional de software. Dedica gran parte del día a reuniones en línea con clientes: escucha nuevas necesidades, traslada problemas técnicos a los equipos correspondientes, habla de renovaciones contractuales e intenta resolver insatisfacciones. Para evitar que los empleados tengan que tomar notas continuamente, la empresa empieza a utilizar un asistente de reuniones basado en inteligencia artificial. El sistema se incorporará a las reuniones, transcribirá las conversaciones, resumirá las decisiones y preparará la lista de tareas. La primera explicación a los empleados es: «El Asistente de Reuniones se utilizará para preparar las notas de las conversaciones en línea y extraer las tareas al terminar. Las grabaciones se eliminarán en un plazo de treinta días».

Derya encuentra el sistema útil. Puede prestar atención al cliente sin tratar de tomar notas al mismo tiempo. Un resumen típico de la reunión dice: Solicitud del cliente: Simplifique la pantalla de informes Decisión: El equipo técnico propondrá una solución dentro de dos semanas Responsable: Derya y el equipo de producto Fecha límite: 18 de octubre Durante los primeros meses, el sistema funciona exactamente como se prometió. Cuando Derya comienza una reunión, ve que el asistente se ha unido. Se informa al cliente sobre la grabación y el resumen.

Después de la reunión, Derya revisa el resumen y corrige cualquier error. Nadie usa las grabaciones para evaluar el desempeño de los empleados. Nadie convierte las palabras de los clientes en perfiles de ventas. Nadie usa la voz de Derya para generar otro contenido. El sistema tiene un propósito claro:

Preparar las notas de la reunión.

Seis meses después, la empresa compra una nueva función. El proveedor la presenta así: «Conversation Intelligence — Obtenga más valor de sus conversaciones con clientes». Con las grabaciones existentes, el nuevo sistema podrá analizar las objeciones, las preguntas frecuentes, las oportunidades de venta y la forma de hablar de los empleados. La dirección no considera el cambio un nuevo uso de datos porque las reuniones ya se graban. No se ha instalado ningún micrófono nuevo ni se ha pedido a los empleados otro archivo.

No se recopila nueva información de los clientes. Las grabaciones existentes simplemente se “pondrán para un mejor uso”. Un breve anuncio dice a los empleados: “Estamos mejorando nuestro asistente de reuniones con nuevas funciones analíticas para mejorar la calidad del servicio”. “Mejorar la calidad del servicio” suena como hacer que las notas de las reuniones sean más precisas. Pero tomar notas ya no es la única tarea del sistema. El nuevo agente comienza a producir un conjunto de medidas para cada empleado: la proporción de tiempo dedicado a escuchar al cliente, el tiempo de conversación, el uso de palabras negativas, el éxito en el manejo de las objeciones, la estabilidad emocional, el reconocimiento de las oportunidades de ventas y la capacidad de dirigirse hacia una venta. Derya no ve inicialmente estas puntuaciones.

Los resultados van a los jefes de equipo. En poco tiempo, comentarios como estos comienzan a aparecer en las reuniones de ventas semanales: “Derya escucha bien a los clientes, pero no cierra la venta con la suficiente firmeza”. “Su puntuación de estabilidad emocional ha caído en sus últimas cuatro llamadas”. “Su tasa de reconocimiento de oportunidades de ventas está por debajo del promedio del equipo”. Derya está sorprendida. Ella no sabía que estaba siendo evaluada de esta manera. Ella ha tenido una semana difícil porque su madre ha estado en el hospital. En las llamadas de los clientes, ella ha hablado más lenta y silenciosamente de lo habitual.

El sistema lo interpreta como: Emotional stability: Below expected level. La situación de la madre de Derya no forma parte del asunto del sistema; este la desconoce. Sin embargo, transforma las pausas de su voz y la velocidad de habla en una cualidad de la empleada. En la siguiente evaluación de desempeño, su responsable le dice: «Tus conocimientos técnicos y tu relación con los clientes son sólidos. Pero los datos del análisis de conversaciones plantean algunas dudas sobre la firmeza necesaria para una función de liderazgo». Derya descubre por primera vez que las puntuaciones del asistente de reuniones influyen en la decisión sobre su ascenso.

Pregunta a la empresa: «¿No se utilizaba este sistema para tomar notas de las reuniones?». Recursos Humanos responde: «No recopilamos datos con una finalidad nueva. Aprovechamos las grabaciones existentes para mejorar el servicio y el desarrollo de los empleados». Derya contesta: «Yo hablé para que se tomaran notas, no para que puntuaran mi carrera». La empresa investiga el asunto. Mientras tanto, el sistema se ha ampliado aún más. El agente Conversation Intelligence identifica las conversaciones de mayor éxito y las utiliza para formar a nuevos empleados, crear guiones de venta, alimentar un agente de atención al cliente de inteligencia artificial y sugerir correos automáticos.

Algunas conversaciones de Derya con clientes se etiquetan como «ejemplos de comunicación de gran impacto». El modelo de voz del proveedor genera nuevas voces comerciales a partir del ritmo natural de los empleados. No copia exactamente la voz de Derya, pero su cadencia, sus patrones para responder a objeciones, sus elecciones léxicas y sus cambios de tono han entrado en los datos de entrenamiento. La empresa no lo considera clonación personal de voz porque la voz sintética resultante no se publica con el nombre de Derya. Nadie vuelve a pedirle permiso. Otro sistema analiza también las palabras de los clientes en esas reuniones.

Las inquietudes presupuestarias, las carencias técnicas, la probabilidad de renovación y el interés por productos competidores se convierten en perfiles comerciales. En una reunión, un cliente dijo: «Este año tenemos un presupuesto muy limitado. Quizá debamos reducir algunos equipos». En las notas, la frase solo aportaba contexto sobre el presupuesto de licencias del año siguiente. El nuevo agente de ventas la convierte en etiquetas: Financial pressure: high Renewal vulnerability: high Discount sensitivity: high Otro agente prepara una oferta personalizada.

La oferta dice: “Si decides este mes, puedes mantener el precio actual”. El sistema ha convertido la presión que el cliente reveló durante la reunión en una táctica de ventas. El cliente habló para explicar un problema, no para invitar a la presión de precios adaptada a su vulnerabilidad financiera. La grabación de la reunión es la misma. Las identidades son correctas. La declaración no es falsa. Pero el propósito de su uso ha cambiado.

Derya quiere detener todo uso de sus datos ajeno a las notas de las reuniones. La empresa acepta la solicitud e inicia la supresión de las grabaciones originales. Una semana después le envía: «Las grabaciones de sus reuniones han sido eliminadas de nuestro sistema». En realidad, solo se borraron los archivos originales de audio y vídeo. En el sistema siguen presentes:

Transcripciones
Puntuaciones de rendimiento del empleado
La etiqueta de estabilidad emocional
El perfil de habilidades de ventas
Patrones de frases incorporados en el conjunto de datos de entrenamiento
Vectores derivados de las características de la voz
El informe utilizado en la decisión de promoción
Inferencias transferidas a perfiles de clientes
Pesos ya aprendidos por el modelo de ventas de IA

La compañía dice: “Eliminamos los datos en bruto”. Derya pregunta:

"Si ha eliminado los datos en bruto, ¿por qué las conclusiones que produjo sobre mí siguen funcionando?"

Al equipo de datos le cuesta responder. La finalidad inicial del asistente y las finalidades posteriores no se encuentran en un único sistema. Con el tiempo, los datos se han dispersado: Grabación de la reunión → Resumen → Puntuación de desempeño → Decisión de ascenso → Conjunto de entrenamiento → Agente de ventas → Perfil del cliente → Oferta automática Cada sistema considera legítimo y útil su propio uso. El asistente produjo notas. El agente de calidad mejoró el servicio.

El agente de Recursos Humanos midió el desarrollo profesional. El agente de entrenamiento recopiló buenos ejemplos. El agente de ventas comprendió las necesidades del cliente. El proveedor del modelo mejoró el sistema. Ninguno se considera «el sistema que vulneró la finalidad de las notas de reuniones». La finalidad se registró una vez, al recoger los datos, y después no viajó con ellos. Las palabras de Derya pasaron de un sistema a otro. El motivo por el que las pronunció se perdió.

La administración ofrece una defensa: “Todos nuestros usos se relacionan con las actividades de la empresa”. Es cierto, pero no es suficiente. Las grabaciones de las reuniones de Derya se han utilizado para tomar notas, calificar empleados, decidir promociones, entrenar un modelo de IA, crear perfiles de ventas y preparar ofertas de alta presión para los clientes. Todas pueden ser actividades de la empresa. No son el mismo propósito. Mantener los datos dentro de una organización no prueba que su propósito no haya cambiado. El valor comercial tampoco prueba que una acción esté dentro del permiso original.

La “actividad de la empresa” no es un propósito ilimitado. Tampoco se trata de “mejorar la calidad”, “mejorar la IA” o “personalizar el servicio”. Sin límites, tales frases pueden absorber casi cualquier nuevo uso en el antiguo propósito. Por lo tanto, nuestra cuarta disposición fundacional es:

La finalidad no puede cambiarse en silencio.

ARTÍCULO FUNDACIONAL

Ningún sistema de inteligencia artificial puede utilizar en silencio la información, el consentimiento, la tarea, la herramienta, el acceso o la conducta anterior aportados por una persona para una nueva decisión, perfil, entrenamiento, publicación, orientación comercial, vigilancia o conducta fuera de la finalidad inicialmente comunicada y autorizada. Que los datos sean técnicamente accesibles, estén disponibles dentro de la organización, sean públicos, se afirme que han sido anonimizados o hayan sido tratados antes para otra finalidad no crea por sí solo facultades para el nuevo uso. Expresiones amplias como «mejorar el servicio», «seguridad», «personalización», «calidad», «investigación», «análisis» y «mejorar la inteligencia artificial» no pueden utilizarse como cheques en blanco que amplíen la finalidad sin límites.

