La inteligencia artificial generativa se ha incorporado a muchas empresas sin un proyecto formal de implantación. Un trabajador abre ChatGPT, Gemini, Copilot u otra herramienta, copia un texto y obtiene en segundos un resumen, una respuesta comercial o un borrador. El problema aparece cuando ese texto contiene información de clientes, empleados, pacientes, proveedores o expedientes internos.
Un prompt no es simplemente una frase escrita en una pantalla. Puede convertirse en una operación de tratamiento de datos personales y, dependiendo de la herramienta utilizada, implicar el acceso de un proveedor externo, la conservación de información, el uso de subencargados o incluso transferencias internacionales.
La cuestión no es prohibir la inteligencia artificial. La cuestión es saber qué herramienta se está utilizando, con qué datos y bajo qué condiciones.
El prompt también puede contener datos personales
Una empresa puede utilizar una IA para tareas aparentemente rutinarias:
- - resumir una reclamación de un cliente;
- - mejorar un correo que incluye nombre, teléfono o número de pedido;
- - revisar una nómina;
- - analizar un currículum;
- - preparar una respuesta a una baja laboral;
- - resumir un contrato;
- - redactar una comunicación a partir de una ficha de cliente;
- - analizar fotografías, grabaciones o documentos.
Si la información permite identificar directa o indirectamente a una persona, estamos ante datos personales. Si además aparecen datos de salud, afiliación sindical, religión, orientación sexual, información biométrica o genética, el riesgo aumenta porque pueden intervenir categorías especiales del artículo 9 del RGPD.
Antes de autorizar un uso corporativo de IA conviene realizar un Análisis de riesgos que tenga en cuenta no solo el dato que entra en la herramienta, sino también el proveedor, la finalidad, la conservación y las posibles salidas generadas.
Quitar el nombre no siempre significa anonimizar
Un error frecuente consiste en sustituir el nombre del cliente por una inicial y asumir que el documento ya es anónimo.
No siempre es así.
Un texto puede seguir identificando a una persona por la combinación de datos: puesto de trabajo, localidad, fecha de nacimiento, empresa, número de expediente, enfermedad poco frecuente o circunstancias concretas. En estos casos puede existir seudonimización, pero no anonimización real.
También pueden permanecer metadatos en documentos PDF, archivos de Office, imágenes o capturas de pantalla. Por eso, cuando una organización pretenda utilizar información real en una herramienta de IA, debe comprobar qué datos son realmente necesarios y eliminar los que no lo sean.
El principio de minimización continúa siendo aplicable: si para obtener una respuesta basta con un fragmento sin identificadores, no existe razón para cargar un expediente completo.
Una cuenta gratuita y una solución empresarial no son lo mismo
No debe analizarse una herramienta solo por su nombre comercial. El mismo proveedor puede ofrecer modalidades con condiciones muy distintas.
Hay que comprobar, entre otras cuestiones:
- - si el proveedor utiliza los prompts o archivos para mejorar o entrenar modelos;
- - cuánto tiempo conserva la información;
- - si permite desactivar determinados usos;
- - si existe contrato de encargo del tratamiento cuando corresponda;
- - qué subencargados intervienen;
- - dónde se alojan o procesan los datos;
- - qué controles administrativos ofrece la cuenta empresarial;
- - si permite eliminar datos y gestionar derechos;
- - qué medidas de seguridad aplica;
- - si existen transferencias internacionales.
Cuando el proveedor trate datos por cuenta de la empresa, habrá que analizar su posición jurídica y, cuando proceda, las exigencias del artículo 28 del RGPD. La contratación de una herramienta conocida no sustituye ese análisis.
Dentro de la organización, estas decisiones deberían integrarse en las Medidas técnicas y organizativas, junto con reglas de acceso, confidencialidad, clasificación de información y gestión de proveedores.
Qué información no debería copiarse sin una evaluación previa
Hay usos que requieren especial cautela. Por ejemplo:
- - historias clínicas o informes médicos;
- - expedientes disciplinarios;
- - documentación de menores;
- - denuncias internas;
- - nóminas y documentación laboral;
- - contratos sujetos a confidencialidad;
- - credenciales y contraseñas;
- - documentos con DNI, cuentas bancarias o firmas;
- - secretos empresariales;
- - información jurídica protegida por secreto profesional;
- - bases de datos completas de clientes.
Que una herramienta permita técnicamente subir esa información no significa que sea adecuado hacerlo.
