Cuando moderniza con IA, la herramienta lee su código y posiblemente copias de su base de datos, normalmente en centros de datos fuera del Reino. AWS Transform no tiene hoy ninguna región de espacio de trabajo en Oriente Medio según su página de regiones, y la región saudí de AWS está prevista para diciembre de 2026 según la Saudi Press Agency. Así que, antes de enviar nada: separe el código de los datos personales, envíe lo mínimo y aplique el Reglamento sobre la transferencia de datos personales fuera del Reino a todo lo que salga.

En la parte 6 planificó el paso al nuevo sistema sin detener el trabajo. Esta parte final responde a la pregunta de los datos y convierte los ejercicios de la serie en un plan de 90 días. Para lo básico de la ley, consulte nuestra guía práctica de la PDPL.

Lo que realmente sale de su empresa durante la modernización

La palabra datos esconde aquí 4 cosas distintas, cada una con un riesgo diferente:

  • El propio código: el software que escribieron sus desarrolladores. Normalmente no contiene datos de clientes, pero puede incluir contraseñas escritas dentro, las direcciones de sus servidores o nombres de clientes en los comentarios de los desarrolladores.
  • Copias de la base de datos: necesarias para el análisis y las pruebas, y lo más peligroso de enviar, porque contienen nombres, números de identidad y móviles de los clientes, y los salarios de los empleados.
  • Sus preguntas y conversaciones con la herramienta: todo lo que su equipo escribe en la ventana de chat, donde alguien puede pegar un registro real para explicar un problema.
  • Los resultados: el nuevo código, la documentación y las reglas de negocio que extrajo en la parte 4, que describen cómo funciona su empresa por dentro.

La regla práctica: el código se limpia antes de salir, y los datos reales solo salen cuando no hay alternativa. En la mayoría de los proyectos de conversión basta con una copia enmascarada para las pruebas, es decir, datos en los que los nombres y números reales se han sustituido por valores ficticios con la misma forma.

Dónde procesa sus datos una herramienta como AWS Transform

Usamos AWS Transform como ejemplo porque Amazon ha publicado los detalles, y las mismas preguntas se aplican a cualquier otra herramienta. Lo que dicen hoy las páginas oficiales de Amazon:

  • Dónde se almacenan: sus datos se guardan en la región donde creó el espacio de trabajo, según la página de protección de datos. La página de regiones enumera 11 regiones, entre ellas Fráncfort, Londres, Bombay, Tokio y Virginia, algunas solo para capacidades concretas, y ninguna en Oriente Medio.
  • Dónde se procesan: la página de procesamiento entre regiones explica que la herramienta funciona con modelos de Amazon Bedrock y que las solicitudes y sus resultados pueden procesarse en otra región de la misma zona geográfica; una solicitud desde Fráncfort, por ejemplo, puede procesarse en 6 regiones europeas. La misma página anuncia que, desde el 7 de octubre de 2026, las solicitudes de chat que se originan en Bombay y Seúl se distribuyen entre todas las regiones comerciales de AWS, mientras el almacenamiento permanece en la región de origen.
  • Mejora del servicio: Amazon dice en su página de mejora del servicio que puede usar sus preguntas y el código que genera la herramienta para mejorar el servicio, incluido el entrenamiento de modelos, y que la exclusión se hace mediante una política de exclusión de servicios de IA en AWS Organizations, configurada por el administrador de su cuenta.

Y la región saudí de AWS prevista para diciembre de 2026 no significa automáticamente que esta herramienta funcionará desde ella. Abra usted mismo la página de regiones cuando empiece su proyecto; la lista cambia.

Lo que exige la PDPL antes de que salgan los datos

Si los datos personales salen del Reino, usted los está transfiriendo en el sentido que regulan la Ley de Protección de Datos Personales (PDPL) y el reglamento de transferencias, ambos publicados en la Plataforma Nacional de Gobernanza de Datos de la SDAIA. Lo que importa en un proyecto de modernización, en lenguaje práctico y no jurídico:

  • El nivel de protección del país receptor: la autoridad competente publica una lista de países que ofrecen un nivel de protección adecuado y la revisa cada 4 años o cuando es necesario. Sepa dónde se procesarán sus datos y luego consulte la lista.
  • Garantías alternativas: en los casos de exención que define el reglamento, la transferencia queda sujeta a garantías apropiadas, que son 3: cláusulas contractuales tipo, normas comunes vinculantes dentro de un grupo de empresas o un certificado de acreditación para la parte receptora.
  • Evaluación de riesgos: el reglamento obliga al responsable del tratamiento, es decir, a su empresa, a realizar una evaluación de riesgos antes de la transferencia en los casos que especifica.
  • Datos sensibles: algunos casos de exención excluyen expresamente los datos sensibles, como los datos de salud y los datos financieros personales, así que trátelos con especial cuidado.

