El uso de herramientas de inteligencia artificial (IA) en el trabajo plantea un reto para las empresas: ¿qué ocurre cuando un empleado introduce datos personales de clientes, proveedores o compañeros en una IA sin saber si está permitido?
¿Cómo gestionaría tu empresa esta situación?
ChatGPT, Microsoft Copilot o Google Gemini se utilizan cada vez más para redactar correos, resumir documentos, traducir textos o preparar informes. Estas aplicaciones pueden ahorrar tiempo, pero también generar riesgos para la protección de datos si se utilizan sin unas pautas claras.
Un error, un descuido o el desconocimiento de las condiciones de uso de una herramienta pueden acabar exponiendo información personal.
Porque el RGPD sigue siendo plenamente aplicable.
Por eso, antes de utilizar una IA con información de clientes, empleados o proveedores, conviene preguntarse:
- ¿La herramienta está autorizada por la empresa?
- ¿Sabemos qué hace el proveedor con la información?
- ¿Están anonimizados los documentos que subo?
¿Se pueden introducir datos personales en ChatGPT, Copilot o Gemini?
Sí, pero no de forma indiscriminada. El uso de inteligencia artificial con datos personales debe ajustarse al Reglamento General de Protección de Datos (RGPD) y a las circunstancias concretas del tratamiento.El Reglamento Europeo de Inteligencia Artificial (RIA) refuerza además la necesidad de que las empresas utilicen estas tecnologías de forma responsable.
Uno de los aspectos especialmente relevantes es la alfabetización en IA.
En la práctica, esto significa que los trabajadores deberían conocer los riesgos básicos de las herramientas que utilizan y saber qué pueden y qué no pueden hacer con ellas.
No basta con decir:“Usad la IA, pero con cuidado.”
Antes de introducir información de clientes, empleados o proveedores en una herramienta de IA, la empresa debe valorar, entre otros aspectos:
- La finalidad del tratamiento: ¿para qué se van a utilizar los datos y es necesario incluirlos?
- La herramienta utilizada: ¿está autorizada por la empresa y se han revisado sus condiciones de privacidad?
- El tratamiento de la información: ¿qué datos recoge el proveedor, durante cuánto tiempo los conserva y con qué finalidad los utiliza?
- Las garantías aplicables: ¿se han evaluado las condiciones del servicio, los accesos y, cuando corresponda, las transferencias internacionales de datos?
- La minimización de datos: ¿es posible obtener el mismo resultado sin incluir información personal o utilizando datos anonimizados?
La empresa debe establecer unas reglas claras. En muchos casos, las primeras medidas pueden ser muy sencillas:
- definir qué herramientas de IA están autorizadas;
- establecer qué información no debe introducirse;
- evitar facilitar datos personales cuando no sean necesarios;
- revisar previamente las herramientas utilizadas;
- formar a los trabajadores en buenas prácticas.
El objetivo no es prohibir la inteligencia artificial: es utilizarla con control y criterio.
La clave no está solo en controlar qué herramientas de IA utiliza la empresa, sino en gobernar el dato.
Saber qué información se utiliza, quién puede acceder a ella, con qué finalidad y bajo qué condiciones es esencial para aprovechar la IA sin perder el control sobre los datos.
Preguntas frecuentes sobre inteligencia artificial y RGPD
¿Es legal introducir datos personales en ChatGPT?
Puede serlo, siempre que el tratamiento cumpla el RGPD y la normativa aplicable. Es necesario valorar la finalidad, la base jurídica, la información compartida, las condiciones del proveedor y las medidas de seguridad. No se deben introducir datos personales indiscriminadamente.
¿Qué ocurre si un empleado comparte datos de clientes con una IA sin autorización?
La empresa debe analizar qué datos se han compartido, con qué herramienta y qué riesgos existen. Según el caso, deberá activar su procedimiento de gestión de incidentes y valorar si se ha producido una brecha de datos personales que requiera notificación a la AEPD o comunicación a las personas afectadas.
¿Qué datos personales no se deben introducir en una IA?
No existe una lista universal válida para todas las herramientas y situaciones. Como regla general, deben evitarse los datos personales innecesarios y aquellos cuya comunicación no esté autorizada, especialmente los datos sensibles, las credenciales, la información financiera y la documentación confidencial. La empresa debe definir sus propias restricciones según los riesgos y las herramientas utilizadas.
¿Qué es la alfabetización en inteligencia artificial?
Es el conjunto de conocimientos y capacidades que permiten comprender los sistemas de IA, utilizarlos adecuadamente y reconocer sus riesgos y limitaciones. El artículo 4 del Reglamento Europeo de Inteligencia Artificial contempla medidas para garantizar un nivel suficiente de alfabetización en IA entre el personal que utiliza estos sistemas en nombre de proveedores o responsables del despliegue.
¿Debe una empresa tener una política de uso de inteligencia artificial?
Disponer de una política interna es una medida recomendable para definir herramientas autorizadas, usos permitidos, restricciones sobre los datos, responsabilidades, formación y actuación ante incidentes. Su contenido debe adaptarse a la actividad, los tratamientos de datos y los riesgos de cada organización.
¿Es suficiente anonimizar los documentos antes de subirlos a una IA?
La anonimización efectiva puede reducir considerablemente los riesgos, ya que el RGPD deja de aplicarse a la información que no permite identificar a una persona, directa ni indirectamente. Sin embargo, hay que comprobar que la reidentificación no sea razonablemente posible. Los datos seudonimizados siguen siendo datos personales y están sujetos al RGPD.