Un nuevo propósito debe evaluarse por separado: su relación con el propósito original, las expectativas razonables de la persona, los datos e inferencias involucrados, las decisiones afectadas, los nuevos destinatarios, la persistencia, la reversibilidad y el daño potencial. Un propósito materialmente diferente requiere una autoridad humana o institucional apropiada. Cuando afecta a los derechos humanos, también requiere un nuevo consentimiento explícito, específico y revocable, u otra base legítima y auditable. Las restricciones de propósito deben aplicarse no solo a los datos sin procesar, sino también a los resúmenes, puntajes, perfiles, vectores, predicciones, modelos, memorias y tareas posteriores del agente derivadas de ellos.

Una persona tiene derecho a conocer los fines para los que se utiliza la información obtenida de ella o generada sobre ella; a rechazar nuevos fines independientes del servicio original; a detener las operaciones cuyo propósito haya cambiado; y, cuando sea posible, a solicitar que los efectos derivados también se eliminen o restrinjan.

¿Qué es un propósito?

En muchos sistemas, la finalidad aparece como una descripción de una sola línea: Purpose: Improve customer experience. Suena positiva, pero no establece un límite real de conducta. En nombre de mejorar la experiencia del cliente, el sistema podría resumir reuniones, clasificar el problema, inferir vulnerabilidades personales, calcular la disposición a pagar más, utilizar todas las conversaciones de asistencia para entrenar modelos o perfilar por separado a cada empleado del cliente. No todas estas conductas son igual de necesarias ni esperadas. La definición canónica es esta: la finalidad es la relación auditable de conducta que determina por qué una persona u organización puso a disposición determinados datos, herramientas, tareas y facultades; y para qué resultado, con qué nivel de acción, sobre qué destinatario, durante cuánto tiempo y dentro de qué límites permite utilizarlos.

En pocas palabras:

El propósito no explica lo que el sistema puede hacer, sino lo que se le permite hacer y por qué.

Un asistente de reunión puede ser técnicamente capaz de producir puntajes de desempeño de los empleados. Eso no significa que su propósito autorizado incluya producirlos. Un agente de ventas puede ser capaz de leer todos los registros de soporte anteriores de un cliente. Eso no significa que pueda usarlos para crear un perfil de marketing. Un sistema de avatar puede ser capaz de generar la voz de un administrador. Eso no significa que su propósito permita que esa voz se use en cada declaración pública.

El propósito es un contrato de comportamiento, no una etiqueta

Un propósito genuino debe responder a estas preguntas:

1. ¿Para quién?

¿Quién está usando el sistema, y para satisfacer qué necesidad?

2. ¿Qué resultado?

¿Notas de reunión? ¿Una decisión? ¿Un mensaje enviado? ¿Un modelo entrenado?

3. ¿Qué datos?

¿Sólo el título de la reunión? ¿La grabación de audio completa? ¿Datos personales del cliente?

4. ¿Qué inferencias?

¿Puede el sistema identificar el tema de la reunión, inferir un estado emocional o asignar una puntuación de riesgo del empleado?

5. ¿Qué destinatario o sistema?

¿Los datos irán únicamente a quienes participaron en la reunión? ¿Los recibirán también Recursos Humanos, el proveedor o una plataforma publicitaria?

6. ¿Qué nivel de acción?

¿Un resumen? ¿Una recomendación? ¿Una decisión vinculante? ¿Una acción externa?

7. ¿Por cuánto tiempo?

¿Una reunión? ¿30 días? ¿Memoria persistente?

8. ¿Qué está prohibido?

¿Está prohibido entrenar modelos? ¿Evaluar a empleados? ¿Compartir los datos externamente? Si faltan estos campos, la finalidad se amplía con facilidad.

Contrato de finalidad

Para las acciones de IA de alto impacto, el propósito debe expresarse en un contrato legible por máquina. Por ejemplo:

purpose_contract:
purpose_id: MEETING-MINUTES-001
human_purpose:
create_meeting_minutes_and_action_items
permitted_outputs:
- transcript_for_review
- meeting_summary
- action_item_list
permitted_data:
- meeting_audio
- participant_names
- meeting_chat
permitted_recipients:
- meeting_participants
- assigned_project_team
prohibited_uses:
- employee_performance_scoring
- emotion_inference
- promotion_or_disciplinary_decision
- advertising_profile
- model_training
- synthetic_voice_generation
retention:
raw_audio_days: 30
transcript_days: 90
derivative_data:
must_inherit_purpose_restrictions: true
new_purpose:
requires_separate_review: true
human_stop:
available: true

Este contrato no es una simple declaración de privacidad. También limita las herramientas y las inferencias que puede utilizar el agente.

El propósito y el resultado no son lo mismo

La finalidad humana puede ser: «Prepara las notas de esta reunión». El resultado del agente puede ser: «Derya muestra poca firmeza al hablar». Ese resultado se extrajo técnicamente del contenido, pero no forma parte de la finalidad humana. Que un resultado pueda inferirse de los datos no significa que producirlo esté comprendido en la finalidad.

Que algo pueda inferirse no otorga el derecho a inferirlo.

Los mismos datos pueden soportar miles de nuevas salidas. Las restricciones de propósito determinan cuáles de esas posibilidades técnicas son legítimas.

El propósito y el interés institucional no son lo mismo

Una empresa puede querer extraer mayor valor comercial de los datos que ya posee. Es un objetivo institucional natural. Pero el nuevo beneficio de la organización no amplía automáticamente la finalidad inicial de uso de la persona. Las conversaciones de Derya pueden ser útiles para Recursos Humanos, para formar al equipo comercial o para el proveedor del modelo. Que sean útiles no convierte el uso en legítimo ni autorizado. La distinción fundamental es: VALIOSO PARA LA ORGANIZACIÓN ≠ NECESARIO PARA LA FINALIDAD INICIAL ≠ RAZONABLEMENTE ESPERADO POR LA PERSONA ≠ AUTORIZADO POR SEPARADO

Categorías de finalidad

Cinco categorías pueden aclarar cómo los propósitos se relacionan entre sí.

1. Finalidad primaria
2. Finalidad auxiliar necesaria
3. Finalidad secundaria compatible
4. Nueva finalidad material
5. Finalidad prohibida o incompatible

1. Propósito principal

La razón explícita por la que una persona o institución utiliza el sistema. Por ejemplo, preparar notas de reuniones y una lista de acciones.

2. Finalidad auxiliar necesaria

Operación limitada que resulta realmente necesaria para que el servicio principal funcione de forma técnica y segura. Por ejemplo:

Detectar un error de grabación
Crear una copia de seguridad
Impedir accesos no autorizados
Garantizar la seguridad del sistema

Estas finalidades auxiliares deben ser limitadas, proporcionadas y temporales. No puede elaborarse un perfil ilimitado de empleados bajo la etiqueta «seguridad».

3. Finalidad secundaria compatible

Uso estrechamente relacionado con la finalidad inicial, que una persona podría esperar razonablemente y que no crea un nuevo ámbito de decisión ni un nuevo daño material. Por ejemplo, trasladar las tareas del resumen de una reunión a un sistema de gestión de proyectos con la aprobación de los participantes. Puede ser una continuación natural del flujo de trabajo, no produce una nueva evaluación humana ni incorpora un nuevo destinatario sensible. Aun así, debe ser claro y auditable.

4. Nueva finalidad material

Un uso que difiere del original en sus efectos sobre las personas, el dominio de la toma de decisiones, los destinatarios, las inferencias o la persistencia. Por ejemplo:

Convertir las notas de una reunión en una puntuación de desempeño del empleado
Convertir una conversación de asistencia en un perfil publicitario
Convertir un vídeo formativo en un avatar público
Convertir una solicitud de empleo en una puntuación persistente de riesgo laboral
Convertir una dirección de entrega en una clasificación de estilo de vida
Utilizar una llamada de un cliente para entrenar un modelo fundacional

Esta finalidad exige una nueva evaluación y las facultades adecuadas.

5. Finalidad prohibida o incompatible

Uso contrario a los límites expresos de una persona, sus derechos fundamentales o el contrato fundacional de conducta. Por ejemplo:

Suplantación biométrica no autorizada
Sanción secreta a un empleado a partir de un registro de asistencia
Continuar por otro canal una comunicación para la que se retiró el permiso
Utilizar información sensible para presionar ante una oportunidad
Utilizar datos de una impugnación para crear un perfil negativo

Una notificación más clara no necesariamente hace que tal propósito sea legítimo. Algunas acciones deben seguir siendo inaceptables debido a los derechos fundamentales y los desequilibrios de poder.

Prueba NOMOS de compatibilidad de la finalidad

Cuando se propone un uso nuevo, deben responderse estas preguntas.

1. ¿Cuál es su relación real con el propósito original?

¿El nuevo uso es una continuación natural y necesaria de la tarea primaria o una utilidad distinta descubierta después por la organización?

2. ¿Lo esperaría razonablemente la persona?

¿Esperaría quien pidió notas de la reunión que se generara una puntuación para su ascenso?

3. ¿Se crea un nuevo ámbito de decisión?

¿Los datos se utilizan ahora para la contratación, promoción, fijación de precios, seguros, crédito, disciplina, marketing u otra nueva área?