La Plataforma Nacional de Gobernanza de Datos ofrece servicios prácticos para este paso, como una evaluación de impacto del tratamiento de datos personales, una herramienta que le indica si debe nombrar a un delegado de protección de datos y una autoevaluación de cumplimiento. Somos una empresa tecnológica, no un asesor jurídico, así que lleve la decisión de transferencia a su delegado de protección de datos o a su asesor jurídico. Y si piensa esperar a la región local, explicamos lo que realmente cambia con ella en Una región en la nube dentro del Reino.

6 preguntas para cualquier herramienta o proveedor antes de enviar nada

  1. ¿En qué región se almacenan nuestros datos y en qué regiones pueden procesarse? Pida la respuesta por escrito con un enlace a la página oficial.
  2. ¿Se usan nuestras preguntas o nuestro código para entrenar modelos, y cómo lo detenemos?
  3. ¿Puede hacerse el análisis solo sobre el código, sin copias de la base de datos?
  4. ¿Quién de nuestro equipo y del equipo del proveedor puede acceder al espacio de trabajo, y se registra cada acceso?
  5. ¿Cuándo se borran nuestros datos al terminar el proyecto, y cómo verificamos el borrado?
  6. ¿Puede la etapa sensible ejecutarse dentro del Reino o en nuestros propios servidores si hace falta?

Si un proveedor no responde por escrito a alguna de ellas, eso ya es una respuesta. Para las opciones de alojamiento en sí, consulte nuestra guía de migración a la nube.

Un plan de 90 días construido con los ejercicios de la serie

Este plan no moderniza su sistema en 90 días. Le lleva a una decisión escrita y a un módulo piloto listo para una ejecución en paralelo, y se basa en los ejercicios de las seis partes anteriores:

PeriodoQué haceDe qué parteResultado
Días 1 a 30: sepa lo que tieneListe los sistemas sin los que la empresa no puede funcionar un día y quién entiende cada uno, puntúe cada sistema en soporte, riesgo de conocimiento, integración y rapidez de cambio, y luego haga una tabla de una página por sistema que indique si contiene datos personalesPartes 1, 2 y 3Un mapa de sus sistemas y la clasificación de sus datos
Días 31 a 60: decidaExtraiga al menos una regla de negocio por sistema candidato y contrástela con la realidad, elija un camino para cada sistema y plantee las seis preguntas sobre datos a cada herramienta o proveedor candidatoPartes 4, 5 y 7Una decisión escrita por sistema y una decisión de transferencia de datos firmada por su delegado de protección de datos
Días 61 a 90: pruebe un móduloElija el módulo más pequeño que importe, prepare datos de prueba enmascarados, rellene la hoja de transición con quién firma y el desencadenante de reversión, y empiece a comparar sobre un periodo cerradoPartes 6 y 7Un módulo piloto y resultados de comparación juzgados por los responsables de los procesos

Tras el día 90 sabe lo que antes no sabía: qué tiene, qué merece modernizarse y cómo se comportan las herramientas de IA con su propio código y no con los ejemplos de los proveedores. Solo entonces cualquier conversación sobre coste y duración se apoya en su realidad.

La visión de Origami

Empezamos los proyectos de modernización con el mapa de datos antes que el mapa del código: qué sale, hacia dónde y por qué. Preferimos que el análisis se haga sobre código limpio y datos enmascarados, y que los datos reales permanezcan dentro de su entorno siempre que sea posible, para que la velocidad técnica no se convierta después en un problema de cumplimiento.

Usamos herramientas de IA donde de verdad acortan el trabajo, pero la decisión sobre lo que se les envía sigue siendo suya, por escrito y firmada. Para ver cómo trabajamos, eche un vistazo a nuestros servicios.

Cierre de la serie

Empezamos hace 7 partes con una sola pregunta: ¿cómo modernizo mi sistema heredado con IA? La respuesta a la que llegamos es que la IA acelera la lectura, la conversión y las pruebas, pero las decisiones importantes siguen en manos de quienes dirigen la empresa: qué sistema lo merece, qué regla es correcta, quién firma y adónde van los datos. Sus sistemas heredados mantuvieron la empresa en marcha durante años, y modernizarlos con calma y con un plan es lo mejor que puede hacer por ellos. Encontrará todas las partes de la serie en el centro de conocimiento.

Fuentes