¿Pueden nuestros ingenieros armenios utilizar herramientas de IA en el proyecto de un cliente? Contratos, datos y adquisiciones.

Por lo general, sí, dentro de los límites que establece el contrato con el cliente antes de que entre en vigor la ley armenia: si el contrato trata el código fuente como confidencial, controla a los subcontratistas o especifica dónde se puede realizar el trabajo, un asistente de codificación de IA que envía solicitudes a los servidores de un proveedor puede infringirlo en la primera solicitud. La ley armenia añade entonces dos niveles: normas de derechos de autor que determinan si el código asistido por IA puede ser propiedad de alguien y cedido, y normas de protección de datos personales que se aplican en el momento en que los datos del cliente llegan a la herramienta.

Lo que dicen los contratos con los clientes sobre los asistentes de codificación con IA

La mayoría de los acuerdos de desarrollo firmados antes de 2023 no mencionan la IA. Todavía la regulan mediante cuatro cláusulas ordinarias.

Confidencialidad

Una solicitud que contiene el código del cliente se envía al proveedor de IA, un tercero. Si el código es información confidencial según el contrato, se considera una divulgación. La legislación civil armenia establece lo mismo: un contratista, en virtud de un contrato de obra, no puede divulgar información técnica recibida del cliente sin su consentimiento, y la información confidencial por su valor comercial se protege como secreto comercial. Si una carga en particular infringe estas normas depende del contenido enviado y de los términos del proveedor.

Cláusulas de IA expresas y políticas de proveedores

Los grandes compradores incorporan cada vez más reglas de IA en los programas de sus proveedores. Tres ejemplos publicados muestran la diversidad:

• La política de Intel para proveedores de IA generativa (julio de 2023) prohíbe introducir información confidencial de Intel, incluido el código del software, y datos personales en las herramientas de IA generativa.
• La Política de IA para Proveedores de Cisco (abril de 2025) exige la autorización de Cisco antes de que sus datos protegidos se utilicen para entrenar, reentrenar o mejorar un modelo de IA; dicha autorización suele tener una vigencia de un año.
• Los Requisitos de Protección de Datos para Proveedores de Microsoft, versión 12 (marzo de 2026), exigen la notificación previa a los subcontratistas, la aprobación de las transferencias internacionales de datos personales de Microsoft y añaden una sección aparte para los proveedores que utilizan o proporcionan sistemas de IA.

Estos son requisitos del cliente y solo vinculan a los proveedores que se adhieren a ellos. Son una muestra fiable de las preguntas que harán sus propios clientes.

Subcontratistas

Que un proveedor de IA se considere subcontratista depende de cómo defina el término en el contrato. Cuando se define como tal, las cláusulas de subcontratación suelen exigir que el proveedor acepte condiciones al menos tan protectoras como las suyas, y los grandes proveedores de IA rara vez firman condiciones personalizadas. Lea la definición antes de asumir que la herramienta queda fuera de ella.

Ubicaciones permitidas

Una cláusula que autoriza el desarrollo en Armenia especifica la ubicación de sus ingenieros. El proveedor de IA procesa y puede almacenar las indicaciones en sus propios centros de datos, a menudo en Estados Unidos o la Unión Europea. Se trata de dos cuestiones distintas, y la segunda es la que ahora plantean los equipos de seguridad de los clientes.

El permiso para usar una herramienta y el permiso para introducir información del cliente en ella son independientes. La promesa del proveedor de no realizar entrenamientos basados ​​en indicaciones es una condición de su licencia con dicho proveedor. La cláusula de confidencialidad con su cliente se cumple con el consentimiento de este o con una cláusula contractual que autorice el uso de la herramienta.

Creación de una matriz de permisos por cliente

Cada contrato de cliente produce una respuesta diferente, por lo que la herramienta de trabajo consta de una fila por cliente, que se completa a partir del contrato y cualquier política del proveedor que este incorpore. Una versión mínima:

Revise una fila cada vez que agregue una herramienta, el proveedor cambie su modelo o sus subprocesadores, o el equipo comience a usar IA para una nueva tarea, como la generación de datos de prueba. Cualquiera de estos casos puede quedar fuera de la aprobación otorgada para la configuración original.

La política de herramientas aprobadas: qué incluir en ella.

