Cómo evitar que tus empleados filtren datos de la empresa en ChatGPT
Para evitar que tus empleados filtren datos de la empresa en ChatGPT, dales una herramienta autorizada con cuenta de empresa, una política escrita que diga qué datos no se pegan nunca y una formación práctica con ejemplos de su día a día. Prohibirlo sin más no funciona: la gente sigue usándolo desde el móvil personal, y entonces ni siquiera sabes qué se está compartiendo. El objetivo no es frenar el uso de la IA, sino que ocurra en un entorno que controlas.
El riesgo real: no es un ataque, es un copiar y pegar
Cuando se habla de fugas de datos se piensa en ciberdelincuentes. Aquí el riesgo es más cotidiano: una persona de tu equipo, con buena intención, pega información en una herramienta de IA para ahorrar tiempo. Algunos ejemplos que se repiten en cualquier pyme:
- El comercial pega la lista de clientes con nombres, teléfonos e importes para que la IA le redacte un correo de seguimiento.
- La persona de recursos humanos sube currículos o una nómina para resumirlos o compararlos.
- Administración copia un contrato con un proveedor para que le explique una cláusula.
- Un desarrollador pega un fragmento de código que incluye una contraseña o una clave de acceso a un servicio.
En todos los casos la información sale de tu empresa y se guarda en los servidores de un tercero, en una cuenta que muchas veces es personal del empleado. Puede quedar en el historial de esa cuenta, puede usarse para mejorar el servicio según la configuración, y si esa cuenta personal se ve comprometida, lo que había dentro queda expuesto. Tú, como empresa, no tienes visibilidad ni control sobre nada de eso.
Qué dice la normativa sobre pegar datos en una IA
No hay una ley específica que prohíba usar ChatGPT en el trabajo, pero varias normas que ya conoces se aplican de lleno:
- Protección de datos. Según el Reglamento General de Protección de Datos, tu empresa responde de los datos personales que trata. Si un proveedor trata esos datos por tu cuenta, hace falta un contrato de encargo del tratamiento (artículo 28), y debes aplicar medidas de seguridad adecuadas (artículo 32). Si un empleado comunica datos de clientes a un servicio sin base legal ni contrato, eso puede constituir una violación de seguridad que hay que evaluar y, si supone un riesgo para las personas, notificar a la AEPD en un máximo de 72 horas (artículo 33).
- Secretos empresariales. La Ley 1/2019 de Secretos Empresariales solo protege la información que ha sido objeto de medidas razonables para mantenerla en secreto. Si tus precios, procesos o planes circulan sin ninguna norma interna, será más difícil defenderlos si alguien los usa indebidamente.
- Formación en IA. El artículo 4 del Reglamento Europeo de IA obliga a las organizaciones que usan sistemas de IA a adoptar medidas que apoyen la alfabetización en IA de su personal. Según la Comisión Europea, se aplica desde el 2 de febrero de 2025 y se modificó en 2026 sin exigir un nivel concreto, pero la obligación de formar sigue ahí.
La propia AEPD publicó en enero de 2026 el decálogo «Cuidado con lo que le confIAs», que recomienda no compartir con herramientas de IA datos personales ni información sensible, usar escenarios ficticios en lugar de casos reales y, en el trabajo, seguir las políticas de información y seguridad de la organización y no divulgar datos confidenciales de la empresa ni de empleados o clientes.
Cuenta gratuita o versión de empresa: qué cambia
Buena parte del problema viene de que cada empleado usa su propia cuenta gratuita o personal. Las versiones para empresas cambian las reglas del juego, aunque no lo resuelven todo:
| Aspecto | Cuenta personal del empleado | Plan para empresas |
|---|---|---|
| De quién es la cuenta | Del empleado; se la lleva si se va | De la empresa, que da de alta y de baja a los usuarios |
| Uso de las conversaciones para entrenar | Depende de un ajuste que decide cada usuario | Según el fabricante, no se usan por defecto |
| Contrato de tratamiento de datos | No hay relación contractual con tu empresa | Se puede firmar un acuerdo de tratamiento con el proveedor |
| Visibilidad y control | Ninguna | Consola de administración y ajustes centralizados |
OpenAI explica en su página de privacidad para empresas que no entrena sus modelos con los datos de negocio de esos planes por defecto. Aun así, contratar la versión de empresa no convierte en correcto cualquier uso. Sigues necesitando una base legal para tratar esos datos, informar a tus clientes de qué proveedores intervienen y revisar dónde se almacenan y si salen del Espacio Económico Europeo. La herramienta de empresa es la condición necesaria, no la suficiente.
