Antes de compartir datos de tu empresa con una IA, comprueba qué contiene el texto y si esa herramienta está autorizada para recibirlo. Un correo puede llevar información del cliente, precios negociados y una firma con teléfonos. Para mejorar su redacción quizá no necesites enviar nada de eso.
La pregunta útil es: ¿qué información necesita realmente la herramienta para ayudarme? A menudo basta con explicar la situación mediante un ejemplo ficticio o con aportar un fragmento preparado.
Esta guía sirve para tomar esa primera decisión. Los ejemplos son inventados y las propuestas de organización deben adaptarse a las obligaciones y herramientas de cada empresa.
El riesgo depende del contenido y del uso
Pedir ideas para una descripción pública no es lo mismo que subir un expediente. Tampoco es equivalente utilizar una cuenta personal y una aplicación que la empresa haya revisado para un uso concreto.
La AEPD recomienda evitar datos personales y contenido confidencial en el uso cotidiano de IA, seguir las políticas de la organización y recurrir a casos ficticios cuando permitan resolver la consulta. Esa es una buena pauta para empezar sin cargar documentos reales por comodidad.
Un uso profesional con datos de personas requiere revisar, entre otras cuestiones, la finalidad, la base jurídica, la información que se facilita a los afectados y las condiciones del proveedor. Los artículos 5, 6 y 28 del RGPD, en el texto publicado por el BOE, recogen principios y obligaciones relevantes para ese análisis. La autorización interna de una herramienta no sustituye ese trabajo.
Qué conviene retirar antes de copiar y pegar
Esta tabla es una propuesta práctica para el uso cotidiano, no una clasificación legal ni una autorización automática. Las excepciones deben tener un motivo y un procedimiento definido por tu empresa.
| Lo que ibas a enviar | Qué haríamos primero |
|---|---|
| Una contraseña, código de acceso o clave que conecta sistemas | Retirarla; para explicar el problema basta una referencia ficticia |
| Una factura de un cliente | Preguntar si hace falta el documento o basta describir la operación |
| Un correo con firma e historial | Preparar solo el fragmento necesario, sin copiar el hilo completo |
| Una nómina, un informe médico o un documento de personal | Usar el procedimiento específico de la empresa, no una consulta improvisada |
| Un contrato en negociación | Explicar el problema de forma genérica o acudir al entorno autorizado para ese documento |
| Una lista de clientes o candidatos | Revisar finalidad, permisos y garantías antes de plantear el tratamiento |
| Una descripción de servicio ya publicada | Usar el texto necesario y comprobar después las modificaciones |
Que algo no tenga nombres no significa que puedas difundirlo. Un margen comercial, una oferta aún no presentada o un procedimiento interno pueden necesitar reserva. La decisión tiene que considerar tanto a las personas como a la información del negocio.
Tampoco conviertas la etiqueta "público" en un permiso universal: una página accesible puede contener datos de personas o material de terceros. Para probar una redacción, utiliza preferentemente contenido propio preparado para ese propósito.
Tres ejemplos de consultas con menos información
El objetivo es conservar lo necesario para la tarea y retirar lo que no aporta. Estos ejemplos ilustran cómo reformular una petición; no demuestran que cualquier documento parecido quede anonimizado.
Mejorar un correo sin enviar la conversación
La petición inicial: "Mejora este correo" y, debajo, todo el historial de una negociación, con firmas y adjuntos.
Una alternativa:
Redacta una respuesta breve y cercana para un cliente que pide adelantar una entrega. Todavía no podemos confirmar la nueva fecha. Explica que la revisaremos antes de comprometernos. No inventes plazos ni condiciones.
Después incorporas el nombre y los detalles aprobados en tu herramienta de correo. Has pedido ayuda con la redacción sin entregar la negociación completa. Antes de enviar, comprueba que el borrador conserva lo que quieres decir.
Diseñar una tabla sin subir facturas
La petición inicial: "Organiza estos documentos" y una carpeta de facturas reales.
Una alternativa:
Propón las columnas de una tabla para seguir facturas pendientes: referencia interna, fecha prevista, estado y persona responsable. Usa dos filas ficticias y no incluyas datos bancarios.
Esta consulta ayuda a diseñar una estructura. Leer documentos reales y extraer sus datos es otro uso, que puede requerir un entorno y unas condiciones distintas. No confundas una prueba del formato con una autorización para cargar la carpeta completa.
Preparar una respuesta sobre una incidencia
La petición inicial: una captura del panel, con pestañas abiertas, correo de acceso y un enlace privado visible.
Una alternativa: describe el comportamiento, el mensaje de error sin identificadores y lo que intentabas hacer. Si una imagen es necesaria, prepara una copia que muestre solo la zona relevante y revisa el resultado antes de compartirla.
No des por hecho que una caja dibujada encima elimina el contenido de un archivo. En un PDF, por ejemplo, ocultar visualmente un texto y retirarlo de verdad pueden ser operaciones distintas.
Cambiar el nombre no siempre basta
Una descripción puede identificar a alguien sin mencionar su nombre. "La única persona de administración de la oficina de esta localidad, que empezó el martes" puede dar demasiadas pistas.