La matriz responde a lo que permite cada cliente. La política indica a los ingenieros cómo trabajar dentro de ella:

• Niveles de herramientas: Cuentas empresariales aprobadas, herramientas permitidas solo para uso interno o de código abierto, y herramientas prohibidas, incluidas las cuentas personales en cualquier servicio.
• Clases de datos: lo que nunca puede aparecer en una solicitud (datos personales del cliente, credenciales, claves, código marcado como confidencial) y lo que sí puede, según la fila del cliente en la matriz.
• Configuraciones de la cuenta: Opción de exclusión de la formación, período de retención y región, configurados de forma centralizada para que los ingenieros individuales no puedan modificarlos.
• Ruta de aprobación: ¿Quién añade una herramienta y quién revisa la matriz antes de que comience un proyecto?
• Revisión de los resultados: Revisión de código y escaneo de licencias para sugerencias de IA, ya que un asistente puede reproducir código de terceros.
• Incidentes ¿Qué hace un ingeniero después de pegar algo incorrecto y quién decide si se debe informar al cliente o a las autoridades?

Para que la política sea vinculante para el personal, debe adoptarse como documento interno de la empresa y cada ingeniero debe confirmarla por escrito; nuestro servicio de cumplimiento laboral abarca la implementación de normas internas. Cuando los ingenieros son contratados a través de una empresa de representación, esta última es su empleador legal, por lo que la política debe llegarles a través del acuerdo con la empresa de representación y su contrato con usted.

¿Quién es el propietario de la producción asistida por IA?

Según la Ley de Derechos de Autor de Armenia (HO-142-N), el autor es la persona física que creó la obra, y un programa informático está protegido si es el resultado original de su trabajo creativo. La ley excluye expresamente los resultados obtenidos por medios técnicos sin actividad creativa humana. Por lo tanto, el código generado íntegramente por una herramienta de IA no tiene derechos de autor que se puedan poseer o ceder, mientras que el código que un ingeniero escribe utilizando IA como herramienta sí puede estar protegido. No se ha comprobado hasta qué punto la intervención, la selección o la edición convierten la salida de la IA en código protegido: no se ha encontrado ninguna sentencia judicial armenia ni directriz oficial sobre obras generadas por IA.

Para el código protegido, se aplica la cadena de titularidad habitual:

• Empleados: Los derechos económicos derivados del trabajo realizado en el marco de las funciones laborales pertenecen al empleador, salvo que el contrato estipule lo contrario. Los derechos morales recaen sobre el ingeniero y no son transferibles.
• Contratistas: Nada se aprueba por ley. Se requiere una autorización por escrito. Sin una redacción clara, una licencia bajo el Código Civil no es exclusiva, solo cubre Armenia y tiene una vigencia de cinco años si no se especifica un plazo.
• Remuneración: Una cláusula en la que el autor renuncia al derecho a remuneración es nula.

La cláusula de cesión de propiedad intelectual de un cliente solo permite transferir los derechos que su empresa posee. Si un producto final contiene código generado por máquina o código copiado por un asistente de un proyecto de terceros, la garantía de titularidad estipulada en su contrato podría ser errónea, incluso si todos los ingenieros firmaron la documentación correspondiente. Nuestra auditoría de propiedad intelectual de software explica cómo verificar la cadena de propiedad desde el ingeniero hasta la empresa.

Datos personales: lo que añade la ley armenia.

Si las solicitudes contienen datos personales del cliente (registros de usuario, registros con nombres o correos electrónicos, extractos de bases de datos de producción utilizados como datos de prueba), se aplica la Ley de Protección de Datos Personales (HO-49-N) a la carga.

Su función y el mandato

Una empresa armenia que procesa datos siguiendo las instrucciones de un cliente suele ser una «persona autorizada», similar a un encargado del tratamiento según el RGPD. El mandato del cliente debe constar por escrito e indicar la base jurídica, la finalidad, las categorías de datos y los interesados, los posibles destinatarios y las medidas de protección. Si el mandato no cumple con la ley, la empresa debe rechazarlo y advertir al cliente por escrito. Cargar datos en una herramienta de IA que no se menciona en el mandato implica que el procesamiento queda fuera de su ámbito de aplicación.

