Qué debe decidir la dirección ante una fuga de información

Este artículo discute, en situaciones de "emergencia por fuga de información" no limitadas a la IA, qué debe decidir la dirección y en qué plazo. Aunque la Ley de Protección de Información Personal exige reportes a la comisión (informes preliminares y definitivos) y notificaciones a las personas afectadas, la normativa no determina el alcance de la publicación ni las medidas concretas de compensación y apoyo, por lo que las empresas deben preparar el orden y los criterios para decidir.

El autor compara los comunicados de cinco grandes incidentes nacionales (Benesse, Omiai, 快活CLUB, タイムズカー, Daiichi Kosho) y muestra que la rapidez en el primer aviso y la presentación de políticas de compensación y apoyo siguen líneas temporales distintas. Por ejemplo, Benesse anunció primero la disposición de un fondo de 20.000 millones de yenes, 快活CLUB dejó claro que no ofrecería compensación individual, y タイムズカー declaró que definiría su política tras una investigación externa.

Como los usuarios suelen proceder a tramitar reemisiones o gestiones sin esperar la decisión final de la empresa, ésta debe ofrecer desde las fases de investigación orientaciones practicables sobre "las medidas recomendadas y sus limitaciones", "si habrá apoyo económico y a quién se aplicará", "qué información conviene preservar como registro" y "cuándo se dará la próxima explicación". Se presentan como ejemplos los casos de Fujifilm y Sourcenext, donde se concretaron políticas de quién asumiría el coste de la reemisión de tarjetas y se ofrecieron guías de procedimiento.

Finalmente, entre los asuntos que deben definirse en tiempos de calma el autor señala: (1) los objetos y criterios de decisión, (2) los decisores y sus facultades, y (3) las condiciones para revisar y reportar. Recomienda en particular separar la decisión de "detener" de la de "reanudar", fijar plazos para la actualización de explicaciones y puntos temporales para reexaminar decisiones no resueltas, y determinar a quién reportar si no se logra decidir. Concluye que el consejo de administración debe, en periodo de normalidad, confirmar quién tiene la autoridad para detener operaciones, las condiciones para reanudar, el sistema para decidir compensaciones y el periodo de conservación de datos.