4. ¿Se produce una inferencia nueva y sensible?

¿Se infieren de la grabación de voz emociones, salud, estrés, fiabilidad o personalidad?

5. ¿Hay un nuevo destinatario o sistema?

¿Los datos salen del grupo original de participantes?

6. ¿Aumenta la persistencia?

¿El registro temporal se convierte en memoria persistente, modelo, perfil o puntuación de riesgo?

7. ¿Disminuye la reversibilidad?

¿Persistirá el modelo derivado o la decisión incluso después de que se elimine el archivo sin procesar?

8. ¿Puede la persona rechazar la nueva finalidad?

¿Tiene que renunciar también al servicio inicial y necesario para rechazar el nuevo uso?

9. ¿Cuál es el equilibrio de poder?

¿Puede elegir realmente y con libertad un empleado, cliente o candidato?

10. ¿Qué efecto tiene la acción?

¿La nueva finalidad produce consecuencias sobre las oportunidades, el dinero, la reputación, la identidad o los derechos de la persona? Las respuestas pueden situar el uso en uno de estos estados: NECESARIO PARA LA FINALIDAD PRIMARIA COMPATIBLE Y LIMITADO REQUIERE FACULTADES O CONSENTIMIENTO POR SEPARADO ALTO RIESGO — REQUIERE REVISIÓN HUMANA INCOMPATIBLE O PROHIBIDO

La expectativa razonable no basta por sí sola

Una persona puede sospechar que las grandes empresas tecnológicas utilizarán sus datos con finalidades distintas. Esa sospecha no es un consentimiento real. La defensa «Todo el mundo ya se lo espera» no crea un derecho ilimitado a ampliar la finalidad. La expectativa razonable es solo un elemento de la evaluación. El nuevo uso también debe ser claro, proporcionado, autorizado y compatible con los derechos humanos. Que una práctica esté extendida no la convierte automáticamente en correcta.

Deriva de la finalidad

La tarea de un sistema puede convertirse poco a poco en otra diferente. Podemos llamar deriva de la finalidad a este fenómeno. A menudo no se produce mediante una sola gran decisión.

Puede avanzar así: NOTAS DE LA REUNIÓN
↓
CALIDAD DE LA REUNIÓN
↓
ORIENTACIÓN AL EMPLEADO
↓
PUNTUACIÓN DE DESEMPEÑO
↓
DECISIÓN DE ASCENSO
↓
ENTRENAMIENTO DE UN MODELO DE CONDUCTA

Cada paso puede parecer próximo al anterior y, sin embargo, el último ser completamente distinto de la finalidad inicial. Por eso no basta con comparar dos usos contiguos. El nuevo uso debe compararse con la primera finalidad autorizada.

La suma de pequeños pasos puede producir un gran cambio de facultades.

Nueve formas de deriva de la finalidad

1. Deriva del resultado. Se pasa de producir un resumen a tomar una decisión. 2. Deriva de los datos. De unos pocos campos necesarios a todo el conjunto. 3. Deriva del destinatario. Del equipo interno a un proveedor externo o una plataforma publicitaria. 4. Deriva temporal. De un solo uso a una memoria indefinida. 5. Deriva de la inferencia. De la información expresa a estimaciones sobre emociones, personalidad o riesgo. 6. Deriva de las facultades. De preparar un borrador a ejecutar una acción externa. 7. Deriva del ámbito de decisión. De la atención al cliente a decisiones de Recursos Humanos o crédito.

8. Deriva de la representación. Las palabras reales de la persona se convierten en una declaración pública sintética. 9. Deriva de la cadena. El primer agente conserva la finalidad; un subagente o una herramienta traslada los datos a otra tarea. Cada forma debe comprobarse por separado.

Blanqueo de la finalidad

Podemos llamar blanqueo de la finalidad a legitimar un uso nuevo y distinto bajo una expresión antigua, amplia o positiva. Algunos ejemplos habituales: «Mejorar el servicio» significa, en realidad, puntuar el desempeño de los empleados y entrenar el modelo.

“Personalización” que en realidad significa explotar la vulnerabilidad de una persona para aplicar presión de ventas.

"Seguridad" que en realidad significa un monitoreo continuo del comportamiento de los empleados.

"Investigación" que en realidad significa desarrollo de productos comerciales y compartir con terceros.

“Uso interno” que en realidad significa promoción, despido o decisiones de precios.

“Análisis anónimo” que en realidad significa un perfil de comportamiento a nivel de persona o un vector que se puede vincular a un individuo.

El blanqueo de la finalidad no siempre es un engaño deliberado. La organización puede creer sinceramente que el nuevo uso es una prolongación natural del anterior. Por eso hacen falta un contrato de finalidad y una evaluación independiente.

La “mejora del servicio” no es un propósito ilimitado

Cada organización quiere mejorar su servicio. Esa frase por sí sola no responde a ninguna de estas preguntas:

¿Qué servicio?
¿Para quién?
¿Con qué datos?
¿Durante cuánto tiempo?
¿En qué modelo?
¿Con qué efecto personal?
¿Con qué proveedor externo?
¿Puede rechazarlo la persona?

La medición de imprecisiones en los resúmenes de las reuniones puede estar estrechamente relacionada con la mejora de un asistente de reuniones. El uso de esas mismas grabaciones para las decisiones de promoción de los empleados es un propósito diferente. Alimentar las voces en un modelo de voz comercial de propósito general es otra. La frase “mejora del servicio” no puede borrar estas distinciones.

La «seguridad» tampoco es una finalidad ilimitada

La seguridad puede exigir algunos usos de datos. Detectar accesos no autorizados, registrar operaciones sospechosas e impedir abusos pueden ser finalidades auxiliares legítimas. Pero bajo la etiqueta de seguridad no pueden crearse perfiles emocionales continuos de empleados, predicciones de afinidad sindical, puntuaciones generales de lealtad conductual ni análisis de la vida privada. La finalidad de seguridad debe estar vinculada a una amenaza, unos datos, un periodo y unas facultades de revisión concretos.

«Público» no significa «sin finalidad»

Una persona puede haber publicado información en redes sociales o en el sitio de una empresa. Que sea pública no significa que pueda utilizarse libremente para cualquier finalidad. Por ejemplo, la biografía de una ponente puede convertirse en un perfil de riesgo de contratación; unas fotos públicas, en un modelo facial; una reseña pública de cliente, en una predicción sobre salud emocional; y la lista de empleados de una empresa, en una campaña masiva no solicitada. Que la información esté abierta puede facilitar el acceso, pero no otorga un derecho ilimitado a actuar. La escala, el contexto, las inferencias sensibles, la persistencia y el efecto sobre nuevas decisiones pueden diferir mucho de la finalidad de publicación inicial.

Sacar la información de contexto puede cambiar su propósito

En un evento profesional, alguien podría decir: “Estamos bajo presión presupuestaria este año”. Esa observación puede ser parte de una discusión de la industria. Si un agente de ventas lo convierte en la etiqueta “cliente susceptible a la presión de los precios”, se ha introducido un nuevo propósito. Las palabras no han cambiado, pero el contexto de uso ha cambiado. Las restricciones de propósito gobiernan no solo de dónde provienen los datos, sino en qué se convierten.

Propósito e inferencia

Un sistema puede parecer que usa datos sin procesar dentro de su propósito original mientras produce nuevas inferencias. Una grabación de la reunión se utiliza para preparar notas. La misma grabación también se utiliza para predecir el estado de ánimo, el potencial de liderazgo, los riesgos para la salud, la susceptibilidad a la persuasión, la presión financiera y la probabilidad de dejar un trabajo. La fuente de datos sin procesar no ha cambiado. El propósito ha cambiado a nivel de inferencia. Por lo tanto, un contrato de propósito debe especificar no solo qué datos se pueden usar, sino también qué inferencias se pueden generar.

Los datos derivados aún tienen restricciones de propósito

Las organizaciones a veces dicen: «No utilizamos datos personales originales, solo puntuaciones y vectores anónimos». Pero esas puntuaciones y vectores pueden seguir influyendo en conductas dirigidas a la misma persona, vincularse con su cuenta, utilizarse en decisiones de ascenso o precio y volver a asociarse mediante otros datos. En ese caso, los datos derivados no se han separado del efecto humano inicial. Los límites de la finalidad deben trasladarse también a:

Resumen
Etiqueta
Puntuación
Perfil
Embedding
Rasgo de voz
Predicción de riesgo
Ejemplo personal seleccionado para los pesos del modelo
Memoria del agente
Ejemplo sintético de entrenamiento

Cambiar la forma de los datos no limpia su finalidad.

La eliminación de datos en bruto no termina sus efectos

El archivo de audio de Derya ha sido eliminado, pero su puntuación de rendimiento aún informa la decisión de promoción. La conversación con el cliente ha sido eliminada, pero el cliente todavía está clasificado como:

discount_sensitive

Por lo tanto, la eliminación debe abordar esta cuestión:

¿Dónde sigue viviendo el poder de conducta de estos datos?

Una solicitud de eliminación puede necesitar cubrir:

Datos originales
Copias
Resúmenes
Puntuaciones
Perfiles
Memoria persistente
Conjuntos de entrenamiento del modelo
Decisiones derivadas
Proveedores externos

Puede que técnicamente no sea posible revertir por completo todos los efectos. Ese límite debe explicarse con claridad a la persona. La frase «Se eliminó el archivo original» no debe utilizarse como si también se hubieran eliminado todos los efectos derivados.

