Controles de seguridad y gobernanza para la inteligencia de negociación

La seguridad de la inteligencia de negociación requiere cinco capas de control interconectadas: confidencialidad, permisos, trazabilidad, retención y aprobación humana. En conjunto, protegen datos sensibles —como cotizaciones de proveedores, modelos de costos, contratos, análisis de gastos y mandatos de negociación— y regulan cómo las recomendaciones se convierten en acciones comerciales.

El objetivo práctico no es permitir que un sistema negocie de forma autónoma. Se trata de operar la inteligencia de negociación como un sistema de apoyo a la toma de decisiones de alta sensibilidad, dentro de una autoridad definida. El área de Compras sigue siendo responsable de las posiciones, concesiones, comunicaciones con proveedores y compromisos, mientras que los equipos de seguridad, legal, cumplimiento y gestión de registros gobiernan el uso de los datos y las evidencias.

Respuesta breve

Los controles necesarios incluyen clasificación de datos y cifrado; acceso con privilegios mínimos y por tiempo limitado; trazabilidad de fuentes, instrucciones, versiones, ediciones y aprobaciones; retención específica para cada artefacto y eliminación justificable; y aprobación humana obligatoria para ofertas, concesiones, declaraciones, términos contractuales y excepciones. Estos controles constituyen una base recomendada para la seguridad de los datos de negociación y la gobernanza de la IA para negociaciones, no una lista legal universal.

Por qué los datos de negociación requieren más protección que los análisis habituales

La inteligencia de negociación combina información que las organizaciones suelen proteger por separado:

• Historial de gastos, volúmenes y precios
• Cotizaciones de proveedores y desgloses de costos
• Términos contractuales y fechas de renovación
• Información sobre el desempeño y los riesgos de los proveedores
• Presupuestos, objetivos y previsiones internas
• Posiciones de retirada y límites de concesión
• Proveedores alternativos y costos de cambio
• Resúmenes, puntuaciones y recomendaciones generados por IA

La combinación de estas fuentes puede generar inteligencia derivada más sensible que cualquiera de los registros individuales. Un modelo podría inferir el margen probable de un proveedor, identificar la posición alternativa de Compras o revelar la información económica confidencial de un proveedor durante una negociación de compras no relacionada.

Eliminar el documento original no necesariamente elimina el riesgo. Su contenido puede permanecer en un resumen, una incrustación, una caché, un informe exportado, un conjunto de datos de entrenamiento del modelo o un registro de auditoría. Por lo tanto, la seguridad de los datos de negociación debe abarcar tanto el material de origen como la inteligencia derivada.

Las organizaciones que desarrollen una capacidad más amplia de inteligencia de proveedores pueden consultar el flujo de trabajo compatible con supplier negotiation intelligence. Para conocer la procedencia de las decisiones más allá de una sola negociación, consulte procurement decision intelligence.

Principio de gobernanza: separar la evaluación del compromiso

La inteligencia de negociación puede evaluar opciones, poner a prueba supuestos, organizar evidencias y proponer preguntas. No debe convertir silenciosamente el análisis en un compromiso.

Esta distinción crea tres ámbitos operativos:

1. Análisis: El sistema puede resumir gastos, comparar cotizaciones, calcular escenarios y señalar evidencias faltantes dentro de los límites de acceso aprobados.
2. Recomendación: El sistema puede proponer posiciones de negociación o paquetes de intercambio, pero debe identificar las fuentes, los supuestos, la incertidumbre y los datos faltantes.
3. Compromiso: Una persona autorizada debe aprobar y comunicar cualquier oferta, concesión, declaración, modificación contractual o decisión vinculante.

No basta con designar nominalmente a una persona revisora. La aprobación humana solo es significativa si quien revisa comprende las evidencias, tiene autoridad, dispone de tiempo suficiente para evaluarlas y puede rechazar o modificar la recomendación. El NIST AI Risk Management Framework 1.0 establece que los procesos de supervisión humana deben definirse, evaluarse y documentarse.

Matriz de controles de gobernanza reutilizable

La siguiente matriz constituye una base recomendada. Cada organización debe adaptarla a sus jurisdicciones, contratos, sectores, tipos de datos y tolerancia al riesgo.