El RGPD distingue entre información anónima y datos que todavía permiten identificar a una persona, incluso recurriendo a información adicional. Sustituir un nombre por "Cliente A" no garantiza que hayas salido del ámbito de los datos personales. También pueden identificar fechas, cargos, importes singulares o combinaciones de detalles. Puedes consultar las definiciones y el considerando 26 en el texto del RGPD.
Para una consulta de redacción, suele ser más sencillo inventar una situación equivalente que intentar limpiar un expediente entero. Si necesitas mantener detalles reales para resolver el caso, ese es el momento de usar el procedimiento aprobado, no de eliminar datos hasta que el archivo parezca inofensivo.
Qué revisar en la herramienta antes de autorizarla
Pagar una suscripción no responde por sí solo a las preguntas sobre el uso de la información. La revisión debe referirse a la modalidad concreta que vais a utilizar y a las funciones que vais a activar.
Pide respuestas claras a estas cuestiones:
- Finalidad: qué trabajo permitirá hacer y qué datos necesita para ello.
- Uso de la información: si se utiliza para mejorar modelos y qué opciones ofrece el servicio.
- Conservación: cuánto tiempo permanecen consultas, archivos y registros, y cómo se solicita su eliminación.
- Acceso: quién puede consultar la información y cómo se gestionan altas y bajas del equipo.
- Proveedores y ubicación: quién interviene en el tratamiento y qué garantías corresponden.
- Conexiones: qué cambia si activas acceso al correo, a documentos compartidos o a otras aplicaciones.
Desactivar el uso de datos para entrenamiento solo responde a una de esas cuestiones. Todavía necesitas conocer la conservación, los accesos y las condiciones aplicables. Tampoco un sistema alojado en infraestructura propia queda bien protegido por el mero hecho de estar allí: hay que revisar cómo se configura y se opera.
Si utilizáis una herramienta de texto de forma habitual, la guía de ChatGPT para negocios ayuda a distinguir algunos usos. Las condiciones de vuestra cuenta deben comprobarse en la documentación vigente de ese servicio.
Deja una pauta que el equipo pueda usar
Una instrucción como "ten cuidado con la IA" deja demasiadas decisiones abiertas. Para una primera pauta interna, propondríamos una ficha breve por herramienta con el uso aprobado, los datos admitidos y una persona de referencia.
Por ejemplo, una ficha podría autorizar preparar borradores a partir de descripciones públicas propias y ejemplos ficticios, con revisión antes de enviarlos. Cargar documentos de clientes quedaría fuera de ese uso inicial hasta tener un procedimiento específico.
Añade ejemplos del trabajo diario: responder a una consulta, resumir una nota, preparar una propuesta. Así quien necesite ayuda podrá reconocer su caso sin interpretar una norma abstracta.
La protección también depende del proceso. En qué tareas automatizar con IA explicamos cómo empezar con un encargo acotado. Y si la herramienta estará frente a tus clientes, revisa cómo plantear un asistente para la web antes de conectarle información interna.
Si ya has enviado información que no debías
Comunícalo cuanto antes a la persona responsable de seguridad o protección de datos de tu empresa. Indica qué herramienta y cuenta se usaron, cuándo ocurrió y qué tipo de contenido se envió. Evita reenviar el documento a más sitios para explicar el incidente.
Detén nuevas cargas y conserva las referencias necesarias para evaluar lo ocurrido. Si has expuesto una credencial, el responsable técnico deberá valorar su revocación o sustitución. Eliminar una conversación puede ser una medida, pero no demuestra por sí sola que hayan desaparecido todas las copias o registros.
Si hay datos personales, debe valorarse si existe una brecha y qué medidas o notificaciones corresponden. Los artículos 33 y 34 del RGPD regulan obligaciones de notificación en determinados supuestos; no toda equivocación se resuelve de la misma forma. La empresa debe poder valorar el caso con información suficiente.
Preguntas frecuentes
¿Puedo subir un documento si quito los nombres?
No lo des por seguro. Revisa también el contexto, las imágenes, los comentarios y los datos que puedan permanecer en el archivo. Si no necesitas el documento real, utiliza un ejemplo ficticio.
¿Una cuenta de pago permite usar datos de clientes?
El precio de la cuenta no lo determina. Importan el tratamiento previsto, las condiciones contratadas, la configuración y las obligaciones de tu empresa.
¿Puedo pedir a la propia IA que anonimice el archivo?
Para hacerlo, tendrías que entregarle primero el original. Si esa herramienta no puede recibirlo, pedirle que lo limpie no resuelve el problema. Prepara los datos antes o utiliza un entorno autorizado para tratarlos.
¿Las instrucciones del asistente protegen los datos?
Indicar qué debe hacer ayuda a orientar su comportamiento, pero no sustituye las restricciones de acceso. Un asistente no debería poder consultar información que el usuario de esa conversación no tenga derecho a ver.
Usa la información que hace falta, en el entorno adecuado
La IA puede ayudarte sin convertirse en el lugar al que termina llegando toda la documentación de la empresa. Empieza por un uso concreto y prepara los datos para ese uso.
Hablamos de cómo usar IA en tu empresa. En Avantys podemos revisar contigo las herramientas, los accesos y el proceso técnico. Cuando el uso requiera decisiones de protección de datos, habrá que coordinarlas con quien lleve esa responsabilidad en tu organización.
¿Quieres que lo hagamos por ti?
En Avantys gestionamos tu web, hosting y crecimiento digital de punta a punta. Tú a lo importante.
