Con los datos confidenciales y la IA en la empresa, la pregunta no es si se pueden meter en Claude o ChatGPT. Es cuáles, en qué cuenta y cómo. Una nómina, una tarifa de márgenes y un correo genérico no son lo mismo, y la ley tampoco los trata igual. Aquí tienes los dos tipos de información confidencial, una tabla que decide caso a caso, cómo anonimizar en treinta segundos y las reglas en dos folios.
Datos confidenciales e IA en la empresa: dos tipos, dos leyes
Cuando alguien dice «datos confidenciales», suele mezclar dos cosas distintas. Conviene separarlas, porque cada una tiene su ley y su riesgo.
Los datos personales. Todo lo que identifica a una persona: el nombre y el DNI de un cliente, la nómina de Laura, el currículum de un candidato, el parte de baja de un compañero. Los protege el RGPD, y no son vuestros: os los han confiado.
Los secretos de la empresa. Lo que vale dinero precisamente porque no lo sabe nadie más: la tarifa con los márgenes, la oferta de una licitación, la lista de proveedores con sus precios. Aquí no hay personas, pero hay competencia.
¿Por qué importa la segunda? Porque la Ley de Secretos Empresariales solo protege como secreto la información que su dueño ha protegido con «medidas razonables». Si vuestra tarifa anda por cuentas gratuitas de IA, esa protección se debilita.
Qué datos meter en la IA: la tabla que decide
La respuesta cambia según dos cosas: qué tipo de información es y con qué cuenta se usa la IA. Esta tabla cubre casi todo lo que pasa en una oficina:
| Información | Cuenta personal o gratuita | Cuenta de empresa |
|---|---|---|
| Textos sin datos: una plantilla, un correo genérico, un procedimiento | Sí | Sí |
| Información pública: una ley, la web de un proveedor, una noticia | Sí | Sí |
| Datos de clientes o de la plantilla con nombre: contratos, nóminas, currículums | No | Sí, y mejor anonimizados |
| Secretos de la empresa: márgenes, ofertas, precios de proveedores | No | Sí, si lo permite vuestra política |
| Salud, afiliación sindical, religión, ideología, orientación sexual | No | Solo anonimizado de verdad, y mejor no |
| Contraseñas, claves de acceso, números de tarjeta | No | No, nunca |
La regla general: si la información es de otra persona o vale dinero por ser secreta, nunca va a una cuenta personal. Con una cuenta de empresa se puede trabajar con ella, pero anonimizar sigue siendo el paso que evita casi todos los sustos.
La quinta fila merece una línea aparte. Son las «categorías especiales» del RGPD, y tienen una protección reforzada. Que la cuenta sea de empresa no basta para tratarlas.
Por qué la cuenta cambia la respuesta
Mismo texto, misma IA, distinta respuesta según la cuenta. ¿Por qué? Te lo contamos en dos razones.
Lo que pasa con las conversaciones. En las cuentas personales de muchas herramientas, lo que escribes puede usarse para entrenar la IA si esa opción está activada. En Claude, por ejemplo, solo si lo permites. En los planes de empresa, no se usan por defecto.
El contrato. Cuando otra empresa trata datos personales por vosotros, la ley exige un contrato de encargado del tratamiento (el papel en el que el proveedor se compromete a usarlos solo para lo que le pedís). Las cuentas de empresa lo tienen. Una cuenta gratuita abierta con el correo de alguien, no.
Por eso la misma nómina puede estar bien tratada en una cuenta y mal en otra. Qué plan necesitáis según cuántos sois, en qué plan de Claude necesitas. Y si usáis ChatGPT, qué arregla su plan de empresa y qué no, en ChatGPT para empresas.
Anonimizar datos para la IA en treinta segundos
Anonimizar es quitar lo que identifica a una persona antes de pegar el texto. Y hay un error muy común: pedirle a la IA que lo anonimice. Para eso ya le has pegado los datos.
La forma buena es hacerlo antes, en el propio documento. En Word, con Buscar y reemplazar (está en la pestaña Inicio, a la derecha), cambias en segundos cada nombre, DNI y dirección por un marcador:
- «Laura Martínez Ruiz» por [EMPLEADA].
- «12345678Z» por [DNI].
- «Calle Mayor, 4, Cieza» por [DIRECCIÓN].
- El nombre del cliente por [CLIENTE], y el de la otra empresa por [EMPRESA B].
Después, al pegar el texto, dale a Claude esta instrucción para que trabaje con los marcadores sin tocarlos:
Este documento tiene los datos personales sustituidos por marcadores entre corchetes, como [CLIENTE] o [DNI]. Trabaja con ellos tal cual: no los sustituyas por nombres inventados ni intentes deducir quién es. Si para responder necesitas un dato que está tapado, dímelo en lugar de suponerlo.