Base jurídica y minimización

El tratamiento de datos requiere el consentimiento del interesado, un consentimiento tácito según lo estipulado en la ley o una base legal expresa. La legislación armenia no contempla el interés legítimo general, y los datos no pueden utilizarse para un fin distinto al de su recopilación. Si la tarea puede realizarse con datos anonimizados, se prohíbe el tratamiento de datos identificables; la mera eliminación de nombres no garantiza la anonimización de un registro que aún permite identificar indirectamente a una persona.

Transferencias a un proveedor de IA en el extranjero

El envío de datos personales a servidores fuera de Armenia constituye una transferencia transfronteriza. No requiere autorización si el destino ofrece una protección adecuada, ya sea mediante un tratado internacional o figurando en la lista de países con protección adecuada de la Agencia de Protección de Datos Personales. En caso contrario, la transferencia solo podrá realizarse con la autorización previa de la Agencia, mediante un contrato con garantías aprobadas por esta. La solicitud debe presentarse por escrito antes de la transferencia e indicar el país, el destinatario, los datos y la finalidad; la Agencia emite una resolución en un plazo de 30 días. El consentimiento del interesado no sustituye esta autorización, y el anexo estándar de procesamiento de datos de un proveedor de IA no constituye una aprobación de la Agencia.

La Agencia aprobó su lista de países que cumplen con los requisitos en diciembre de 2025. Los países que abarca, y en particular cómo trata a Estados Unidos, donde la mayoría de los asistentes de codificación de IA procesan las indicaciones, se están confirmando en función de la decisión publicada por la Agencia, por lo que conviene comprobar la región de procesamiento del proveedor en la lista actual antes de confiar en ella.

Seguridad e incidentes

La ley exige destruir o bloquear los datos que ya no se necesitan, protegerlos mediante cifrado, restringir el acceso a usuarios autorizados y mantener la confidencialidad de los datos durante y después de la relación laboral. En caso de fuga de datos de un sistema electrónico, el responsable del tratamiento debe anunciarlo públicamente de inmediato e informarlo simultáneamente a la policía y a la Agencia; no existe un plazo de 72 horas ni un umbral de riesgo. El tratamiento ilícito detectado debe subsanarse en un plazo de 3 días hábiles, o bien destruirse los datos, e informarse al interesado. Aún no se ha determinado si la inserción no autorizada de datos en una herramienta de IA constituye una fuga o un tratamiento ilícito.

La Ley de Ciberseguridad (HO-442-N), en vigor desde el 4 de enero de 2026, impone obligaciones a los operadores de sectores vitales, como las TI y la infraestructura digital, y generalmente excluye a las microempresas y pequeñas empresas, salvo que gestionen infraestructuras críticas. No contiene ninguna prohibición general sobre el envío de código a servicios de IA. Si los datos de sus clientes incluyen datos de residentes de la UE, el RGPD podría aplicarse junto con la legislación armenia.

Evidencia para las respuestas de contratación pública

Un equipo de seguridad solicitará documentos. El conjunto que responde a la mayoría de las preguntas sobre IA:

• la política de herramientas aprobadas y un registro de las herramientas en uso, con el tipo de cuenta y la configuración;
• la fila del cliente en la matriz de permisos y cualquier aprobación escrita en la que se base;
• Registros de capacitación del personal y de reconocimiento de políticas;
• los términos contractuales de los proveedores de IA en materia de capacitación, retención y ubicación del procesamiento, con cualquier autorización de la Agencia para las transferencias;
• un diagrama de flujo de datos que muestra qué sale de su red y adónde va;
• su lista de subcontratistas y registro de incidentes;
• un certificado ISO 27001, si lo posee. Microsoft, por ejemplo, acepta un certificado ISO 27001 válido en lugar de su sección de seguridad; sus requisitos de gestión de datos e inteligencia artificial siguen siendo aplicables.

El cuestionario más extenso se incluye en nuestra lista de verificación de seguridad para proveedores armenios . Primero, cree la fila de la matriz para cada cliente a partir de su contrato; active las herramientas para el proyecto de ese cliente solo cuando la fila esté completa y se hayan archivado todas las aprobaciones necesarias.

Preguntas frecuentes

Última actualización: 13 de octubre de 2026