Aviso de Uso de Inteligencia Artificial — STRONGEST GENERAL SERVICE SAC

Comunicación de transparencia

SIG_V1 dispone de funciones de asistencia mediante inteligencia artificial. Sus resultados requieren validación y no constituyen decisiones empresariales por sí solos. La carga de datos y documentos debe limitarse a usos autorizados.

Este documento es una propuesta para aprobación interna y debe completarse con los datos institucionales y el inventario efectivo de proveedores y funciones. No acredita implementación técnica, certificación ni cumplimiento integral.

1. Identidad, objeto y destinatarios

STRONGEST GENERAL SERVICE SAC comunica a los usuarios y titulares de datos vinculados a SIG_V1 que el aplicativo dispone de funciones de asistencia mediante inteligencia artificial, identificadas, entre otras, como Proteos. Su alcance efectivo depende de los módulos, conectores y permisos habilitados.

Este aviso explica las condiciones de ese uso y complementa el Aviso de Privacidad y los Términos de Uso. No sustituye información específica del proceso ni autoriza por sí mismo operaciones que requieran consentimiento o una habilitación legal.

2. Operaciones comprendidas

Comprende consultas, elaboración de borradores, resumen de documentos, apoyo al análisis y recuperación de información cuando tales funciones estén autorizadas. Las entradas pueden incluir texto o archivos y las salidas pueden incluir recomendaciones, contenido o código.

El uso de memoria, perfiles, agentes que ejecuten acciones y nuevas integraciones debe identificarse separadamente. La existencia de una interfaz de IA no permite presumir que todos esos usos están activos o aprobados.

3. Marco jurídico peruano

El tratamiento de datos se rige por la Ley 29733 y su Reglamento aprobado por D.S. 016-2024-JUS. El uso de IA debe evaluarse dentro de la Ley 31814 y del D.S. 115-2025-PCM, atendiendo al caso de uso, el riesgo y el rol que desempeñe la empresa.

También se considerarán el D. Leg. 822 sobre derecho de autor, la Ley 30096 y modificatorias sobre delitos informáticos, y las obligaciones laborales, de SST y de confidencialidad aplicables. No toda restricción interna se presenta como prohibición penal o mandato legal universal.

4. Normas internacionales y extranjeras

El RGPD, Reglamento (UE) 2016/679, y el Reglamento europeo de IA, Reglamento (UE) 2024/1689, se evaluarán únicamente cuando su ámbito material y territorial resulte aplicable, según el rol del operador y el calendario vigente. Contratar un proveedor extranjero no hace aplicables automáticamente todas esas normas a la empresa.

Los principios de IA de OCDE, la Recomendación de UNESCO sobre ética de IA, NIST AI RMF e ISO/IEC 42001 son referencias diferenciadas para la gestión responsable. Su mención no acredita certificación ni las transforma en leyes peruanas.

5. Finalidades autorizadas

La IA se utilizará para apoyar actividades de gestión expresamente autorizadas, dentro de las funciones del usuario. Debe distinguirse asistencia documental de la adopción de decisiones: generar una recomendación no equivale a aprobarla.

Cada área debe definir tarea, información necesaria, personas afectadas y responsable de validación. Una herramienta aprobada para redacción general no queda autorizada por ello para evaluar salud, seleccionar postulantes o comunicar expedientes a terceros.

6. Datos que pueden intervenir

Las consultas, archivos, fragmentos recuperados, respuestas y memoria pueden contener datos personales o información empresarial reservada. Debe limitarse su inclusión a lo necesario y autorizado y evitar datos sensibles cuando una alternativa menos invasiva permita cumplir la tarea.

Retirar nombres no garantiza anonimato si el contexto permite identificar personas. Los datos de salud, ingresos económicos, menores y otras categorías protegidas requieren evaluación y medidas reforzadas; no deben enviarse indiscriminadamente a servicios externos.

7. Habilitación y consentimiento específico

El tratamiento necesita consentimiento válido o una excepción legal concreta y documentada que corresponda a la operación. La lectura del aviso, la aceptación de términos y el inicio de sesión no son una autorización general para IA, transferencias o entrenamiento.

Si se requiere consentimiento, debe explicar finalidad, datos y comunicaciones pertinentes mediante un mecanismo verificable y separado de usos opcionales. La revocación se atenderá en su alcance legal y no se utilizará para eludir obligaciones de conservación que deban explicarse.

8. Procesamiento local y proveedores externos

Según el conector utilizado, una consulta puede procesarse mediante componentes locales o enviarse a un proveedor externo. Proteos identifica la funcionalidad del aplicativo y no determina por sí solo la entidad que recibe la información.

Antes de un envío deben verificarse proveedor, modelo, ubicación, datos transmitidos, retención, subencargados, acceso humano y condiciones contractuales. Este documento no identifica proveedores o países como confirmados sin inventario; esos datos deben completarse antes de aprobar los flujos correspondientes.

9. Comunicaciones y flujo internacional

Las comunicaciones de datos deben limitarse al propósito habilitado y a destinatarios informados. La pertenencia a un grupo empresarial no otorga acceso automático y el uso de nube no constituye por sí solo una excepción de privacidad.

Cuando un destinatario esté en otro país deben verificarse las condiciones y garantías pertinentes y completar la información al titular. El responsable del proceso debe detener un envío si desconoce su destinatario o si sus condiciones son incompatibles con la información involucrada.

10. Entrenamiento y reutilización de contenido

Este aviso no autoriza reutilizar expedientes laborales o médicos para entrenar modelos, afinar sistemas, mejorar productos de terceros o crear bases ajenas a las finalidades informadas. Cualquier propuesta de ese tipo requiere evaluación independiente y habilitación correspondiente.