¿Por qué «no los sustituyas por nombres inventados»? Porque la IA tiende a rellenar huecos para que el texto quede redondo, y un nombre inventado en un contrato es peor que un corchete. Cuando recibes la respuesta, vuelves a poner los datos reales tú, en tu documento.
Un matiz honesto: quitar el nombre no siempre basta. Si el texto habla del único fontanero de un pueblo de dos mil habitantes, con su edad y su calle, cualquiera sabe quién es. Para la ley sigue siendo un dato personal. Quitad también los detalles que lo delatan.
Datos confidenciales e inteligencia artificial: lo que dice la ley, en corto
Tres normas, un párrafo cada una:
El RGPD. Pegar datos personales en una IA es tratarlos. Hace falta un motivo legítimo, un contrato con el proveedor y no usarlos para algo distinto de aquello para lo que os los dieron. La referencia oficial es la guía de la AEPD sobre RGPD e IA, y la versión práctica, en RGPD e inteligencia artificial.
La Ley de Secretos Empresariales. Protege lo que la empresa cuida como secreto. Unas reglas escritas sobre qué no se pega en una IA son, justamente, una de esas medidas razonables.
El Reglamento de IA. Desde febrero de 2025, el artículo 4 obliga a adoptar medidas para que quien usa IA sepa usarla, y saber qué datos no se le dan es parte de eso. Lo explicamos en el artículo 4 del Reglamento de IA. El mapa de todas las normas, en normativa de IA para empresas.
Las reglas, en dos folios
Nada de lo anterior sirve si cada persona lo tiene que deducir sola. Lo que funciona es escribirlo, corto, y contarlo:
- Con qué herramienta y con qué cuenta se trabaja.
- Qué no se pega nunca, con la tabla de arriba como base.
- Cómo se anonimiza, con el ejemplo de los corchetes.
- Quién revisa lo que sale antes de enviarlo.
- A quién se pregunta cuando hay dudas.
Tenéis una plantilla en política de uso de IA en la empresa. Y si sospecháis que ya se está usando IA por libre (casi seguro que sí), empezad por shadow AI en la empresa.
Hay empresas que tienen una política de protección de datos de cuarenta páginas y ni una línea sobre qué se pega en ChatGPT. Es justo la línea que hace falta.
Lo que es de otra persona o vale por ser secreto no va a una cuenta personal. Con eso y los corchetes, se evitan casi todos los sustos.
Lo que hacemos
Formamos a equipos en Claude por puesto, y lo decimos claro porque es lo que vendemos. Los datos van dentro del método: cada ejercicio se hace con documentos anonimizados, para que la costumbre se quede. Cada persona sale con un certificado y la empresa con el registro de quién completó qué.
Contadnos cuántos sois y con qué datos trabajáis en la página de empresas. Si eres una persona que quiere empezar por su cuenta, Claude para principiantes. Esto es orientación práctica, no asesoramiento legal.
Preguntas frecuentes
¿Puedo pegar datos de clientes en ChatGPT o Claude?
En una cuenta personal o gratuita, no: no hay contrato con el proveedor y las conversaciones pueden usarse para entrenar si esa opción está activada. En una cuenta de empresa, con contrato de encargado, sí se puede trabajar con ellos, y lo recomendable es anonimizarlos antes.
¿Qué datos no se deben compartir con la IA?
Nunca contraseñas, claves de acceso ni números de tarjeta. En cuentas personales, ningún dato de clientes o empleados ni información que valga por ser secreta. Los datos de salud, afiliación sindical, religión u orientación sexual, mejor no compartirlos ni en cuentas de empresa.
¿Es seguro usar ChatGPT con información confidencial de la empresa?
Depende de la cuenta. Con una cuenta de empresa, que no usa las conversaciones para entrenar por defecto y tiene contrato, el riesgo baja mucho. Con una cuenta personal o gratuita, la información sale de la empresa sin garantías.
¿Anonimizar es solo quitar el nombre?
No siempre. Si con el resto de datos se puede saber de quién se habla, como la edad, el pueblo o el puesto, sigue siendo un dato personal. Hay que quitar o generalizar también esos detalles.
¿Qué hago si alguien ya ha pegado datos confidenciales en una IA?
Sin buscar culpables: borrad esa conversación, anotad qué datos eran y en qué herramienta, y consultadlo con quien os asesore en protección de datos, que os dirá si hay que hacer algo más. Después, cuenta de empresa y reglas escritas para que no se repita.