Esta matriz convierte el lenguaje de las políticas en preguntas auditables: ¿El usuario estaba autorizado? ¿Se permitían las fuentes? ¿Qué modelo generó la recomendación? ¿Quién la revisó? ¿Qué se envió realmente? ¿Cuándo debe eliminarse cada copia?

1. Confidencialidad: proteger todo el contexto de la negociación

El cifrado es necesario, pero no suficiente. La confidencialidad también requiere segregación y restricciones de uso.

Un esquema de clasificación viable debería distinguir, como mínimo:

• Información pública
• Información interna
• Información confidencial de la empresa
• Información confidencial del proveedor
• Datos personales
• Material protegido por secreto profesional
• Secretos comerciales
• Información sujeta a controles de exportación u otras regulaciones

La clasificación debe acompañar a los datos. Si una cotización de un proveedor prohíbe la comparación con otras o la reutilización, un resumen derivado de ella no debería perder esa restricción solo porque ya no se parezca al documento original.

Según la definición federal de Estados Unidos, un secreto comercial debe estar sujeto a medidas razonables para mantenerlo en secreto y obtener valor de que no sea generalmente conocido (18 U.S.C. § 1839). Las restricciones de acceso, los términos de confidencialidad y la divulgación controlada pueden contribuir a esas medidas, aunque no garantizan la protección legal.

Preguntas de confidencialidad para evaluar a un proveedor

• ¿Pueden los administradores aislar proveedores, asuntos, categorías y unidades de negocio?
• ¿Se cifran las instrucciones, transcripciones, incrustaciones, copias de seguridad y exportaciones?
• ¿Se pueden excluir los datos del cliente del entrenamiento de modelos y de la reutilización entre clientes?
• ¿Qué subencargados reciben los datos y en qué ubicaciones?
• ¿Pueden los usuarios pegar contenido en modelos no aprobados o exportar un espacio de trabajo completo?
• ¿Se mantienen las restricciones de los proveedores en los resúmenes y las recomendaciones?

Negotiations.AI solo es pertinente en el flujo de trabajo concreto en el que un equipo de Compras incorpora documentos aprobados de proveedores, evidencias de gastos y supuestos de modelos de costos a un espacio de preparación controlado. Aun así, la organización debe verificar el tratamiento contractual de los datos, el aislamiento técnico, los controles de acceso y las evidencias de aprobación, en lugar de inferir la seguridad únicamente a partir del flujo de trabajo.

2. Permisos: conceder acceso según el asunto y el propósito

Los permisos deben responder a dos preguntas distintas:

1. ¿Puede este usuario o servicio acceder a la fuente?
2. ¿Puede utilizar la fuente para este propósito?

Un analista de categoría puede tener permiso para consultar la cotización de un proveedor en una negociación empresarial activa, pero no para usarla para entrenar un modelo general, crear un índice de referencia externo o respaldar la negociación de otra unidad de negocio.

El NIST Cybersecurity Framework 2.0 establece que los permisos deben definirse, aplicarse y revisarse conforme a principios como los privilegios mínimos y la separación de funciones. NIST define los privilegios mínimos como la restricción del acceso a los recursos y autorizaciones mínimos necesarios para el trabajo asignado.

Aplique este principio a las personas, las cuentas de servicio, los conectores, las herramientas de recuperación, los administradores de modelos y las funciones de exportación masiva. Recertifique el acceso después de los cambios de función y cierre rápidamente las cuentas obsoletas.

3. Trazabilidad: conservar la cadena de decisiones, no solo una transcripción del chat

Una transcripción por sí sola no puede explicar una recomendación importante. Una trazabilidad eficaz debe conectar:

Fuente → recuperación → instrucción o flujo de trabajo → modelo y configuración → salida → ediciones humanas → aprobación → comunicación con el proveedor → acción comercial

Por ejemplo, si una recomendación del modelo de costos cambia tras una actualización del índice, el registro debe identificar la fuente del índice, su fecha de vigencia, la fórmula utilizada, la versión del modelo, cualquier ajuste manual, la persona que aprobó el cambio y la posición resultante.

NIST SP 800-53 Revision 5 ofrece familias de controles para el control de acceso, la auditoría y la rendición de cuentas, la identificación, la protección de medios, la integridad de los sistemas y la privacidad. Su publicación complementaria de evaluación, NIST SP 800-53A Revision 5, ofrece procedimientos para comprobar si los controles están implementados y son eficaces.