Antes de utilizar un servicio deben revisarse tanto su contrato como sus opciones efectivamente configuradas. No se afirma que todos los proveedores excluyan entrenamiento ni que borrar una conversación elimine todas sus copias.

11. Memoria, búsqueda y conservación

Las bases de conocimiento, índices, fragmentos y representaciones vectoriales deben conservar las restricciones de las fuentes por usuario, empresa y proyecto. No deben revelar documentos inaccesibles mediante resúmenes o respuestas.

La conservación debe tener finalidad y plazo definidos y contemplar corrección, bloqueo o eliminación donde proceda. Memoria y respaldos no habilitan retención indefinida; los plazos exactos deben validarse con el inventario y el calendario empresarial.

12. Supervisión humana y decisiones

Las salidas requieren revisión competente antes de incorporarse a documentos o decisiones relevantes. La persona responsable debe comprobar fuentes, exactitud, contexto y efectos, con capacidad real para rechazar o corregir la propuesta.

Conforme a la política interna propuesta, la IA no decidirá por sí sola contratación, despido, sanción, remuneración, aptitud médica o autorización de trabajos peligrosos. Las evaluaciones especializadas y los permisos del proceso mantienen su exigibilidad.

13. Perfiles, objetividad y no discriminación

Los usos de perfilado o apoyo a decisiones significativas deben explicarse de forma específica y evaluarse por sus efectos sobre las personas. Deben revisarse variables, datos inexactos y sesgos que produzcan perjuicios injustificados.

Los titulares pueden solicitar revisión y ejercer el derecho al tratamiento objetivo en el alcance previsto por la legislación peruana. La apariencia técnica o numérica de un resultado no demuestra equidad ni puede sustituir la justificación del criterio utilizado.

14. Limitaciones que deben conocer los usuarios

La IA puede producir hechos, cifras, citas o normas inexistentes, incompletos o desactualizados. Puede interpretar incorrectamente documentos o responder con seguridad aparente aun cuando no dispone de evidencia suficiente.

Los resultados importantes deben contrastarse con originales y fuentes oficiales. No constituyen por sí solos diagnóstico, asesoría profesional, certificación, autorización empresarial ni prueba concluyente; debe identificarse la participación de IA cuando influya de forma relevante en un documento.

15. Seguridad y agentes con capacidad de actuar

Las claves, contraseñas y tokens no deben incorporarse a prompts o archivos de consulta. Los documentos y páginas recuperados son fuentes de información y no órdenes que puedan ampliar permisos, revelar secretos o ejecutar acciones.

Los agentes que puedan enviar, modificar, aprobar o eliminar deben tener permisos acotados y controles de revisión proporcionales. La exigencia interna de evaluación de usos de alto impacto se distingue de recomendaciones voluntarias y no se declara implementada por la sola publicación del aviso.

16. Propiedad intelectual y uso de resultados

No se presume que todo contenido generado sea original, exclusivo o protegido por derecho de autor. Antes de utilizarlo deben revisarse derechos de terceros, condiciones del proveedor y contribución humana, especialmente en publicación o explotación comercial.

Cargar una obra no transfiere todos sus derechos ni autoriza distribuirla. Deben respetarse licencias, citas y confidencialidad; una imagen de firma generada o pegada no acredita firma digital certificada.

17. Derechos de los titulares y consultas

Los titulares pueden ejercer información, acceso, rectificación, cancelación, oposición y otros derechos legalmente reconocidos, incluida portabilidad en su alcance y revocación cuando corresponda. El procedimiento y los plazos se detallan en el Aviso de Privacidad.

También pueden comunicar inexactitudes, exposición indebida o efectos relevantes de una salida. Debe existir una vía de revisión por personal competente, sin exigir aceptación de usos nuevos ni renuncia a acudir a autoridades.

18. Incidentes, suspensión y corrección

Las filtraciones, respuestas que revelen datos, acciones fuera del alcance o errores graves deben comunicarse por un canal interno verificado. Deben documentarse hechos, efectos y medidas, preservar evidencia y suspender el uso cuando el riesgo lo justifique.

La empresa debe evaluar las notificaciones legales a autoridades y titulares conforme al régimen aplicable. Resolver el incidente dentro del sistema no elimina por sí solo deberes de comunicación; los proveedores por encargo deben informar oportunamente al responsable.

19. Responsables y datos pendientes de completar

STRONGEST GENERAL SERVICE SAC debe identificar RUC, domicilio, canal operativo de privacidad, responsables de procesos e IA y, cuando corresponda, Oficial de Datos Personales. Los contactos heredados en otros documentos no acreditan operatividad ni designación.

Antes de aprobar se completarán inventario de modelos y proveedores, países, funciones activas, conservación, contratos y medidas efectivas. La existencia de estas obligaciones propuestas no constituye auditoría, certificación ni garantía absoluta de seguridad.

20. Versiones, comunicación y aprobación

Esta revisión documental 2.0 se elaboró el 13 de octubre de 2026 como propuesta para aprobación interna. La instancia competente debe completar los datos pendientes, fijar fecha efectiva y comunicar el texto a usuarios y titulares de los procesos involucrados.

Los cambios de finalidad, destinatarios o condiciones deben comunicarse y, cuando requieran consentimiento, gestionarse específicamente. El silencio o uso continuado no sustituye esa manifestación de voluntad ni autoriza incorporar nuevas funciones sensibles.

Fuentes oficiales y referencias

Consulta normativa: 2026-10-13. Verificar textos vigentes, modificaciones, roles y disposiciones transitorias antes de aprobar cada caso de uso. Las reglas internas propuestas se distinguen de obligaciones directamente exigibles y referencias voluntarias.

Consultar privacidad y derechos · Consultar términos · Volver al inicio