Qué datos no se pegan nunca en una herramienta de IA
La forma más clara de explicarlo al equipo es con un semáforo. Adáptalo a tu actividad, pero parte de algo así:
| Color | Ejemplos | Qué hacer |
|---|---|---|
| Verde | Textos públicos de tu web, borradores sin datos de nadie, ideas para una campaña, dudas generales | Uso libre con la herramienta autorizada |
| Ámbar | Documentos internos sin datos personales, procesos de trabajo, informes que aún no son públicos | Solo con la cuenta de empresa y quitando nombres, cifras y referencias concretas |
| Rojo | Datos de clientes o empleados, DNI, datos bancarios o de salud, nóminas, contratos, contraseñas, claves de acceso, código propio, información bajo acuerdo de confidencialidad | Nunca, salvo en un sistema aprobado expresamente para ese uso |
Enseña también la alternativa, porque es lo que evita la tentación: casi siempre se puede pedir lo mismo sin el dato real. En lugar de pegar el correo de un cliente con su nombre y su pedido, se describe la situación con datos inventados. En lugar de subir un contrato entero, se copia la cláusula concreta quitando nombres e importes. La IA responde igual de bien y no sale nada que no deba salir.
Cómo montar una política de uso de IA generativa
No necesitas un documento de cuarenta páginas. Una buena referencia es la política general para el uso de IA generativa que la AEPD aprobó para sí misma en noviembre de 2025: exige formación previa a quien la use, prohíbe utilizar herramientas que no estén en un inventario autorizado y pide que todo contenido generado lo revise una persona. Una política para una pyme puede resolverse en dos páginas con estos apartados:
- Herramientas autorizadas. Cuáles se pueden usar, con qué cuenta y para qué. Lo que no está en la lista, no se usa para trabajo.
- Usos permitidos y prohibidos. Con ejemplos reales de tu empresa, no con frases genéricas.
- Datos que nunca se introducen. El semáforo anterior.
- Revisión humana. Todo lo que genere la IA y vaya a un cliente, a un contrato o a una decisión lo revisa una persona antes de usarlo.
- Nuevas herramientas. Quién decide si se incorpora una y qué se comprueba antes: contrato, ubicación de los datos, opciones de privacidad.
- Qué hacer si algo sale mal. A quién avisar si alguien ha pegado lo que no debía, sin miedo a represalias, porque cuanto antes se sepa antes se puede actuar.
Un detalle legal que conviene no olvidar: el artículo 87 de la Ley Orgánica de Protección de Datos obliga al empleador a fijar criterios de uso de los dispositivos digitales, con participación de la representación de los trabajadores si la hay, y a informar a la plantilla de esos criterios. Si tu política incluye controles sobre el uso de herramientas, intégrala en esas normas y comunícala por escrito.
Formación y control sin convertir la oficina en un búnker
La política solo funciona si la gente la entiende y le resulta más cómodo cumplirla que saltársela. Algunas medidas prácticas:
- Forma con casos propios. Una sesión corta en la que cada departamento vea qué puede pedir a la IA y cómo hacerlo sin datos reales vale más que un documento que nadie lee.
- Centraliza las cuentas. Accesos con el correo corporativo y, si la herramienta lo permite, con inicio de sesión único. Así, cuando alguien deja la empresa, su acceso se corta con el resto.
- Configura antes de repartir. Revisa los ajustes de privacidad, conservación del historial y conexiones con otras aplicaciones en la consola de administración antes de dar acceso al equipo.