Los propios registros necesitan acceso restringido y protección de integridad. Pueden proteger a la organización al permitir reconstruir decisiones, pero también pueden quedar sujetos a auditorías, investigaciones u obligaciones de divulgación. Registre las evidencias necesarias para las decisiones, sin incluir especulaciones innecesarias.

4. Retención: establecer un plazo independiente para cada artefacto

No existe un plazo de retención universal para todos los registros de negociación. El calendario adecuado depende de la legislación aplicable, los contratos, las políticas de gestión de registros, las retenciones por litigios o investigaciones y las necesidades del negocio.

No asigne un único plazo general a todo. Establezca calendarios para:

• Documentos de origen
• Grabaciones y transcripciones de reuniones
• Instrucciones y pasajes recuperados
• Recomendaciones generadas
• Ediciones y aprobaciones humanas
• Mensajes y ofertas efectivamente enviados
• Registros de modelos y configuraciones
• Registros de auditoría y seguridad
• Incrustaciones, cachés y copias de seguridad
• Conjuntos de datos de ajuste fino o evaluación

Cuando se aplique el RGPD, los datos personales deben limitarse a lo necesario, conservarse durante no más tiempo del necesario y protegerse contra el tratamiento no autorizado, la pérdida o los daños (Regulation 2016/679).

La Ley de IA de la UE incluye requisitos de documentación técnica, registro y supervisión humana para los sistemas clasificados como de alto riesgo. Por lo general, los registros bajo el control del proveedor o del responsable del despliegue deben conservarse durante al menos seis meses, salvo que otra ley aplicable disponga lo contrario. Una herramienta de compras ordinaria no se clasifica automáticamente como de alto riesgo por el mero hecho de utilizar IA; la clasificación depende de su finalidad prevista y de su uso (Regulation 2024/1689).

5. Aprobación humana: reservar la autoridad comercial a las personas

La aprobación humana responsable debe seguir siendo obligatoria para:

• Posiciones iniciales, puntos de retirada y autoridad total de negociación
• Concesiones de precio, volumen, exclusividad, responsabilidad, indemnización, propiedad intelectual y confidencialidad
• Declaraciones fácticas o jurídicas a un proveedor
• Aceptación de contratos y compromisos vinculantes
• Uso de información personal, privilegiada, confidencial de competidores o de fuentes dudosas
• Selección o exclusión de proveedores con consecuencias importantes
• Exenciones de controles y accesos excepcionales
• Notificaciones de incidentes y comunicaciones con proveedores
• Retenciones legales, excepciones de retención y eliminación definitiva

El sistema puede calcular escenarios dentro de un mandato. No debe ampliar ese mandato, reinterpretar un límite como opcional ni comunicar una posición sin la aprobación autorizada.

Para diseñar flujos de trabajo, consulte Design Human Approval Into an AI Negotiation Platform. Para una asignación más amplia de funciones decisorias, consulte Define Decision Roles for Cross-Functional Negotiations.

Ejemplo hipotético: evaluar un recargo de un proveedor

Ejemplo hipotético: no constituye evidencia ni un índice de referencia.

Un fabricante recibe una solicitud de recargo de un proveedor de envases. Compras carga el contrato vigente, las facturas históricas, las previsiones de volumen, la correspondencia con el proveedor y un modelo interno de costos en un flujo de trabajo aprobado de inteligencia de negociación.

El sistema detecta una discrepancia entre el período de costos de insumos alegado por el proveedor y el período de indexación del contrato. Propone preguntas y calcula escenarios. Los controles de gobernanza funcionan de la siguiente manera:

1. Confidencialidad: El desglose de costos del proveedor se etiqueta como confidencial y permanece aislado de los espacios de trabajo de otros proveedores.
2. Permisos: El gerente de categoría puede revisarlo, pero una unidad de negocio no relacionada no. Un analista de costos recibe acceso temporal con fecha de vencimiento.
3. Procedencia: Cada valor del índice enlaza con su fuente y fecha de vigencia. Un comentario de mercado no verificado se etiqueta como supuesto.
4. Trazabilidad: El sistema registra la versión del modelo, la fórmula, la cláusula contractual recuperada, la corrección del analista y el escenario final aprobado.
5. Retención: Los archivos de origen, las salidas y los registros siguen calendarios distintos. Una retención legal posterior suspende la eliminación cuando sea necesario.
6. Aprobación humana: El director de categoría aprueba el rango de negociación. El área legal revisa una interpretación contractual propuesta. El negociador verifica los hechos y envía el mensaje.