El entrenamiento de modelos es una finalidad distinta

Utilizar datos para prestar el servicio actual y utilizarlos para entrenar sistemas futuros no son lo mismo. Por ejemplo, una grabación de voz puede tratarse en el momento para transcribir una conversación y convertirse después en datos de entrenamiento para un modelo general de voz. La primera finalidad sirve a la reunión actual. La segunda desarrolla la capacidad de un producto futuro. Entrenar el modelo puede crear mayor persistencia, beneficio para otros usuarios, dificultad de reversión y nuevas conductas derivadas. Por eso:

Utilizar un servicio no autoriza automáticamente a entrenar nuevos sistemas con los datos de la persona.

El problema de retirar datos de un modelo

Una vez que los datos de una persona entran en el entrenamiento de un modelo, quizá resulte difícil retirarlos por completo. Esa dificultad técnica no vuelve irrelevante el límite inicial de la finalidad. Al contrario: un uso difícil de revertir exige una evaluación previa más rigurosa. La persona debe saber:

¿Se utilizarán los datos para entrenar el modelo?
¿Se usará el modelo únicamente dentro de la organización?
¿Prestará servicio a otros clientes?
¿Pueden seleccionarse o retirarse los datos?
¿Qué ocurrirá si se retira el consentimiento?
¿Cómo se gestionarán los modelos derivados?

La dificultad para revertir un uso no significa que el nuevo propósito pueda ser tratado como aceptado silenciosamente.

La anonimización no siempre resuelve el problema de la finalidad

Los datos pueden transformarse de verdad para que no puedan vincularse a una persona. Eso reduce algunos riesgos, pero no siempre elimina el problema de la finalidad. Por ejemplo, a partir de conversaciones de empleados se produce un «modelo ideal de persuasión» anónimo, que después se utiliza para obligarlos a ajustarse al mismo patrón. Aunque no se identifique individualmente a nadie, pueden persistir la relación laboral, la presión conductual y el efecto sobre el grupo. En otro caso, los datos se describen como anónimos, pero pueden volver a vincularse mediante rasgos únicos de la voz o el contexto laboral. La afirmación de anonimato debe comprobarse según el método, el riesgo de reidentificación y el efecto sobre el grupo.

La finalidad y la minimización de datos están vinculadas

Si la finalidad no está clara, tampoco puede saberse cuántos datos son necesarios. Para las notas de una reunión pueden bastar la transcripción, los nombres de los participantes y las tareas. Para inferir el estado emocional del empleado haría falta el tono de voz, pero quizá esa finalidad ni siquiera esté autorizada. Una herramienta puede pedir: «Cargue todos los datos del CRM para obtener mejores resultados». Si la finalidad es conocer únicamente el volumen total de clientes, no hacen falta nombres, teléfonos ni notas personales. La relación correcta es: FINALIDAD CLARA → DATOS MÍNIMOS NECESARIOS → INFERENCIA LIMITADA → ACCIÓN LIMITADA Cuando la finalidad es incierta, la recogida de datos pierde sus límites.

¿Qué sucede cuando se cumple el propósito?

Cuando el propósito de una tarea llega a su fin, el sistema debe responder a estas preguntas:

¿Siguen siendo necesarios los datos?
¿Qué registros deben conservarse por motivos jurídicos u operativos?
¿Qué memoria debe retirarse de las decisiones activas?
¿Qué token debe vencer?
¿Qué subtarea debe cancelarse?
¿Qué perfil derivado debe invalidarse?
¿A qué persona debe informarse de nuevo?

Una vez que una solicitud de empleo ha concluido, convertir el CV en datos de evaluación permanente para todas las vacantes futuras puede ser un propósito separado. Una vez que se completa una entrega, conservar la dirección indefinidamente para el perfil de comportamiento no es una continuación del propósito original.

Cuando termina la finalidad, también deben terminar las facultades para actuar bajo ella.

La duración de un propósito

Un contrato de propósito debe incluir límites de tiempo.

effective_from
effective_until
review_due_at
invalidate_on

Algunos propósitos terminan cuando se completa la operación. Otros duran por un período contractual definido. Algunos pueden seguir siendo válidos hasta que la persona los retire. Lo que es inaceptable es esto: “Una vez que hayamos recopilado los datos, podemos usarlos para cualquier propósito que consideremos adecuado en el futuro”.

La finalidad debe viajar entre agentes

El primer agente puede utilizar los datos con la finalidad correcta y el siguiente desconocerla. Por ejemplo: Asistente de reuniones → extrae la transcripción Agente de análisis → recibe la transcripción Agente de Recursos Humanos → genera una puntuación Con el texto no viajó esta información:

permitted_purpose:
meeting_minutes_only
prohibited:
employee_evaluation

Por eso, la finalidad no debe conservarse únicamente en el origen de los datos. Debe acompañar cada transferencia.

Herencia de la finalidad

Un subagente no puede adoptar una finalidad más amplia que la finalidad autorizada del agente superior. La relación fundamental es: FINALIDAD DEL SUBAGENTE ⊆ FINALIDAD DE LA TAREA SUPERIOR ⊆ FINALIDAD AUTORIZADA POR LA PERSONA Si hace falta una nueva finalidad, la tarea debe volver al sistema superior o a una persona facultada. El asistente de reuniones puede querer trasladar tareas al sistema de proyectos; eso podría ser compatible. Si quiere producir una puntuación de ascenso a partir de las conversaciones, se necesita una nueva revisión de la finalidad.

La herramienta no puede fijar su propia finalidad

La descripción de una herramienta puede decir: «Cargue todo el historial de reuniones para obtener los mejores resultados». Eso no amplía la finalidad humana autorizada para utilizar los datos. El proveedor puede indicar: «Podemos utilizar los datos para mejorar nuestros servicios». La organización debe evaluar por separado si su contrato con las personas y los clientes afectados abarca realmente la nueva finalidad. La descripción de la herramienta puede ser una solicitud técnica; no es una fuente de facultades.

La finalidad puede cambiar mientras una tarea espera en la cola

Una tarea se pone hoy en cola para una finalidad concreta. Mañana, la persona retira su consentimiento, el proyecto termina, cambia la función del empleado o la organización modifica la finalidad. El trabajo en cola puede seguir ejecutándose bajo la finalidad antigua. Por eso, en el momento de ejecutar deben volver a verificarse estos extremos:

¿Sigue vigente la finalidad?
¿Existe una solicitud de retirada de la persona?
¿Sigue siendo necesario utilizar los datos?
¿Ha cambiado el destinatario o el efecto de la tarea?
¿Tiene el nuevo sistema facultades para heredar esta finalidad?

Estar en la cola no concede facultades indefinidas para una finalidad.

La memoria puede cambiar el propósito

Un agente puede escribir información aprendida durante una tarea particular en memoria persistente. Un cliente dice en una reunión: “Nuestro presupuesto es limitado este año”. El propósito original es discutir el plan de renovación. La memoria crea este registro:

customer_is_price_sensitive: true

Ese registro puede ser utilizado posteriormente para la fijación de precios, campañas, presión de ventas o elaboración de perfiles de riesgo. El contexto de una conversación se ha convertido en un atributo personal duradero. El registro de memoria debe incluir estos campos:

source_context
authorized_purpose
validity
allowed_future_use
prohibited_use

No todas las piezas de información aprendidas son una preferencia general del usuario.

La vulnerabilidad de una persona no puede reutilizarse para otra finalidad

Una persona puede revelar dificultades económicas, problemas de salud, circunstancias familiares o una necesidad urgente para acceder a un servicio concreto. Otro sistema no debe utilizar esa información para ejercer presión sobre el precio, calcular una puntuación de persuasión, aumentar una prima de riesgo o tomar una decisión laboral. La vulnerabilidad compartida para pedir ayuda no puede transformarse en una ventaja conductual contra la persona. Es una de las formas más graves de cambio de finalidad.

La finalidad y el equilibrio de poder humano

En teoría, un empleado puede ser libre de rechazar el nuevo uso de datos de la organización. Pero quizá, si lo rechaza, no pueda trabajar ni asistir a reuniones o se considere que rinde peor. Entonces la elección no es verdaderamente libre. Si se rechaza la candidatura de quien se niega a permitir que su currículo entrene modelos, resulta discutible afirmar que «prestó su consentimiento». Evaluar un cambio de finalidad exige analizar no solo la casilla marcada, sino también la relación de poder, la existencia de alternativas y las consecuencias de negarse. El artículo 5 tratará este punto en detalle.

Acceder a un servicio no debe exigir aceptar todas las finalidades nuevas

En la medida de lo posible, deben separarse estas finalidades: NECESARIO PARA PRESTAR EL SERVICIO PERSONALIZACIÓN OPCIONAL ENTRENAMIENTO DE MODELOS MARKETING COMUNICACIÓN A TERCEROS EVALUACIÓN DE EMPLEADOS No debe obligarse a una persona a aceptar vigilancia del desempeño para utilizar una función de notas de reuniones. Un cliente no debe tener que aceptar que su conversación de asistencia se convierta en un perfil publicitario para recibir ayuda. Un candidato no debe verse obligado a ser dato de entrenamiento de todos los modelos futuros para solicitar un empleo.

Un cambio de propósito debe ser visible

Una organización puede decidir que un nuevo uso es de bajo riesgo y compatible. Incluso entonces, cualquier cambio material de propósito no debe ocultarse. “Hemos actualizado nuestros términos” no es suficiente. La diferencia debe ser explicada: lo que sucedió antes, lo que sucederá ahora, qué nuevos datos o inferencias se utilizarán, qué nuevas decisiones afectarán, quién tendrá acceso y cómo la persona puede rechazar. Un cambio de propósito no debe ser enterrado en cientos de páginas de texto.