- Aplica controles técnicos proporcionados. En los equipos de empresa puedes limitar el acceso a herramientas no autorizadas, siempre dentro de los criterios que hayas comunicado a la plantilla.
- Revisa cada cierto tiempo. Las herramientas cambian de condiciones y aparecen otras nuevas. Una revisión cada pocos meses mantiene la política viva.
La IA en el trabajo, con reglas claras y sin sustos
Tus empleados ya usan herramientas de IA, lo sepas o no. La diferencia entre un riesgo y una ventaja está en tres decisiones: una herramienta de empresa bien configurada, una política breve con ejemplos y un semáforo de datos que todo el mundo recuerde. Si quieres ordenar el uso de la IA en tu empresa o integrarla en tus propias aplicaciones con los datos bajo control, cuéntanos cómo trabaja tu equipo y lo vemos juntos.
Artículos relacionados
Preguntas frecuentes sobre
Cómo mejorar mi negocio con la metodología Anticompetencia
En Tangram no queremos que la información pase por una cadena interminable de intermediarios donde se pierden los detalles importantes.
Contarás con un interlocutor que coordinará la comunicación y trasladará las decisiones al equipo responsable de tu proyecto.
Cuando sea necesario profundizar en cuestiones de estrategia, diseño o tecnología, podremos involucrar a los especialistas correspondientes.
Así tendrás una comunicación organizada, sin necesidad de gestionar personalmente a todos los profesionales que intervienen.
Queremos que tengas acceso al conocimiento de un equipo especializado, sin sufrir la complejidad de coordinarlo.
No tendrás que averiguar a quién escribir cada vez que tengas una duda.
En Tangram contemplamos la figura del Account Manager como interlocutor principal, encargado de acompañarte durante el proyecto, coordinar la comunicación y facilitar el seguimiento de las decisiones.
Nuestra metodología incluye reuniones de revisión, canales de comunicación y herramientas para que puedas participar en el trabajo.
La organización concreta, la frecuencia de las reuniones y los canales disponibles se establecerán según el proyecto contratado.
Lo importante es que sepas con quién hablar, en qué punto está tu proyecto y qué decisiones necesitan tu participación.
Sí, podemos valorar una colaboración con los profesionales que ya trabajan en tu empresa.
No siempre tiene sentido sustituir un equipo que conoce bien tu negocio. En muchas situaciones, lo más útil es complementar sus conocimientos con especialistas en determinadas áreas.
Podemos estudiar qué responsabilidades asumiría Tangram, cuáles mantendría tu equipo y cómo coordinar las decisiones para evitar duplicidades.
La forma concreta de colaboración dependerá de la organización, las herramientas y las necesidades del proyecto.
No se trata de reemplazar lo que ya funciona, sino de aportar el conocimiento que necesitas para llegar más lejos.
No tienes por qué cambiar de proveedor para explorar una colaboración con Tangram.
Durante nuestra trayectoria hemos trabajado con agencias y consultoras, participando en proyectos en los que cada empresa asumía una parte diferente del trabajo.
Esa experiencia nos permite comprender la importancia de definir responsabilidades y coordinar a los profesionales implicados.
Podemos valorar una colaboración para cubrir necesidades concretas que tu proveedor actual no ofrece o para reforzar determinadas áreas.
Si tienes una relación profesional que funciona, no queremos que la rompas sin motivo. Queremos encontrar dónde podemos aportar valor.
La confidencialidad es especialmente importante cuando hablamos de nuevas ideas de negocio, información económica, estrategias comerciales o desarrollos tecnológicos.
En Tangram tenemos experiencia trabajando en proyectos sujetos a acuerdos de confidencialidad, motivo por el que no podemos mostrar públicamente muchos de los trabajos en los que hemos participado.
Si tu proyecto requiere un acuerdo de confidencialidad (NDA) antes de compartir información sensible, podemos revisar sus condiciones y acordar cómo proteger esa información antes de entrar en los detalles.
Entendemos que la confianza empieza por respetar lo que todavía no quieres hacer público.