Tu equipo ya está pegando cosas en ChatGPT o Claude: currículums, contratos, listados de clientes, informes internos. La pregunta no es si conviene prohibirlo —no funciona— sino qué se puede meter, qué no, y cómo dejarlo por escrito para que nadie tenga que adivinarlo.
Este artículo no es un texto legal. Es lo que necesita saber alguien que dirige un equipo y quiere dormir tranquilo.
La pregunta de fondo: qué pasa con lo que escribes
Depende del plan que tengas contratado, y ahí está casi todo el asunto.
En términos generales, los proveedores distinguen entre planes personales y planes de empresa, y las condiciones sobre si el contenido se usa para entrenar modelos varían entre unos y otros. Eso hay que mirarlo en las condiciones de tu plan concreto, no fiarse de lo que cuenta un artículo — el nuestro incluido, porque estas condiciones cambian.
Lo que sí es constante: un plan gratuito o personal no ofrece las mismas garantías contractuales que uno de empresa. Si vais a manejar información sensible de forma habitual, el plan de empresa no es un lujo, es el marco que os da derechos por escrito.
La regla práctica que sí puedes aplicar mañana
Sin entrar en tecnicismos, este es el criterio que funciona en la mayoría de equipos:
| Tipo de información | Criterio |
|---|---|
| Textos que ya son públicos o van a serlo | Sin problema |
| Documentos internos sin datos de personas | Normalmente sí, con plan adecuado |
| Datos personales de clientes o empleados | Sólo con base legal y contrato firmado |
| Currículums y procesos de selección | Cuidado: además es alto riesgo |
| Datos de salud, ideología, afiliación sindical | No, salvo asesoramiento específico |
| Credenciales, contraseñas, claves de API | Nunca, en ningún plan |
| Información sujeta a acuerdo de confidencialidad | Comprobar qué firmasteis antes |
La fila que más se incumple es la última. Muchos contratos con clientes incluyen cláusulas de confidencialidad que limitan a quién se puede ceder la información. Un proveedor de IA es un tercero.
El truco que resuelve la mayoría de los casos
Anonimizar antes de pegar. Casi ninguna tarea necesita el nombre real.
Para redactar una reclamación no hace falta que sepa que el cliente es Construcciones Martínez: basta con «un cliente industrial de seis años de antigüedad». Para analizar un listado de ventas no hacen falta nombres, bastan cifras y categorías.
Sustituir nombres, NIF, direcciones y números de contrato por descripciones genéricas cuesta treinta segundos, no empeora el resultado y saca la tarea entera del terreno delicado. Es lo más rentable que puede hacer un equipo.
Lo que exige la normativa, en corto
Se cruzan dos marcos y conviene no mezclarlos:
El RGPD aplica cuando hay datos personales. Si metes datos de personas identificables en una herramienta de un tercero, ese tercero es un encargado del tratamiento: hace falta contrato de encargado, base legal para el tratamiento e informar en tu política de privacidad. Esto no es nuevo ni exclusivo de la IA — es lo mismo que con cualquier proveedor en la nube.
El Reglamento Europeo de IA aplica por usar la herramienta, haya datos personales o no. Desde febrero de 2025 obliga a que el personal que la usa conozca su funcionamiento, sus límites y sus riesgos. Está explicado en el artículo 4.
Un caso concreto que conviene mirar dos veces: usar IA para cribar currículums está clasificado como alto riesgo en ese Reglamento. Ahí no basta con anonimizar.
Prohibirlo no funciona
Si la política de la empresa es «no se usa IA», lo que ocurre es que se usa igual, desde el móvil personal y sin que nadie se entere. Se llama shadow AI y es peor que el problema que intentaba evitar: mismo riesgo, cero control y ninguna posibilidad de formar a nadie.
Lo que funciona es una política corta, clara y realista. Que quepa en una página.
La política mínima que debería tener tu empresa
Cuatro puntos bastan para empezar:
- Qué herramientas están aprobadas y con qué plan. Nombradlas; «alguna IA» no vale.
- Qué no se pega nunca: credenciales, datos de salud, información bajo acuerdo de confidencialidad, datos personales sin autorización previa.
- Anonimizar por defecto. Que sea la costumbre, no la excepción.
- Verificar antes de usar. Todo dato que salga hacia un cliente se comprueba, porque estas herramientas se inventan datos.
Y algo que suele faltar: a quién preguntar cuando alguien tiene una duda. Sin eso, la gente decide por su cuenta.
Por dónde empezar hoy
Haz el inventario: qué herramientas se están usando ya, quién las usa y para qué. Media hora de trabajo. Casi siempre aparecen dos o tres que la dirección no sabía que estaban en marcha, y sin ese mapa no se puede escribir una política que se cumpla.
Después, la formación. No por cumplir el expediente: porque la mayoría de los incidentes no vienen de mala fe, sino de gente que no sabía que aquello era un problema. Eso es exactamente lo que cubre Claude para principiantes, con el uso responsable dentro y no como anexo.
Lo que de verdad reduce el riesgo
Prohibir la IA no funciona: lo único que consigue es que se use igual desde cuentas personales, que es exactamente el escenario que querías evitar. Está contado en shadow AI.
Lo que sí funciona es que la gente sepa distinguir qué puede pegar y qué no, y que tenga una herramienta autorizada donde hacerlo. Eso es formación y una política de uso de dos folios, no un departamento de cumplimiento.
Si quieres plantearlo para tu equipo, cuéntanos vuestro caso en la página de empresas.
Preguntas frecuentes
¿Puedo pegar datos de clientes en ChatGPT o Claude?
No sin base legal y sin el contrato adecuado con el proveedor. Los datos personales identificables entran en el RGPD, y un plan personal no da a la empresa las garantías contractuales que necesita.
¿Qué pasa si uso una cuenta personal para trabajo?
Que el contrato lo firmó esa persona y quien responde es la empresa. Es el motivo principal para pasar a un plan de empresa cuando se maneja información de clientes.
¿Cómo puedo usar la IA sin arriesgarme?
Anonimiza antes de pegar. Casi ninguna tarea necesita el nombre real: «un cliente industrial de seis años» funciona igual que el nombre y saca la tarea del terreno delicado. Cuesta treinta segundos.
¿Qué no se debe pegar nunca?
Credenciales y contraseñas, datos de salud o ideología, e información sujeta a un acuerdo de confidencialidad firmado con un cliente. Esa última es la que más se incumple sin darse cuenta.