El sistema mejora la preparación sin adquirir autoridad para hacer declaraciones, conceder descuentos o aceptar el recargo.

Paquete de evidencias: qué debería poder inspeccionar un auditor

Para cada negociación de compras importante, mantenga un paquete de evidencias conciso:

Evidencias de datos

• Inventario de datos y sistemas, incluidas cachés, incrustaciones y copias de seguridad
• Registros de clasificación y procedencia
• Restricciones de confidencialidad y uso impuestas por los proveedores
• Subencargados, ubicaciones de datos y configuraciones de entrenamiento del proveedor

Evidencias de acceso

• Inventario de usuarios, roles y cuentas de servicio
• Aprobaciones de acceso y fechas de vencimiento
• Resultados de recertificaciones periódicas
• Registros de acceso privilegiado y exportaciones

Evidencias de decisiones

• Mandato de negociación aprobado por una persona
• Matriz de autoridad y límites de concesión
• Identificadores de documentos de origen
• Supuestos y estimaciones claramente etiquetados
• Versiones del modelo, las plantillas de instrucciones, la recuperación y la configuración
• Registros de revisión, edición y aprobación de las salidas
• Mensaje externo u oferta efectivamente enviados

Evidencias de controles

• Pruebas de integridad y cobertura de los registros de auditoría
• Resultados de pruebas de filtración, inyección de instrucciones y escalamiento de privilegios
• Calendario de retención, evidencias de eliminación y retenciones legales
• Registros de incidentes, cuasiincidentes y salidas no autorizadas

Una prueba operativa útil es la reconstrucción: ¿puede una persona revisora independiente determinar qué evidencias produjeron una recomendación importante, qué incertidumbres persistían, quién la aprobó y qué acción se tomó después?

Lista de verificación de controles antes del lanzamiento

Antes de habilitar la inteligencia de negociación para asuntos activos de Compras, confirme que:

• Cada fuente de datos tiene un propietario, una clasificación, un propósito permitido y una regla de vencimiento.
• Las restricciones de los proveedores se aplican a los resúmenes derivados, las incrustaciones y las recomendaciones.
• Los usuarios y servicios reciben acceso con privilegios mínimos según el asunto y el propósito.
• El acceso privilegiado tiene duración limitada, queda registrado y se revisa de forma independiente.
• Las salidas distinguen entre hechos verificados, supuestos, estimaciones y recomendaciones.
• Las salidas importantes muestran las fuentes, la incertidumbre y la información faltante.
• Los registros conectan entradas, versiones, ediciones, aprobaciones, divulgaciones y acciones.
• La retención abarca instrucciones, salidas, grabaciones, cachés, copias de seguridad y almacenes vectoriales.
• Las retenciones legales suspenden la eliminación ordinaria cuando sea necesario.
• El sistema no puede enviar ofertas, aceptar términos ni modificar sistemas operativos sin una autorización independiente.
• Los cambios en modelos y conectores se someten a pruebas y aprobaciones basadas en el riesgo.
• La respuesta a incidentes puede identificar los registros afectados y revocar rápidamente el acceso.
• Una persona autorizada puede cuestionar, detener o modificar todas las recomendaciones importantes.

Separar hechos, supuestos, estimaciones y recomendaciones

Una gobernanza sólida de la IA para negociaciones depende de etiquetar las evidencias con rigor.

Hechos verificados

Las publicaciones de NIST citadas describen controles y prácticas de gobernanza para el acceso, la auditabilidad, la gestión de riesgos y la supervisión humana. El RGPD, la Ley de IA de la UE y la ley estadounidense citados respaldan las afirmaciones jurídicas específicas anteriores.

Supuestos

Esta guía presupone que la inteligencia de negociación procesa información confidencial sobre abastecimiento, precios, contratos, gastos o desempeño de proveedores, y que respalda decisiones en lugar de ejecutar acuerdos de forma independiente.

Estimaciones

Aquí no se estima ningún plazo de retención, intervalo de revisión ni umbral de aprobación. No es posible generalizar esos valores de manera responsable sin conocer los contratos, las jurisdicciones, el contexto de riesgo y las obligaciones de gestión de registros de la organización.

