Cada vez más empresas incorporan herramientas de inteligencia artificial generativa como ChatGPT, Copilot o Gemini para agilizar procesos internos: redactar correos, resumir informes, generar documentos jurídicos o incluso diseñar estrategias de marketing. Todo parece maravilloso hasta que surge una pregunta incómoda:
¿Somos conscientes de los datos personales que estamos compartiendo con estas herramientas?
Y lo más importante:
¿Sabemos si eso es legal?
¿Qué está ocurriendo en realidad?
En muchas organizaciones ya se está utilizando IA sin protocolos ni controles. Algunos ejemplos reales:
- Un departamento jurídico pega el texto completo de un contrato para pedir un resumen.
- Un responsable de RR. HH. redacta una carta de despido con nombres, fechas y datos sensibles.
- Un equipo de ventas sube historiales de clientes para generar propuestas comerciales más rápidas.
Lo hacen con buena intención, buscando ser más eficientes.
Pero sin darse cuenta están exponiendo datos personales —e incluso datos especialmente protegidos— a herramientas que no están bajo el control de la empresa.
¿Qué dice la LOPD y el RGPD al respecto?
Cuando introduces datos personales en una IA como ChatGPT, esos datos pueden ser tratados por terceros (la empresa proveedora del servicio). Y si no hay una base legal, contrato o consentimiento que lo respalde, estás incurriendo en una cesión no autorizada de datos.
Esto, a ojos de la Agencia Española de Protección de Datos, puede suponer:
- 📉 Infracciones por falta de legitimación en el tratamiento de datos.
- 📉 Incumplimiento del principio de minimización: estás enviando más datos de los necesarios a servicios externos.
- 📉 Ausencia de medidas técnicas y organizativas adecuadas para garantizar la seguridad de la información.
Y no solo afecta a la empresa.
El responsable del tratamiento (es decir, tú) es quien responde ante la ley.
¿Qué riesgos reales existen de usar ChatGPT?
- Pérdida de control de la información: No sabes dónde se almacenan los datos que introduces, ni por cuánto tiempo.
- Fugas de datos si se usan cuentas personales o gratuitas.
- Reclamaciones de los afectados si se enteran de que su información ha sido expuesta sin su consentimiento.
- Sanciones económicas de hasta 300.000 € por infracciones graves.
Todo esto sin que nadie en la empresa tenga mala intención.
Solo por desconocimiento o falta de protocolo.
¿Qué puedes hacer desde ya para proteger tu empresa?
- Define una política interna sobre el uso de IA generativa.
Qué se puede hacer, qué no, y con qué herramientas. - Prohíbe expresamente el uso de datos personales reales.
Usa ejemplos ficticios o anonimiza siempre la información. - Habilita cuentas empresariales o soluciones con garantías de privacidad.
Algunas versiones de IA ya permiten desactivar el historial y proteger la información introducida. - Forma a tu equipo.
No des por hecho que saben lo que pueden o no pueden hacer. Explica riesgos y responsabilidades.
La inteligencia artificial es potente, pero no es inocente.
Implementarla sin una estrategia de cumplimiento puede convertirla en tu mayor debilidad legal.
¿Tu empresa ya ha revisado su política de uso de IA?
¿Tienes claro qué información puede entrar —y cuál jamás debería salir— de tus sistemas?
Si no sabes por dónde empezar, una auditoría específica puede ahorrarte muchos problemas después.
Porque en protección de datos, la ignorancia no exime de la sanción.
