El 13 de octubre Business Insider publicó que los laboratorios de IA les mandan a dueños de empresas ofertas de seis cifras con fecha de caducidad (“exploding offers”), 48 horas para contestar, por los mensajes directos de Slack y los correos de sus empleados. Los datos se cotizan por terabyte, se limpian de números de seguro social y direcciones, y se revenden a los laboratorios grandes. Según el reportaje, los empleados rara vez se enteran y casi nunca cobran.

La oferta le llega al dueño. Los mensajes los escribieron otras personas. Este post trata de esa distancia. La decisión útil es quién en tu empresa tiene autoridad para contestar el correo del intermediario, antes de que el correo llegue.

Mi posición: la respuesta por defecto es que nadie vende. La excepción pasa por una lista corta de personas con firma, una revisión legal y un inventario de lo que hay en el archivo. Si esa lista no existe el día de la oferta, decide quien tenga el correo abierto.

La oferta está hecha para ganarle a tu proceso de aprobación

Ryan Lock, cofundador del intermediario Polyshares, le dijo a Business Insider que las ofertas se parecen a las que recibían los agricultores de Texas con el boom petrolero: “te ofrezco el doble del mercado, necesito una respuesta para el viernes”. Los plazos de 48 horas, según él, ya son comunes.

Del lado de la demanda, Micro1 anunció este año un programa que paga entre $100.000 y $2 millones a empresas medianas por datos anonimizados. Su director de ingresos explicó que los compradores quieren ver cómo se toman las decisiones, y que si una empresa no entrega su Slack, su CRM y su correo, el resto del archivo vale menos. El valor sube con el número de empleados de oficina, y el reportaje señala que el derecho y la contabilidad tienen una demanda especialmente alta.

Si tu comité legal se reúne cada dos semanas, el plazo de 48 horas no le deja reunirse.

Quién puede decir que sí

Cinco actores pesan en esta decisión, y ninguno ve el cuadro completo.

Quién	Qué controla de verdad	Qué no controla
Dueño o CEO	El contrato con el proveedor de Slack o de correo y la decisión comercial	Los datos personales de cada empleado dentro de esos mensajes
Administrador de TI	La exportación técnica de todo el espacio de trabajo	La autoridad. Poder exportar no es poder vender
Legal	Leer los contratos y la ley que aplica	Decidir el negocio
Recursos Humanos	El reglamento interno, los contratos laborales y lo que se le avisó al personal	Lo que dicen los acuerdos con clientes
Tus clientes	Lo que pegaron en un canal compartido o mandaron por correo, bajo sus acuerdos de confidencialidad	Qué hace tu empresa con ello. Los acuerdos de confidencialidad se leen antes de responder

Grant Gooley, de la agencia MyPortal Marketing, le vendió a Micro1 archivos de diseño, listas de verificación de incorporación de clientes y anuncios, y dice que no vendió nada específico de clientes. Esa línea la trazó él solo. Alguien tiene que trazarla por escrito antes de que corra el plazo.

El riesgo también corre en sentido contrario. Extrabajadores por encargo de Mercor, otra empresa de entrenamiento de IA, alegan en una demanda en curso que la compañía los animó a subir materiales de trabajo sin el consentimiento de sus empleadores. Mercor lo niega ante el tribunal. Tu propio personal o tus contratistas pueden ser el canal por el que sale información, sin que ningún dueño haya firmado nada.

Qué dicen las leyes, y dónde dejan de decir

No soy abogado, y esto no es asesoría legal. Es lo que verifiqué.

En Estados Unidos, la profesora Ifeoma Ajunwa, de Emory, le dijo a Business Insider que la falta de leyes federales de privacidad deja pocas barreras para que una empresa use datos de sus empleados en entrenamiento de IA. Su pregunta es si el consentimiento de los empleados se extiende a la venta de esos datos, y la llama un terreno éticamente gris. En la Unión Europea, el artículo 5 del RGPD exige que los datos personales se recojan con fines determinados y no se traten después de forma incompatible con ellos.