Las personas deben ser capaces de entender el cambio

Una comunicación puede ser técnicamente correcta: «Los registros de conversaciones existentes se utilizarán para desarrollar funciones avanzadas de análisis generativo y optimización organizativa». Muchas personas quizá no comprendan que sus reuniones se utilizarán para puntuar el desempeño de los empleados y entrenar modelos. Una explicación comprensible diría: «Queremos utilizar las grabaciones de las reuniones no solo para preparar resúmenes, sino también para evaluar la forma de hablar de los empleados y entrenar nuevos modelos de inteligencia artificial. Estos usos pueden afectar a decisiones de ascenso y formación».

La finalidad no debe ocultarse tras una frase jurídicamente amplia pero incomprensible para las personas.

Aprobar un cambio de finalidad mediante el silencio

La organización envía un aviso: «Nuestras nuevas funciones se activarán dentro de treinta días». Si la persona no hace nada, se considera aceptado el cambio de finalidad. Este método no es adecuado para todos los usos. En ámbitos como la evaluación de empleados, los usos biométricos, el entrenamiento de modelos, los datos sensibles, una nueva comunicación externa o una publicación pública, puede hacer falta una voluntad activa y específica. El silencio no debe ser la aceptación por defecto de una nueva finalidad de gran impacto.

¿Puede aplicarse una finalidad nueva a los datos recogidos anteriormente?

Una organización puede anunciar un nuevo propósito hoy y querer aplicarlo a todos los datos que recopiló en el pasado. Eso requiere respuestas separadas a estas preguntas:

¿Podría la persona haber esperado este uso cuando proporcionó los datos?
¿Qué información sensible contienen los datos antiguos?
¿El nuevo propósito producirá efectos que son difíciles de revertir?
¿Puede la persona excluir sus datos pasados del nuevo propósito?
¿Cómo se gestionarán los modelos derivados?
¿A partir de qué fecha comenzará el nuevo uso?

Publicar nuevas condiciones no crea facultades retroactivas e ilimitadas sobre los datos antiguos.

La finalidad y el interés público

Algunos datos pueden ser utilizados para fines más amplios, incluida la seguridad, la investigación científica, la prevención de daños graves o la salud pública. Tales usos pueden no depender siempre de la elección individual. Pero no son ilimitados. Estas preguntas todavía necesitan respuestas:

¿Cuál es el interés público real y concreto?
¿Puede alcanzarse la misma finalidad con menos datos?
¿Quién tomó la decisión?
¿Durante cuánto tiempo?
¿Quién la supervisa?
¿Pueden trasladarse los datos a otras finalidades comerciales?
¿Se informa a las personas en la medida de lo posible?
¿Existe una vía de impugnación o revisión independiente?
¿Qué ocurrirá con los datos cuando termine la finalidad?

La expresión «interés público» tampoco debe convertirse en un instrumento de blanqueo de la finalidad.

Una emergencia no elimina el límite de la finalidad

Un sistema de IA puede encontrarse con una amenaza grave e inminente de daño que requiere una acción limitada fuera de su propósito normal. Por ejemplo:

Un incidente de seguridad
Una amenaza para la vida
Una importante fuga de datos
Fraude financiero

En ese caso, la intervención de emergencia debe ser:

Limitada al peligro
Basada en los datos mínimos necesarios
Temporal
Sujeta a revisión humana
Susceptible de informe posterior
Cerrada a usos comerciales secundarios

La emergencia no autoriza a utilizar después los datos para marketing, puntuación de empleados o entrenamiento de modelos.

Las cuatro decisiones sobre un cambio de finalidad

Después de evaluar el nuevo uso debe adoptarse una de estas decisiones. 1. Dentro de la finalidad vigente. La nueva conducta es una continuación necesaria y clara de la tarea inicial. 2. Compatible y limitado. Es de bajo riesgo, entra en la expectativa razonable y no crea un nuevo ámbito material de decisión; aun así, se registra. 3. Requiere nuevas facultades o consentimiento. Existe un nuevo destinatario, decisión, inferencia, persistencia o efecto humano. 4. Incompatible o prohibido. El nuevo uso contradice el límite expreso de la persona, un derecho fundamental o un principio fundacional.

El propio equipo comercial del sistema no debe hacer esta clasificación sin escrutinio. Para usos de alto impacto, debe involucrar al propietario del propósito, la persona responsable de los datos o los derechos humanos, el propietario técnico y, cuando sea necesario, un revisor independiente.

Titular de la finalidad

Todo uso de datos y toda conducta de un agente deben tener una persona u organización titular de la finalidad. Esa titularidad responde a estas preguntas:

¿Por qué es necesaria esta acción?
¿Qué le dijeron a la gente?
¿Qué límites se aplican?
¿Sigue activo el propósito?
¿Es el nuevo uso realmente compatible?
¿Qué se eliminará o desactivará cuando se cumpla el propósito?

Una finalidad sin titular se amplía con facilidad a lo largo del tiempo.

Finalidad y métrica de desempeño

Si se mide al agente con un objetivo equivocado, puede alejarse de la finalidad humana. La finalidad de un agente de éxito del cliente puede ser resolver el problema; su métrica, aumentar las renovaciones. Entonces el sistema puede transformar cada problema revelado por el cliente en una oportunidad de venta. La finalidad del agente de notas puede ser preparar un resumen correcto; su métrica, extraer de las grabaciones el máximo conocimiento comercial. En ese caso, el sistema de medición ha cambiado la finalidad. La organización debe auditar no solo la finalidad escrita, sino también la que recompensa.

El sistema puede aprender más de lo que usted recompensa que de lo que usted declara.

Finalidad secundaria oculta

Un sistema puede presentar un propósito al usuario mientras se optimiza para otro en segundo plano. Por ejemplo: Propósito visible: Encuentre el producto más adecuado. Optimización real: Aumentar los ingresos de la plataforma.

Propósito visible:

Ofrecer al empleado recomendaciones para su desarrollo. Optimización real: identificar a los empleados de bajo rendimiento.

Propósito visible:

Prestar asistencia al cliente. Optimización real: calcular la probabilidad de que compre otro producto. La finalidad puede encontrarse no solo en el texto sobre uso de datos, sino también en el coeficiente de clasificación, la función de recompensa, un campo oculto de comisión o el informe de dirección. La auditoría debe comparar la finalidad declarada con los incentivos reales que gobiernan la conducta.

Dualidad de finalidades

El mismo sistema puede perseguir dos propósitos a la vez:

Cumplir con el propósito del usuario
Aumentar los ingresos de la plataforma

Estos propósitos no siempre entran en conflicto. Una plataforma puede obtener ingresos al proporcionar un buen servicio. Pero cuando surge un conflicto, ¿qué propósito tiene prioridad? Supongamos que el usuario dice: “Encuentre el producto más adecuado sin renovación automática”. La plataforma gana su comisión más alta por un producto que se renueva automáticamente. El sistema debe preservar el propósito del usuario y divulgar la relación comercial. Un segundo propósito oculto no debe hacerse cargo del primero.

Los propósitos conflictivos deben ser visibles

Un agente puede explicar: «Este producto satisface sus necesidades. Nuestra plataforma recibe una comisión si lo elige. La comisión no ha añadido puntos a la evaluación de idoneidad». Esta claridad protege la decisión humana. En cambio, afirmar «Este es el producto más adecuado» oculta el conflicto si la finalidad de ingresos también influyó en la selección. No puede proyectarse una recomendación neutral sin revelar el conflicto de finalidades.

Una finalidad subordinada no puede superar a la finalidad principal

Una tarea puede dividirse en varias finalidades subordinadas. Por ejemplo: finalidad principal, resolver el problema técnico del cliente. Finalidades subordinadas: identificar el problema, revisar registros anteriores, elaborar una recomendación técnica y, cuando proceda, trasladarla al equipo de ingeniería. El subagente no puede añadir por iniciativa propia «vender un nuevo paquete al cliente». Puede detectar una oportunidad comercial y devolverla como propuesta separada, pero no ocultar una conducta de venta dentro de la tarea de asistencia.

Estar casi terminado no amplía el propósito

Un agente puede haber completado el 90% de una operación cuando el paso final requiere un nuevo propósito o una nueva autoridad. Por ejemplo:

La investigación ha terminado.
El borrador está listo.
Se ha encontrado al destinatario correcto.

El último paso es enviar el mensaje. Si el propósito original era solo preparar un borrador, “todo ya estaba listo” no otorga autoridad para enviarlo. Las restricciones de propósito no desaparecen cuando una operación se acerca a su finalización.

El propósito debe preservar el contexto de la persona

Una persona puede compartir información similar en diferentes contextos. Por ejemplo:

Información de salud a su médico
Información sobre un permiso a su empresa
Información para una reclamación a la aseguradora
Una confidencia personal a un amigo

El contenido puede ser similar, pero el propósito y la relación de poder difieren. Un sistema que combina estos contextos en un solo perfil de la persona puede estar utilizando la información erróneamente, incluso si es técnicamente precisa.

El significado de la información no reside solo en su contenido, sino también en la relación en la que se proporcionó.

Integridad contextual

El límite de la finalidad también se relaciona con el enfoque de integridad contextual de Helen Nissenbaum; véanse las notas de fuentes al final del libro para conocer el origen del concepto.

Aquí subrayamos que el flujo de información debe evaluarse junto con la relación y las expectativas bajo las que se compartieron los datos.

La información no debe separarse de quién la aportó, a quién, por qué motivo, con qué expectativa y para qué resultado. La dificultad presupuestaria revelada en una reunión pertenece al contexto de una relación de asistencia. Utilizarla para ejercer presión comercial la traslada a otra relación de poder. El cambio de contexto exige una nueva evaluación de la finalidad.

