Esta guía es orientativa y no sustituye al asesoramiento jurídico. Para casos concretos, consulta con tu delegado de protección de datos o un abogado especializado.
La regla básica
Si un dato permite identificar a una persona (nombre, email, teléfono, DNI, datos de un cliente o empleado, una conversación con nombre y apellidos), es un dato personal y el RGPD te obliga a tratarlo con base legal, finalidad clara y medidas de seguridad. Pegar esos datos en una herramienta de IA es un tratamiento más, y debes poder justificarlo.
Qué no deberías enviar a una herramienta de IA
- Datos de clientes o empleados identificables, salvo que tengas contrato de encargado del tratamiento con el proveedor y base legal para ello.
- Datos especialmente sensibles: salud, ideología, orientación sexual, afiliación sindical, datos biométricos.
- Información confidencial de negocio: contratos con cláusulas de confidencialidad, secretos comerciales, código propietario.
- Credenciales, claves y accesos.
Qué puedes hacer con seguridad
- Anonimizar antes de enviar: sustituye nombres y datos identificativos por marcadores ("Cliente A", "importe X").
- Usar versiones profesionales: los planes de empresa de las principales herramientas incluyen condiciones de tratamiento de datos y, en general, no usan tus conversaciones para entrenar sus modelos. Verifica siempre las condiciones vigentes del plan que contratas.
- Usar la API o entornos privados cuando el volumen o la sensibilidad lo justifican.
- Tareas sin datos personales: redactar textos genéricos, resumir documentos públicos, generar ideas o plantillas.
Una política interna mínima
Antes de que tu equipo use IA, acuerda por escrito cuatro cosas:
- Qué herramientas están permitidas y con qué cuentas (las corporativas, no las personales).
- Qué tipos de datos no pueden introducirse nunca.
- Quién revisa lo que genera la IA antes de enviarlo a un cliente.
- A quién se avisa si ocurre un incidente (por ejemplo, haber pegado datos por error).
Los sectores que manejan datos más delicados, como las clínicas, las asesorías y las consultorías, deberían fijar esta política antes de usar cualquier herramienta.
La formación también es obligación
El Reglamento europeo de IA exige que las organizaciones que utilizan sistemas de IA se aseguren de que su personal tiene un nivel suficiente de alfabetización en IA. En la práctica: formar al equipo en usos seguros. Es lo que trabajamos en nuestros cursos de NextMind Academy, y puedes ver ejemplos de usos concretos en ChatGPT para empresas: casos de uso.
Siguiente paso
Si quieres revisar cómo usa IA tu equipo y qué falta para hacerlo con garantías, cuéntanos tu caso en una sesión de diagnóstico gratuita.
Preguntas frecuentes
¿Puedo pegar datos de clientes en ChatGPT?+
Como norma, no deberías hacerlo con la versión gratuita ni con cuentas personales. Si necesitas tratar datos personales con IA, hazlo con un plan profesional o un entorno privado que tenga contrato de tratamiento de datos, base legal y las medidas de seguridad adecuadas, o anonimiza antes.
¿Qué significa anonimizar un texto antes de enviarlo?+
Sustituir nombres, datos de contacto y cualquier dato identificativo por marcadores genéricos, de forma que nadie pueda saber a qué persona se refiere el texto.
¿Necesito una política interna sobre el uso de IA?+
Es muy recomendable. Basta con un documento corto que fije herramientas permitidas, datos prohibidos, quién revisa los resultados y qué hacer ante un incidente.
¿Esta guía es asesoramiento legal?+
No. Es información orientativa. Para tu caso concreto, consulta con un abogado o un delegado de protección de datos.