Si tu personal o tu empresa están en Costa Rica, aplica la Ley 8968 de protección de datos personales. Leí tres artículos:

• Artículo 2. La ley cubre los datos personales en bases de datos, manuales o automatizadas, de organismos públicos y privados. Excluye las bases con fines exclusivamente internos, siempre que no sean vendidas o comercializadas.
• Artículo 5. Hay que informar de antemano la finalidad, los destinatarios y el tratamiento, y obtener consentimiento expreso por escrito. Se prohíbe el acopio de datos sin consentimiento informado.
• Artículo 14. Quien tiene la base solo puede transferir los datos si el titular autorizó “expresa y válidamente” esa transferencia.

Mi interpretación, que no es opinión legal: el archivo de mensajes de tu empresa estaba protegido por el uso interno, y licenciarlo a un laboratorio es venderlo, que es justo lo que el artículo 2 deja fuera de ese refugio. Lo que no sé es si un espacio de Slack califica como base de datos bajo esa ley, ni si alguna excepción del artículo 5 te sirve. En mi búsqueda no encontré una sentencia que lo resuelva. Eso le toca a un abogado local, con el texto en la mano.

Los contratos laborales y el reglamento interno merecen la misma lectura. Una cláusula que autoriza a la empresa a monitorear los sistemas se escribe para seguridad y cumplimiento, y nada en esa redacción dice que cubra una reventa. Si no lo dice, no asumas que lo permite.

Limpiado no es anónimo

Business Insider cuenta que los intermediarios borran números de seguro social y direcciones de casa antes de revender. Un mensaje directo sin esos dos datos todavía dice quién lo escribió, con qué tono, a quién y sobre qué cliente. Esto es inferencia mía: borrar identificadores directos no equivale a anonimizar, y el reportaje no explica el método de cada intermediario, así que no sé cuánto limpian en realidad.

El caso de Meta muestra lo que cuesta confiar en la etiqueta. Su programa para registrar teclas y movimientos de mouse de los empleados con fines de entrenamiento provocó una rebelión. Los datos “supuestamente anonimizados”, según capturas que obtuvo Business Insider, incluían conversaciones privadas y evaluaciones de desempeño, y estuvieron visibles para toda la empresa en una filtración interna. Meta suspendió el proyecto.

El caso de Spirit Airlines, donde los sobrecargos frenaron la compra de Google, está en otro post.

Qué decidir antes de que llegue la oferta

Estas cinco decisiones van antes de la oferta, en este orden:

1. Quién firma. Un nombre y un cargo, con una segunda firma de legal. Si la lista dice “la gerencia”, no está terminada.
2. Una regla de respuesta. Toda oferta de licenciar datos se registra y se contesta con “lo estamos revisando”. Ninguna se responde dentro del plazo del comprador.
3. Un inventario. Qué hay en Slack, correo, CRM y tickets: datos de clientes, de empleados, de terceros bajo confidencialidad y regulados.
4. Una lectura legal. Qué dicen hoy tus contratos laborales, tu reglamento interno y tus acuerdos con clientes sobre usos distintos del original.
5. Una cláusula con cada proveedor. Ningún proveedor de IA o de colaboración usa tus datos para entrenar ni los cede sin tu autorización escrita. Cómo hacerlo con el tráfico de API lo cubrí en el post sobre los tokens gratis de OpenAI.

El punto 3 es el que más trabajo cuesta, y es donde entra IQ Source. Antes de firmar con cualquier proveedor de IA, lo primero que hacemos es el inventario de qué datos toca cada proceso. En AI Maestro, el Process Reality Map documenta cómo opera de verdad la empresa, y esa lista es la que le dice a tu abogado qué se está licenciando. Sin ella, la discusión de precio es sobre una caja cerrada. Adam Liska rechazó $200.000 por el código de su empresa; expliqué por qué creo que acertó. Y si eres un bufete, estás en la categoría que Business Insider marca como más buscada, y la versión para bufetes de AI Maestro arranca justo en eso.

Esta semana, escribe en media página quién firmaría una licencia de datos y quién la revisaría, y mándasela a tu abogado. Después reenvíate un correo de prueba como si fuera de un intermediario y mira cuántas horas tarda en llegar a esas dos personas.