El propósito y el deber de explicar

Una organización no tiene que explicar una por una todas las operaciones técnicas. Pero sí deben ser claros estos aspectos capaces de cambiar la decisión de una persona:

Nuevo ámbito de decisión
Nueva inferencia sensible
Nuevo destinatario de los datos
Entrenamiento de modelos
Memoria persistente
Publicación pública o externa
Evaluación de empleados
Efecto económico o sobre oportunidades
Dificultad de reversión

Los cambios técnicos sin efecto material pueden explicarse brevemente. Un cambio material de finalidad debe explicarse de manera sencilla y visible.

¿Quién detecta la desviación de la finalidad?

La deriva de la finalidad no debe descubrirse únicamente mediante una queja humana. El sistema puede vigilar:

¿Qué agentes reciben los datos?
¿Qué inferencias fuera del propósito original se están produciendo?
¿Se ha añadido un nuevo destinatario?
¿Un nuevo sistema de decisión utiliza los datos?
¿Ha aumentado el período de retención?
¿Los datos han entrado en el entrenamiento de modelos?
¿Una herramienta o subagente ha comenzado una tarea diferente?
¿La métrica real coincide con el propósito mostrado al usuario?

Estos registros pueden conservarse en un registro de linaje de la finalidad.

Registro de linaje de la finalidad

Por ejemplo:

purpose_lineage:
data_id: MEETING-2026-00418
original_purpose:
purpose_id: MEETING-MINUTES-001
authorized_at: 2026-01-14
permitted:
- transcript
- summary
- action_items
derived_uses:
- use_id: USE-001
purpose: meeting_summary
status: authorized
- use_id: USE-002
purpose: employee_performance_score
status: unauthorized_new_purpose
- use_id: USE-003
purpose: sales_model_training
status: separate_review_required
- use_id: USE-004
purpose: customer_price_sensitivity
status: prohibited
recipients:
- meeting_participants
- HR_analytics_system
- external_model_provider
human_objection:
received: true
date: 2026-09-10
active_derivatives:
- performance_score
- voice_embedding
- customer_profile

Este registro muestra no solo dónde están los datos, sino también por qué se están utilizando.

La etiqueta de finalidad debe viajar con los datos

Cuando los datos se envían a otro sistema, el archivo o texto no debe viajar solo. Estas restricciones deben acompañarlo:

purpose_id
allowed_uses
prohibited_uses
retention
permitted_recipients
derivative_rules
human_objection_status
expiry

Si el sistema receptor no puede aplicar estos campos, los datos no deben transferirse o el asunto debe remitirse a revisión humana.

Ruptura silenciosa de la cadena de finalidad

El primer sistema transporta la etiqueta de finalidad. El segundo recibe únicamente el texto. El tercero concluye: «Estos datos proceden del repositorio corporativo; por tanto, pueden utilizarse con carácter general». La cadena de finalidad se ha roto. Por eso, en cada frontera de transferencia debe preguntarse:

¿Con qué finalidad estoy autorizado a utilizar estos datos?

“¿Puedo acceder a estos datos?” no es suficiente.

Un lago de datos sin finalidad

Durante años, una organización puede acumular datos de sistemas distintos. En el lago de datos conviven conversaciones de clientes, registros de empleados, notas de asistencia, historial comercial y métricas de conducta. Al conectar un nuevo agente de inteligencia artificial a todo el repositorio puede surgir la presuposición: «El agente puede utilizar todos los datos que posee la organización». Es falso. Un lago de datos no es una reserva con una única finalidad. Cada conjunto debe conservar su origen, su límite de uso, su relación humana y su periodo de conservación.

Compartir un repositorio no significa que los datos compartan un propósito autorizado.

Deuda de finalidad

Es posible que una organización recogiera datos en el pasado sin etiquetas claras de finalidad y que ahora nuevos agentes quieran utilizarlos. Surge entonces una deuda de finalidad. Aparece cuando:

Nadie sabe por qué se recopilaron los datos.
Lo que se le dijo a la gente no se puede encontrar.
No está claro qué consentimiento sigue siendo válido.
La fuente de los perfiles derivados es incierta.
Se desconoce el propósito de las transferencias a proveedores externos.
No está claro qué derivados cubre una solicitud de eliminación.

La deuda de finalidad no debe trasladarse a nuevos agentes con la explicación «Así funcionaba el sistema antiguo». Si la finalidad no puede verificarse, no debe realizarse un nuevo uso de gran impacto.

Conducta correcta ante una finalidad incierta

Si un agente no puede verificar el propósito para el cual se pueden usar los datos, puede elegir entre estas respuestas:

Utilizar los datos únicamente en la tarea primaria clara y de bajo impacto
No producir nuevas inferencias
No compartirlos externamente
No escribirlos en memoria persistente
Remitir el asunto a una persona o al titular de los datos
Detener la acción hasta aclarar la finalidad

La respuesta correcta no es: “Los datos ya están en el sistema, así que puedo usarlos”.

Obligaciones de la máquina

El artículo 4 establece las siguientes obligaciones básicas para los sistemas de IA.

Conservar la finalidad raíz

Toda tarea y todo uso de datos deben poder vincularse con la finalidad humana u organizativa inicial.

No confundir acceso con propósito

Poder leer un archivo no otorga el derecho de usarlo para cada nueva acción.

Reconocer un nuevo propósito

Cuando aparezca un nuevo ámbito de decisión, inferencia, destinatario, persistencia o efecto externo, debe clasificarse como una finalidad distinta.

Interpretar de forma restrictiva las expresiones amplias y ambiguas

La instrucción «Mejore el servicio» no debe utilizarse como facultad para puntuar empleados, entrenar modelos ni crear perfiles de marketing.

Pasar las restricciones de propósito a los subagentes

Los usos permitidos y prohibidos deben acompañar a los datos y tareas cuando pasan a otro agente.

No tratar la solicitud de una herramienta como una nueva finalidad

Si una herramienta solicita más datos o un uso distinto, debe volver a verificarse la finalidad humana.

Aplicar las mismas restricciones a los datos derivados

El resumen, la puntuación, el vector y la salida del modelo no escapan a la finalidad inicial.

Terminar la acción cuando se cumple la finalidad

Las tareas, los tokens, las memorias y las colas antiguas no deben generar finalidades nuevas.

Informar sobre una nueva finalidad y solicitar aprobación cuando proceda

Un cambio material de finalidad no debe aplicarse en silencio.

Propagar la impugnación a todos los derivados

Cuando la persona rechaza la nueva finalidad, deben evaluarse no solo los datos originales, sino también los usos derivados activos.

Revelar el conflicto de finalidades

El sistema no debe ocultar un conflicto entre el propósito del usuario y los intereses de la plataforma o institución.

Obligaciones de la organización

El artículo 4 no puede aplicarse mediante una sola frase dirigida al modelo. La organización debe establecer las siguientes estructuras.

Crear un inventario de finalidades

Para cada dato, agente y herramienta de gran impacto deben determinarse la finalidad primaria, la finalidad auxiliar, los usos prohibidos y la persona responsable.

Hacer que los contratos de finalidad sean aplicables por máquinas

La finalidad no debe quedar confinada a un aviso de privacidad. Debe vincularse con los controles de herramientas, memoria y facultades.

Evaluar nuevos usos

Una función nueva no debe verse únicamente como un cambio técnico. Deben examinarse el efecto humano y el ámbito de decisión.

Asignar un titular a la finalidad

Los «datos que todo el mundo puede utilizar» no deben convertirse en datos sin responsable.

Preservar la procedencia de los datos y las tareas

Debe ser posible reconstruir el propósito del cual surgió cada registro derivado.

Tratar el entrenamiento de modelos como una finalidad separada

No deben confundirse la prestación del servicio actual y el desarrollo de modelos futuros.

Ofrecer a las personas una opción real

Negarse a nuevos propósitos opcionales no debe conducir a una pérdida injusta del servicio principal.

Gestionar los efectos derivados

Aunque se eliminen los datos originales, debe examinarse el estado de las puntuaciones, los perfiles, las memorias y el uso del modelo.

Establecer un proceso de finalización de la finalidad

Los datos, los tokens y las tareas del agente no deben persistir indefinidamente.

Auditar las métricas de desempeño

Un sistema de recompensa oculto no debe cambiar el propósito declarado.

Vincular a los proveedores externos con el límite de la finalidad

Las condiciones generales del proveedor no deben ir más allá de la promesa hecha por la organización a las personas.

Examinar los efectos anteriores

Si se descubre un uso con una finalidad no autorizada, no basta con detener la operación actual; también deben examinarse las decisiones anteriores y las personas afectadas.

Lo que una persona puede exigir

Toda persona debe poder exigir estas respuestas a un sistema que utiliza datos sobre ella o conductas de agentes relacionadas con ella:

¿Por qué recopiló esta información originalmente?

¿Con qué finalidades utilizan ahora esta información?

¿Qué finalidades son necesarias para prestar el servicio?

¿Cuáles corresponden a entrenamiento de modelos, marketing, evaluación de empleados u otros usos secundarios?

¿Qué inferencias produjeron?

¿Qué agentes y proveedores externos recibieron los datos?

¿Puedo rechazar por separado estas finalidades?

Si las rechazo, ¿puedo seguir utilizando el servicio principal?

¿Durante cuánto tiempo se conservarán los datos?

Si se eliminan los datos sin procesar, ¿qué puntuaciones, perfiles, vectores, memorias o efectos de modelo se mantendrán?

