ISO/IEC 27701: privacidad de datos, y dónde se cruza con la Ley 29733

Qué es y de dónde viene

La ISO/IEC 27701 es la norma de gestión de privacidad de la familia 27000, la misma de la conocida ISO/IEC 27001 de seguridad de la información.

La diferencia entre las dos vale la pena entenderla, porque explica por qué no basta con una:

Se puede tener una base de datos perfectamente protegida y aun así estar incumpliendo en privacidad, porque nadie preguntó si esos datos debían estar ahí. Ese es el hueco que cubre la 27701.

Dónde se cruza con la Ley 29733

En Perú la protección de datos personales tiene su propia norma obligatoria, la Ley 29733, con su reglamento y su autoridad. La ISO/IEC 27701 es voluntaria.

Ninguna reemplaza a la otra. La relación práctica es esta: la ley te dice qué tienes que cumplir y la norma te da un método ordenado para llegar ahí, con la ventaja de que el método sirve igual si mañana vendes a Europa o a un cliente que te exige estándares internacionales.

Lo que sí hay que decir con claridad: certificarte en ISO/IEC 27701 no te pone automáticamente en cumplimiento de la Ley 29733. Son marcos distintos, con obligaciones concretas distintas. Qué te exige exactamente la ley peruana lo tiene que leer tu área legal sobre el texto vigente, no yo, y lo mismo digo en la Ley 31814 y su reglamento.

Por qué esto aparece justo cuando llega la IA

La mayoría de las empresas con las que trabajo no llegó a la privacidad por la privacidad. Llegó porque alguien preguntó qué pasa con la información que el equipo está pegando en un chat de inteligencia artificial.

Es una buena pregunta y normalmente destapa tres cosas a la vez:

• Nadie sabía qué se estaba pegando. Contratos, planillas, historias clínicas, bases de clientes. No por mala fe: porque la herramienta era gratis y nadie dijo que no.
• No estaba claro qué hace el proveedor con eso. Depende del plan contratado y de la configuración, y casi nunca alguien lo revisó.
• No había forma de saber dónde terminó un dato. Que es justamente lo que hay que poder responder si la persona dueña de ese dato pregunta.

La respuesta técnica existe y es conocida: lo sensible se queda dentro de la empresa, con modelos que corren en tu propia infraestructura, y lo demás va a la nube con un contrato que diga qué se puede hacer con tus datos. Cómo funciona esa parte la explico en agentes de IA para empresas.

La respuesta de gestión es la que trae esta norma: saber qué datos tienes, para qué, con qué base y por cuánto tiempo. Ese inventario es el mismo que pide la ISO/IEC 42001 para los sistemas de IA. Se hace una vez.

Sobre el PDF de la norma

Una de cada ocho personas que busca esta norma en Google está buscando el PDF gratis. Te lo digo derecho: ISO/IEC 27701 se compra. Es un texto con derechos de autor de ISO y aquí no lo vas a encontrar copiado, ni deberías encontrarlo copiado en ningún sitio serio.

Lo que sí te puedo decir es qué hay adentro para que decidas si te sirve comprarla: los requisitos para gestionar privacidad y orientación separada para dos papeles distintos: cuando tu empresa decide qué se hace con los datos y cuando solo los trata por encargo de otro. Esa distinción es la parte más útil de la norma y la que más se malinterpreta.

Se compra en el catálogo de ISO o, en Perú, a través de INACAL, que es el organismo nacional de normalización. Algunas normas se pueden hojear en línea antes de comprarlas.

Cómo trabajo esto

Igual que con las otras: primero el inventario, porque sin él todo lo demás son suposiciones. Qué datos entran, a qué herramienta, quién tiene acceso y qué se está pegando en cuentas gratuitas.

Eso solo, sin comprar nada, suele resolver la mitad del problema. Lo que queda después se decide con información en la mano y no por miedo.

Si no sabes qué información de tu empresa está saliendo por una herramienta de IA, esa es exactamente la conversación de media hora.

Conversemos 30 minutos, sin costo

El texto legal, la inscripción de bancos de datos y la interpretación de la norma peruana son de un abogado o de un estudio, y trabajo con ellos sin problema. Si lo que necesitas es solo eso, te lo digo de frente. Lo mío está en consultoría en IA y en la evaluación de riesgos.

Preguntas frecuentes