Recomendaciones

La matriz de gobernanza, el paquete de evidencias, el modelo de segregación y la lista de aprobaciones obligatorias son controles recomendados, sintetizados a partir de marcos autorizados. No todos son exigidos por todas las leyes ni para todas las organizaciones.

Límites y situaciones que requieren análisis adicional

Esta base no resuelve todas las cuestiones de gobernanza.

• Las obligaciones del RGPD solo se aplican dentro de su ámbito material y territorial.
• Las disposiciones citadas de la Ley de IA de la UE se aplican específicamente cuando se activan la clasificación y las obligaciones pertinentes.
• Los marcos de NIST suelen ser voluntarios, salvo que se adopten mediante leyes, reglamentos, contratos o políticas organizativas.
• Las normas sectoriales, la contratación pública, los controles de exportación, el derecho de la competencia, el derecho laboral, el secreto profesional y los acuerdos con proveedores pueden imponer restricciones adicionales.
• La inteligencia de proveedores que implique la evaluación de personas físicas puede generar riesgos que van más allá de los análisis comerciales habituales.
• Un sistema que se utilice para realizar transacciones de forma autónoma, seleccionar proveedores o modificar contratos requiere controles adicionales a los de esta base de apoyo a la toma de decisiones.
• El cifrado y los registros no subsanan una fuente ilícita, un uso prohibido ni una divulgación no autorizada.

Los equipos de seguridad también deben evitar considerar que la mera existencia de controles demuestra su eficacia. Compruebe que la segregación funciona, que la información eliminada no persiste en almacenes derivados y que las personas revisoras pueden detener realmente una acción.

Preguntas frecuentes

¿Qué controles de confidencialidad se requieren para la seguridad de la inteligencia de negociación?

Utilice clasificación, cifrado, segregación por proveedor y asunto, restricciones de exportación y controles contractuales contra el entrenamiento, la telemetría o la reutilización no autorizados. Aplique las restricciones a la inteligencia derivada, además de a los documentos de origen. El propietario de los datos debe aprobar la divulgación externa, el procesamiento por proveedores y cualquier uso que exceda el propósito original.

¿Qué se debe registrar para proteger los datos de negociación?

Registre el usuario, la hora, el asunto, los documentos de origen, los pasajes recuperados, la instrucción o el flujo de trabajo, la versión del modelo y su configuración, la salida, las ediciones, la aprobación, la divulgación externa y la acción resultante. Proteja los registros contra alteraciones y restrinja el acceso a ellos.

¿Durante cuánto tiempo se deben conservar los registros de inteligencia de negociación?

No existe un plazo universal. Establezca calendarios según el tipo de artefacto y los requisitos legales, contractuales, operativos, de auditoría y de retención aplicables. Incluya grabaciones, instrucciones, salidas, incrustaciones, cachés, copias de seguridad, registros de modelos y registros de auditoría, no solo los documentos cargados.

¿Qué acciones siempre requieren la aprobación humana responsable?

Una persona autorizada debe aprobar los mandatos, los puntos de retirada, las ofertas, las concesiones, las declaraciones a proveedores, los términos contractuales, el uso de datos sensibles, las excepciones a los controles, las notificaciones de incidentes, las retenciones legales y la eliminación definitiva. La persona revisora debe poder comprender, cuestionar y detener la acción.

¿La gobernanza de la IA para negociaciones es responsabilidad exclusiva del área de seguridad?

No. Seguridad protege los sistemas y el acceso, pero Compras es responsable de la autoridad comercial; los propietarios de datos gobiernan su uso; las áreas legal y de cumplimiento evalúan las restricciones; los equipos de gestión de registros gobiernan la retención; y los propietarios de sistemas gestionan los cambios. Una gobernanza eficaz asigna cada decisión a una función responsable claramente identificada.

Lecturas adicionales

• NIST Cybersecurity Framework 2.0
• NIST AI Risk Management Framework 1.0
• NIST SP 800-53 Revision 5
• EU General Data Protection Regulation
• EU Artificial Intelligence Act

Aviso: Este artículo ofrece información general sobre gobernanza, no asesoramiento jurídico, de ciberseguridad ni financiero; solicite asesoramiento cualificado para su situación.