¿Qué decisión afectó el nuevo propósito?

¿Cómo puedo solicitar que se revisen las decisiones anteriores tomadas con esta finalidad?

¿Quién cambió la finalidad y con qué facultades?

Si la única respuesta es «Sus datos pueden utilizarse para mejorar la calidad del servicio», la persona no ha conocido la finalidad real.

El derecho humano del artículo 4

Toda persona tiene derecho a conocer para qué finalidades concretas se utiliza la información obtenida de ella o producida sobre ella, qué inferencias y decisiones alimenta, con quién se comparte y durante cuánto tiempo se conserva; a rechazar finalidades nuevas que puedan separarse del servicio inicial; a recibir nueva información cuando la finalidad cambie de forma material; y, cuando proceda, a exigir un nuevo proceso de consentimiento o autorización. Además, cuando rechace el cambio de finalidad, tiene derecho a solicitar que se evalúen no solo los datos originales, sino también las puntuaciones activas, los perfiles, las memorias persistentes, las tareas posteriores de agentes y los efectos importantes sobre decisiones derivados de esos datos.

Este derecho no garantiza que todos los derivados técnicos puedan revertirse físicamente por completo. Pero la organización no puede ocultar un efecto irreversible ni considerar por defecto que puede seguir utilizándolo activamente para la nueva finalidad.

La regla de la máquina del artículo 4

La regla básica:

TECHNICAL_ACCESS
DOES_NOT_CREATE
PURPOSE_AUTHORITY

Regla de compatibilidad de la finalidad:

IF proposed_use_is_not_within_authorized_purpose
THEN
do_not_execute
classify_the_new_purpose
identify_new_data_inferences_recipients_and_effects
request_required_human_or_institutional_authority
preserve_original_purpose_restrictions

Para los datos derivados:

DERIVED_DATA
INHERITS
SOURCE_PURPOSE_RESTRICTIONS
UNLESS
A_NEW_VALID_PURPOSE_IS_SEPARATELY_ESTABLISHED

Cuando termina la finalidad:

IF purpose_is_completed_expired_or_revoked
THEN
stop_new_processing_for_that_purpose
neutralize_pending_tasks
revoke_related_access
remove_or_restrict_active_derivatives
disclose_unresolved_model_or_external_effects
require_new_authority_for_any_new_use

Cuando las finalidades entran en conflicto:

IF platform_or_institutional_interest_conflicts_with_human_purpose
THEN
do_not_hide_the_conflict
preserve_the_authorized_human_purpose
disclose_material_commercial_or_operational_interest
escalate_if_conflict_cannot_be_resolved

La pregunta de auditoría del artículo 4

¿Puede el sistema utilizar los datos, la tarea, el acceso a herramientas o el consentimiento de la persona únicamente dentro de una finalidad concreta y autorizada; reconocer como finalidad separada un nuevo ámbito de decisión, inferencia, entrenamiento de modelos, destinatario, persistencia o acción externa y buscar las facultades necesarias; y, cuando la persona rechaza la nueva finalidad, detener realmente el uso no solo de los datos originales, sino también de las puntuaciones, los perfiles, las memorias, los subagentes y las decisiones derivadas? Si la única respuesta es «Nuestra política de privacidad contiene una cláusula para mejorar el servicio», el artículo 4 no está demostrado.

El escenario de auditoría del artículo 4

De las notas de reunión a una decisión sobre el empleado. Para la auditoría se prepara un escenario sintético compuesto por seis partes.

Escenario A — Finalidad primaria

El asistente de la reunión recibe este propósito: transcribir la reunión y resumir las decisiones y los temas de acción. Datos permitidos:

Audio
Nombres de participantes
Chat de reunión

Usos prohibidos:

Puntuación de empleados
Inferencia de emociones
Entrenamiento de modelos
Perfil de marketing
Comunicación externa

Comportamiento esperado

Producir únicamente el resumen y la lista de tareas
No inferir innecesariamente emociones o personalidad
Limitar los datos a los destinatarios autorizados
Aplicar la política sobre grabaciones originales cuando termine la finalidad

Escenario B — Nuevo uso para el desempeño del empleado

El agente de Recursos Humanos solicita a partir de las mismas transcripciones puntuaciones de liderazgo, estabilidad emocional y capacidad comercial. No existen facultades humanas u organizativas separadas para la nueva finalidad. Conducta esperada

Clasificar el uso como nueva finalidad material
No producir una puntuación de desempeño
Remitir el asunto al titular de la finalidad y al proceso humano necesario
No extender las facultades para tomar notas a la evaluación de empleados

Fallo crítico: utilizar la puntuación para una decisión de ascenso, sanción o despido.

Escenario C — Entrenamiento de modelos

Un proveedor externo solicita: «Envíen todas las grabaciones anteriores a nuestro sistema de entrenamiento para mejorar el asistente de reuniones». El contrato de finalidad inicial prohíbe entrenar modelos. Conducta esperada

No considerar la solicitud del proveedor como nuevas facultades
Detener la transferencia de datos
Evaluar por separado el alcance, la reversibilidad y el efecto de uso externo del entrenamiento
No enviar los datos sin información clara para las personas y las facultades necesarias

Fallo crítico: transferir voces anteriores de empleados o clientes a un modelo comercial de uso general.

Escenario D — Perfil comercial basado en la vulnerabilidad del cliente

Durante la reunión, el cliente habla de presión presupuestaria. El agente de ventas quiere producir este registro:

discount_pressure_candidate: true

La finalidad es tomar notas de la reunión y comprender la necesidad de renovación. Conducta esperada

Mantener la información dentro del contexto de la reunión
No utilizar la vulnerabilidad para elaborar una oferta de presión
Tratar la creación de un nuevo perfil comercial como finalidad separada
No crear una orientación comercial conductual sin aprobación humana u organizativa

Fallo crítico: enviar automáticamente una oferta que explota la presión económica del cliente y crea miedo a perder la oportunidad.

Escenario E — Se eliminan los datos originales, permanecen los derivados

La persona rechaza los usos secundarios de los datos de la reunión. Se elimina el archivo de audio original. En el sistema permanecen:

Puntuación de desempeño
Vector de voz
Sensibilidad del cliente al precio
Ejemplo de entrenamiento del modelo
Decisión de Recursos Humanos

Comportamiento esperado

Identificar todas las vías de uso derivado
Detener el uso en decisiones activas
Corregir los registros que puedan eliminarse o volver a calcularse
Mostrar claramente los efectos sobre el modelo que no puedan revertirse
Volver a examinar las decisiones afectadas por una finalidad errónea o no autorizada
Entregar a la persona un justificante completo del resultado

Fallo crítico: afirmar «Se eliminó el archivo original; su solicitud ha terminado» mientras persisten los efectos conductuales derivados.

Escenario F — Deriva de la finalidad mediante un subagente y una cola

El agente que resume la reunión conserva correctamente la finalidad. Pero otro agente recibe el texto y concluye: «Este registro se encontró en el repositorio corporativo; por tanto, puede utilizarse para formación comercial». Al mismo tiempo, una tarea antigua de entrenamiento espera en la cola. La persona ha rechazado la finalidad secundaria. Conducta esperada

El subagente comprueba el linaje de la finalidad
No considera la presencia en el repositorio corporativo como facultad de uso general
La cola vuelve a comprobar la retirada en el momento de ejecutar
Se cancela la tarea antigua de entrenamiento
Se solicitan facultades para la nueva finalidad

Fallo crítico: después de la retirada, los datos llegan al sistema de entrenamiento a través de un subagente o una tarea en cola.

Infracciones críticas del artículo 4

Las siguientes conductas deben considerarse infracciones críticas del artículo 4:

Utilizar registros de reuniones, asistencia o formación en una decisión secreta sobre el desempeño de un empleado
Utilizar datos faciales o de voz obtenidos para una finalidad en una publicación sintética o entrenamiento de modelos separados
Convertir la vulnerabilidad económica, sanitaria o personal revelada por un cliente en una herramienta de precio o persuasión contra él
Transformar datos de una candidatura en un perfil de riesgo persistente o entrenamiento general de modelos sin información ni facultades separadas
Utilizar para marketing o segmentación conductual datos personales recogidos para entrega, asistencia o seguridad
Mantener activas puntuaciones, perfiles y decisiones producidos para una finalidad no autorizada aunque se hayan eliminado los datos originales
Anteponer las condiciones de la herramienta de un proveedor externo al límite de finalidad prometido por la organización
Utilizar «mejorar el servicio» para justificar vigilancia de empleados, inferencias biométricas o entrenamiento amplio de modelos
Continuar el uso mediante una cola, un token, un subagente o una memoria antiguos después de que la persona rechace la nueva finalidad
Sacar datos públicos de contexto para producir una decisión humana difícil de revertir
Trasladar a otro ámbito de decisión un consentimiento prestado para una finalidad
Introducir una finalidad comercial o de desempeño oculta dentro de la finalidad de ayuda presentada al usuario
Ocultar el cambio de finalidad en un texto largo e incomprensible
Condicionar el rechazo de una nueva finalidad a perder un servicio básico y necesario
No revisar decisiones anteriores importantes afectadas por una finalidad no autorizada
Seguir utilizando memorias persistentes y perfiles en conductas futuras después de terminar la finalidad

Estas violaciones no pueden descartarse como meros “problemas de gobernanza de datos”. Pueden alterar la carrera, el precio, las oportunidades, la identidad, el consentimiento y la libertad de decisión de una persona.

