La lista de verificación de privacidad con IA para pequeñas empresas canadienses (2026)
Una lista de verificación de privacidad con IA para pequeñas empresas canadienses: lo que PIPEDA y la Ley 25 de Quebec exigen antes de que implementes una Recepcionista con IA, y la norma sobre brechas de datos que los dueños de negocio pasan por alto.
La mayoría de los proveedores de IA te dirán que la privacidad está “resuelta” porque tienen un informe SOC 2. Ese certificado describe sus controles internos. No dice nada sobre si tu uso de su herramienta cumple con la ley canadiense de privacidad — y es el nombre de tu negocio el que aparece en el formulario cuando un cliente pregunta quién tiene su información.
Yo construyo agentes de IA que los dueños de negocio conservan y controlan, por lo que la pregunta sobre los datos llega a mi escritorio constantemente. Esta es la versión honesta para una pequeña empresa canadiense.
Respuesta corta: Una lista de verificación de privacidad de IA para pequeñas empresas canadienses se resume en cinco puntos: obtener un consentimiento genuino antes de que la IA recopile datos personales, saber exactamente dónde se almacenan esos datos, limitar lo que guardas y por cuánto tiempo, poder eliminarlos cuando se solicite, y tener un plan para reportar una brecha al Comisionado de Privacidad. La PIPEDA aplica a casi cualquier negocio sin excepción para pequeñas empresas, y la Ley 25 de Quebec es aún más estricta.
¿La PIPEDA aplica a un negocio de mi tamaño?
Sí. La PIPEDA aplica a cualquier organización que recopile, use o divulgue información personal en el curso de una actividad comercial, y no hay excepciones por ser pequeño. Un salón unipersonal que gestiona citas a través de un agente de IA está cubierto de la misma manera que una empresa de 40 personas. Alberta, Columbia Británica y Quebec tienen sus propias leyes del sector privado consideradas sustancialmente similares, así que la ley que aplica depende de dónde estés tú y tus clientes — pero “somos demasiado pequeños para importar” no es una categoría que la ley reconozca.
En términos prácticos: en el momento en que tu IA captura el nombre, número o motivo de llamada de un cliente, eres la organización responsable de protegerlo. No el proveedor. Tú. Ese principio está detrás de todo lo que sigue, y también de las preguntas que vale la pena hacerle a cualquier proveedor.
¿Adónde van realmente los datos de tus clientes cuando la IA los toca?
Antes de poder proteger los datos, tienes que conocer su recorrido. Mapéalo una vez, en términos simples, de la misma forma en que mapeo cualquier implementación: disparador, acción, sistema de registro, y la persona que interviene cuando algo falla.
- Disparador: un cliente llama, envía un mensaje o completa un formulario.
- Acción del agente de IA: el agente transcribe la llamada, extrae el nombre, número y solicitud, y redacta una reserva o un seguimiento.
- Sistema de registro: la nota estructurada llega a tu CRM, calendario o planilla compartida — el lugar en el que ya confías.
- Escalada humana: cualquier cosa sensible o inusual (una queja, un detalle de salud, una consulta legal) se redirige a ti en lugar de manejarse automáticamente.
Anota cada lugar donde existe una copia: el proveedor de teléfono/SMS, el paso de transcripción, el CRM, los propios registros del proveedor. Este último es donde los dueños de negocio se llevan una sorpresa — muchas herramientas de suscripción retienen transcripciones durante 30 a 90 días o más, en la nube de Estados Unidos, de forma predeterminada. No puedes proteger una copia que no sabías que existía.
Lo que la PIPEDA realmente exige antes de que implementes
La PIPEDA se basa en diez principios, pero cuatro de ellos hacen el trabajo real en una implementación de IA: consentimiento, limitación de la recopilación, medidas de seguridad y respuesta a brechas. Esto es lo que significa cada uno un martes por la mañana, no en una revista jurídica.
- Consentimiento genuino. El cliente debe saber que se está recopilando su información y por qué. Para un agente de IA, eso significa una breve divulgación hablada o escrita — “estás hablando con un asistente automatizado de [negocio]” — y una línea de privacidad en tu sitio. El consentimiento que no puedes afirmar honestamente es un consentimiento que no tienes.
- Limita la recopilación y retención. Recopila lo que la reserva necesita, no la historia de vida del cliente, y establece un plazo de eliminación. Si no necesitas las grabaciones después de que se confirme la cita, no las guardes por un año.
- Medidas de seguridad. Seguridad razonable y proporcional a la sensibilidad de los datos — controles de acceso, cifrado, y saber qué subprocesadores pueden verlos.
- Reporte de brechas. Este es el que los dueños de negocio pasan por alto. Bajo las reglas obligatorias de la PIPEDA, si una brecha crea un riesgo real de daño significativo — robo de identidad, pérdida financiera, daño reputacional — debes reportarlo al Comisionado de Privacidad y notificar a las personas afectadas a la brevedad posible. También debes mantener un registro de cada brecha durante al menos 24 meses, incluyendo las menores que decidiste no reportar.
Una nota sobre el panorama legal: el proyecto de ley C-27, que habría reemplazado la PIPEDA con la CPPA y añadido una ley específica de IA, quedó sin efecto cuando el Parlamento fue prorrogado en enero de 2025. Así que en 2026, la PIPEDA sigue siendo la norma federal. No construyas pensando en una ley que nunca entró en vigor.