En determinados proyectos de IA, especialmente cuando se realizan evaluaciones, perfiles o tratamientos que puedan entrañar alto riesgo, puede ser necesario valorar una Evaluación de Impacto en Protección de Datos (EIPD) antes de poner el sistema en producción.
La empresa necesita una política interna de uso de IA
Cuando cada empleado decide por su cuenta qué herramienta utilizar y qué información introducir, la organización pierde el control sobre sus tratamientos.
Una política interna sencilla puede establecer:
- 1. qué herramientas están autorizadas;
- 2. para qué usos se pueden utilizar;
- 3. qué información no se puede introducir;
- 4. cuándo es obligatorio anonimizar o seudonimizar;
- 5. qué usos necesitan autorización previa;
- 6. cómo deben revisarse las respuestas generadas;
- 7. quién resuelve dudas o aprueba nuevos casos de uso;
- 8. qué debe hacerse si se introduce información por error.
La política no debería limitarse a una prohibición genérica. Tiene que ser comprensible y aplicable al trabajo diario.
Por ejemplo, puede permitirse utilizar IA para corregir un texto sin datos personales, preparar una estructura a partir de documentación pública o generar ideas comerciales. Sin embargo, subir una ficha médica, un expediente laboral o una base de clientes puede requerir controles mucho más estrictos o estar directamente prohibido en esa herramienta.
La Formación y concienciación en protección de datos es especialmente importante porque muchos incidentes con IA no se producen por un fallo técnico, sino por copiar información sin valorar dónde termina.
Qué hacer si un trabajador ya ha enviado información sensible a una IA
No todos los errores constituyen automáticamente una brecha de datos personales, pero tampoco deberían ignorarse.
Conviene actuar de forma ordenada:
- - identificar exactamente qué información se introdujo;
- - saber qué cuenta y modalidad de servicio se utilizó;
- - revisar las condiciones de conservación y uso del proveedor;
- - eliminar conversaciones o archivos cuando sea posible;
- - comprobar si existe acceso por terceros o uso posterior;
- - valorar el riesgo para las personas afectadas;
- - documentar el incidente y las decisiones adoptadas;
- - revisar la política interna para evitar que se repita.
Si existe una posible pérdida de confidencialidad de datos personales, deberá analizarse además si estamos ante una brecha de seguridad y si procede alguna actuación adicional.
La IA puede generar nuevos datos sobre las personas
El riesgo no termina en la información de entrada. La salida también puede contener datos personales.
Una herramienta puede completar información, clasificar una persona, inferir características o generar afirmaciones incorrectas. Por eso una respuesta producida por IA no debería incorporarse automáticamente a un expediente, evaluación laboral, decisión comercial o comunicación formal sin revisión humana.
La exactitud sigue siendo un principio del RGPD. Una respuesta convincente no es necesariamente una respuesta correcta.
Preguntas frecuentes
¿Puedo usar ChatGPT para redactar correos de clientes?
Sí puede utilizarse como herramienta de apoyo, pero antes debe valorarse si es necesario introducir datos personales. En muchos casos basta con eliminar nombres, teléfonos, direcciones, números de pedido y cualquier otra información identificativa antes de solicitar ayuda a la IA.
¿Una cuenta empresarial elimina todos los riesgos RGPD?
No. Puede ofrecer mejores garantías contractuales y administrativas que una cuenta personal o gratuita, pero sigue siendo necesario conocer el tratamiento, las finalidades, los proveedores, la seguridad y la posible existencia de transferencias.
¿Puedo subir un contrato si oculto el nombre de las partes?
Depende del contenido restante. Un contrato puede seguir permitiendo identificar a una persona por sus circunstancias, dirección, cargo, fechas, importes u otros elementos. Además del RGPD pueden existir deberes de confidencialidad o secreto empresarial.
¿La empresa debería prohibir completamente la IA generativa?
No necesariamente. Una política de usos permitidos, condicionados y prohibidos suele ser más útil que una prohibición genérica. La clave es gobernar el uso real de estas herramientas.
Una caja de texto también forma parte del perímetro de seguridad
Durante años las organizaciones han protegido servidores, ordenadores, correos y copias de seguridad. La IA generativa añade otro punto por el que puede salir información: el prompt.
La empresa que quiera aprovechar estas herramientas debería hacerlo con reglas claras, proveedores revisados, minimización de datos y personal formado. La pregunta ya no es solo «¿usamos inteligencia artificial?», sino «¿qué información le estamos entregando y quién puede acceder a ella?».