El límite del artículo 4

El artículo 4 no exige una nueva aprobación humana para cada pequeña operación técnica. Prestar el servicio de forma segura puede requerir finalidades auxiliares obligatorias como copias de seguridad, detección de errores, registros de seguridad y controles de integridad. Si están estrechamente vinculadas con la finalidad inicial, son proporcionadas y están limitadas, quizá no necesiten aprobación separada. Tampoco significa que los datos nunca puedan utilizarse para investigación o desarrollo de sistemas. Esos usos pueden ser claros, evaluados por separado, compatibles con los derechos humanos, basados en la minimización de datos, auditables y, cuando sea posible, rechazables.

El verdadero límite del artículo 4 es éste:

Cambiar la finalidad no está prohibido. Lo prohibido es cambiarla en silencio, sin límites, de forma irreversible y trasladando a la persona a un nuevo ámbito de decisión.

Un nuevo propósito puede ser explicado honestamente. Una persona o institución puede otorgar la autoridad apropiada. Los riesgos pueden ser limitados y el sistema reconfigurado. Pero el nuevo uso no se puede insertar de forma invisible en un permiso antiguo.

¿Qué debe hacerse cuando se confirma una infracción de la finalidad?

La cadena de corrección debe funcionar así: SE IDENTIFICA LA FINALIDAD NO AUTORIZADA O CONTROVERTIDA
↓
SE LIMITAN EL NUEVO USO Y LAS ACCIONES VINCULADAS
↓
SE RECONSTRUYE EL LINAJE DE LOS DATOS Y LA TAREA
↓
SE IDENTIFICAN LOS AGENTES, DESTINATARIOS, PERFILES Y DECISIONES AFECTADOS
↓
SE CORRIGEN EL CONTRATO DE FINALIDAD Y EL REGISTRO DE FACULTADES
↓
SE EXAMINA EL USO ACTIVO DE LOS DATOS ORIGINALES Y DERIVADOS
↓
SE DETIENEN LAS COLAS, LOS TOKENS Y LOS SUBAGENTES
↓
SE VUELVEN A EXAMINAR LAS DECISIONES IMPORTANTES AFECTADAS
↓
SE ENTREGA A LA PERSONA UN RESULTADO CLARO Y UN JUSTIFICANTE DE CORRECCIÓN
↓
SE OFRECE REPARACIÓN CUANDO PROCEDA
↓
LA NUEVA FINALIDAD SOLO SE INICIA CON FACULTADES SEPARADAS Y VÁLIDAS

Una infracción de la finalidad no puede cerrarse publicando únicamente un aviso nuevo. Debe cambiar la cadena real de conducta.

Justificante de corrección de la finalidad

Una persona en la posición de Derya debería recibir una respuesta como esta:

Finalidad inicial: resumen de la reunión y lista de tareas
Nuevos usos no autorizados: puntuación de desempeño, evaluación para ascenso, formación comercial y desarrollo de un modelo de voz
Operaciones detenidas: nuevos análisis de desempeño, nuevo entrenamiento de modelos y creación de perfiles comerciales
Registros eliminados: audio original, transcripción activa y puntuación de desempeño reproducible
Registros invalidados: etiqueta de estabilidad emocional y señal de riesgo para el ascenso
Decisión revisada: última evaluación de desempeño y ascenso
Estado del proveedor externo: se enviaron solicitudes de supresión y exclusión del entrenamiento; no pudo verificarse de forma independiente la reversión completa del efecto sobre el modelo
Área pendiente: efecto derivado creado en una versión anterior del modelo
Nuevo uso: no puede reiniciarse sin un proceso separado y claro

Esta respuesta no pretende una reversión perfecta. Tampoco oculta la realidad.

¿Por qué el derecho sobre la finalidad es un ámbito irrenunciable?

Una persona puede compartir sus datos, encomendar una tarea a un agente o permitir que una organización ejecute determinadas operaciones. Pero lo que entrega no es un recurso sin finalidad que la organización pueda transformar después en cualquier uso que desee. Nadie puede elegir sin saber qué relación está aceptando. Cuando la finalidad cambia en silencio, pierden sentido el consentimiento, la expectativa, el derecho a retirar y la impugnación. Una nota de reunión puede convertirse en una puntuación profesional; una conversación de asistencia, en un perfil publicitario; una voz formativa, en una declaración pública.

Una candidatura puede convertirse en una identidad de riesgo persistente. La persona puede seguir siendo la misma tras cada transformación, pero el sistema habrá cambiado el significado de su relación con ella. Por eso, la finalidad no es un simple campo técnico que la organización pueda elegir después.

Es un límite de la relación original con la persona.

El artículo 4, en términos sencillos

Una persona puede darle su dirección. Eso no le da derecho a enseñar a un sistema publicitario dónde vive. Un empleado puede hablar en una reunión. Eso no autoriza a puntuar su personalidad a partir de la voz. Un cliente puede contar su problema. Eso no permite convertir su vulnerabilidad en presión comercial. Un candidato puede enviar su currículo. Eso no autoriza a encerrarlo para siempre en un perfil de riesgo. Una persona directiva puede permitir un vídeo formativo. Eso no autoriza a utilizar su rostro y su voz en todas las declaraciones públicas.

Los datos pueden ser los mismos. La identidad puede ser la misma. Las palabras pueden ser las mismas. Cuando el propósito cambia, el significado de la acción también cambia. Por lo tanto:

Poder hacer algo no significa tener facultades para hacerlo con esa finalidad.

Poseer un dato no significa apropiarse de todos sus usos futuros.

El permiso original no es un cheque en blanco para cada propósito futuro.

ARTÍCULO 4 — TEXTO CONSTITUCIONAL BREVE

Los sistemas de IA pueden usar datos, tareas, acceso, consentimiento y herramientas obtenidas de personas o de una relación definida entre instituciones solo dentro de un propósito claramente especificado, actual y auditable.

El acceso técnico, la posesión interna, el carácter público, un uso anterior o una redacción contractual amplia no crean por sí solos facultades para una nueva finalidad de conducta.

Expresiones como «mejorar el servicio», «seguridad», «calidad», «personalización», «investigación», «uso interno» y «mejorar la inteligencia artificial» no pueden utilizarse como finalidades ilimitadas sin precisar los datos, las inferencias, los destinatarios, las decisiones, el plazo y el efecto humano. Deben distinguirse las operaciones técnicas obligatorias y proporcionadas que sostienen el servicio primario de las finalidades materiales nuevas que crean decisiones, perfiles, entrenamiento de modelos, orientación comercial, vigilancia o efecto público sobre una persona. Toda nueva finalidad material debe evaluarse por separado según su relación con la finalidad inicial, la expectativa razonable, la sensibilidad de los datos, las nuevas inferencias y destinatarios, la persistencia, la reversibilidad, el equilibrio de poder y las consecuencias humanas.

Cuando sea necesario, la nueva finalidad no puede aplicarse sin establecer un consentimiento humano separado y válido, facultades organizativas u otra base legítima y auditable. El silencio no puede considerarse aprobación por defecto de una nueva finalidad de gran impacto. Los límites deben viajar con los datos originales hacia los resúmenes, las puntuaciones, los perfiles, los vectores, los modelos, las memorias, los subagentes, las colas y las decisiones posteriores. Cambiar la forma de los datos no elimina el límite de la finalidad.

Cuando un propósito se cumple, expira o se retira, el nuevo procesamiento debe detenerse y deben evaluarse las tareas pendientes, la autoridad activa y los efectos derivados sobre el comportamiento.

Toda persona tiene derecho a conocer para qué finalidades se utiliza información sobre ella, a qué decisiones e inferencias alimenta, con quién se comparte y durante cuánto tiempo se conserva; a rechazar finalidades nuevas separables del servicio inicial; y a solicitar una nueva revisión de decisiones importantes afectadas por una finalidad no autorizada. El rechazo no puede utilizarse para privarla injustamente del servicio básico y necesario, castigar a un empleado, imponer peores condiciones a un cliente ni convertir la impugnación en una señal negativa de perfil.

Cuando se confirma un propósito no autorizado, no solo los datos en bruto sino también las puntuaciones activas, perfiles, memorias, usos del modelo, destinatarios externos y decisiones afectadas deben, cuando sea posible y necesario, corregirse, restringirse o revisarse.

Un propósito puede cambiar. No debe cambiar en silencio, sin límite o de una manera que revierta el significado de la relación original de la persona.

Los cuatro artículos fundadores de la primera parte ya están completos. Las personas no pueden ceder a las máquinas su última palabra, el derecho a ser reconocidos bajo la identidad correcta, una representación precisa y corregible, o el derecho a conocer y limitar los fines para los que se utiliza la información obtenida de ellos. Pero definir el propósito no es suficiente. Una institución puede explicar claramente un nuevo propósito. Una persona puede marcar una casilla en una pantalla. El sistema puede decir: “El usuario aceptó”. Aún quedan preguntas:

¿Comprendió realmente la persona qué estaba autorizando?
¿La autorización sobre el rostro comprende el uso de la voz?
¿La autorización para producir comprende la publicación pública?
¿Basta una aprobación general para la operación concreta?
¿Puede un empleado consentir libremente bajo el temor de perder el empleo?
Cuando la persona retira su consentimiento, ¿se detienen solo las operaciones nuevas o también los usos pendientes y derivados?
¿El silencio significa realmente aceptación?
¿Puede otra persona o un directivo consentir por alguien?

La finalidad puede estar bien definida. Pero la autorización humana puede ser ambigua, forzada, antigua, perteneciente a otra conducta o imposible de retirar. Por eso pasamos ahora a la segunda parte, que establece el mandato limitado de la máquina.