PIPEDA vs. Ley 25 de Quebec: las diferencias clave
Si alguno de tus clientes está en Quebec, también te aplica la Ley 25, que establece un estándar más alto. Construye según la más estricta de las dos y estarás cubierto en todos lados.
| Requisito | PIPEDA (federal) | Ley 25 de Quebec |
|---|---|---|
| Notificación de brechas | Reportar a la OPC + individuos cuando existe un riesgo real de daño significativo | Reportar a la CAI + individuos, se espera en días |
| Evaluación de impacto en privacidad | Recomendada, no obligatoria | Obligatoria para ciertos proyectos, incluidas algunas transferencias tecnológicas |
| Penalidad máxima | Hasta $100,000 por ciertas infracciones | Hasta $10 millones o el 2% de los ingresos mundiales |
| Retención de registros de brechas | Al menos 24 meses | 5 años |
Lista de verificación previa a la implementación
Ejecuta esto antes de conectar un solo registro de cliente. Si no puedes marcar un punto, ese es tu próximo paso, no una razón para saltártelo.
- Guión de consentimiento redactado para la llamada y una línea correspondiente en tu política de privacidad.
- Mapa de datos que liste cada lugar donde existe una copia de los datos del cliente, incluyendo los registros del proveedor.
- Plazo de retención definido — cuánto tiempo permanecen las transcripciones y notas antes de eliminarse.
- Ruta de eliminación que puedas ejecutar realmente cuando un cliente solicite ser olvidado.
- Región de almacenamiento confirmada (Canadá vs. EE.UU.) si la residencia de datos importa a tus clientes.
- Plan de brechas que indique quién reporta, a quién, y dónde se guarda el registro de 24 meses.
- Lista de subprocesadores del proveedor — quién más puede ver los datos, y si pueden usarlos para entrenamiento.
Esto encaja directamente en la hoja de ruta más amplia para automatizar una pequeña empresa sin adelantarte a tu propio cumplimiento normativo.
Controla la implementación y la privacidad se simplifica
Esto es lo que nadie que vende una suscripción de $99 al mes te dirá en voz alta: con la mayoría de las herramientas de IA SaaS, los datos de tus clientes viven en su nube, con su calendario de retención, a veces alimentando su entrenamiento de modelos. Estás alquilando el riesgo junto con el software.
Cuando controlas la implementación, las transcripciones y notas del CRM viven en cuentas que tú controlas. Tú eliges la región. Tú defines la retención. Ningún tercero guarda en silencio tres años de llamadas de tus clientes. Es la misma razón por la que la propiedad importa en lo que realmente compras — los datos son tuyos, no una línea en las analíticas de otro. Una Recepcionista con IA instalada a mano puede funcionar de modo que ninguna conversación con clientes salga jamás de la infraestructura con tu nombre.
Cuándo este no es el momento adecuado
No implementes IA sobre datos de clientes si alguna de estas situaciones aplica. Resuélvelas primero.
- Manejas información de salud y no tienes un plan de privacidad de salud según la PHIPA o la normativa provincial — clínicas, terapeutas, odontología. El estándar es más alto y las consecuencias son reales.
- No puedes redactar una línea de consentimiento honesta porque no estás seguro de qué recopila la herramienta. Si no puedes explicarlo, no puedes dar el consentimiento en nombre del cliente.
- Nadie es responsable del plan de brechas. Si mañana ocurriera una brecha y no sabes quién la reporta o dónde está el registro, no estás listo.
- Tu proveedor no confirma por escrito la región de almacenamiento ni el uso para entrenamiento. Una respuesta vaga aquí es la respuesta.
Nada de esto es una razón para evitar la IA. Es una razón para implementarla con intención.
Si quieres ver cómo luce una configuración que cumple la normativa canadiense para tu negocio específico, envía los detalles a través de una auditoría gratuita — es un formulario breve, y responderé con un mapa de datos claro y un plan de implementación en 24 horas. Sin llamadas.
Preguntas frecuentes
Does PIPEDA apply to my small business if I use AI? +
Almost certainly yes. PIPEDA covers any organization that collects, uses, or discloses personal information in the course of commercial activity, and there is no small-business exemption. If your AI handles caller names, phone numbers, or booking details, you are on the hook for how that data is protected.
Do I have to tell customers an AI is handling their data? +
You need meaningful consent for how personal information is collected and used, and that is hard to claim if a caller has no idea they are talking to an AI. A short disclosure at the start of the call plus a line in your privacy policy covers the honest version. Silence does not.
What happens if my AI vendor has a data breach? +
Under PIPEDA you must report any breach that poses a real risk of significant harm to the Office of the Privacy Commissioner and notify affected individuals as soon as feasible. You also have to keep a record of every breach for at least 24 months, even the small ones you did not report.
Is Quebec different from the rest of Canada? +
Yes, and it is stricter. Quebec's Law 25 requires privacy impact assessments, faster breach notification to the CAI, and five-year breach records, with penalties up to $10 million or 2% of worldwide revenue. If you serve Quebec customers, build to the Law 25 bar, not the PIPEDA minimum.
Can I keep my customer data in Canada instead of the United States? +
Often, yes, if you own the deployment. When the agent runs on infrastructure you control, you choose the region and the retention. Most subscription AI tools store transcripts and CRM data in US clouds by default, so if data residency matters to you, ask before you connect anything.
