Por qué la protección de datos va primero
Los asistentes de IA son facilísimos de usar: abres una ventana, pegas un texto y en segundos tienes un resumen. Precisamente por eso es fácil olvidar que ese texto puede incluir el nombre de un cliente, una dirección, las condiciones de un contrato o la baja médica de un trabajador.
Cuando introduces datos personales en una herramienta de IA, estás haciendo un tratamiento de datos. Eso significa que se aplica el Reglamento general de protección de datos (RGPD) y, en España, la Ley orgánica de protección de datos y garantía de los derechos digitales (LOPDGDD). La empresa sigue siendo responsable de esos datos aunque quien los procese sea un servicio externo.
A esto se suma el Reglamento europeo de IA (AI Act), que fija obligaciones distintas según el nivel de riesgo de cada uso y que también insiste en que las personas que utilizan estos sistemas tengan conocimientos suficientes para hacerlo con criterio. Para la mayoría de pymes, los usos habituales (redactar, resumir, clasificar) son de riesgo bajo, pero conviene tenerlo presente.
Qué datos no deberían entrar en una herramienta de IA a la ligera
No todos los datos pesan lo mismo. Como norma general, antes de pegar nada en una herramienta de IA, comprueba si aparece alguna de estas informaciones:
- Datos de clientes: nombres, correos, teléfonos, direcciones, historial de compras o incidencias.
- Datos de empleados: nóminas, evaluaciones, bajas, datos de contacto personales o procesos de selección.
- Categorías especiales: salud, afiliación sindical, creencias o cualquier información especialmente sensible. Aquí la prudencia tiene que ser máxima.
- Información confidencial de la empresa: contratos, presupuestos, estrategia, código o documentación interna que no querrías ver fuera.
Si la tarea no necesita esos datos, quítalos. Muchos usos funcionan igual de bien con un texto anonimizado: puedes cambiar los nombres por "Cliente A" o eliminar identificadores antes de pedir un resumen o un borrador.
Dónde se procesan los datos y qué hace con ellos el proveedor
Es el punto que más a menudo se pasa por alto. Antes de adoptar una herramienta de IA, lee sus condiciones (o pide a alguien que lo haga) y busca respuesta a estas preguntas:
¿Se usan los datos para entrenar el modelo?
Algunas versiones gratuitas o de consumo pueden aprovechar lo que escribes para mejorar el servicio. Las versiones pensadas para empresas suelen permitir desactivarlo o ya lo excluyen por defecto. Compruébalo y, si existe la opción, desactívalo.
¿Dónde están los servidores?
Si los datos salen del Espacio Económico Europeo, la transferencia internacional debe contar con garantías adecuadas según el RGPD. Muchos servicios en la nube ofrecen alojamiento en Europa o cláusulas específicas; hay que confirmarlo.
¿Hay un contrato de encargo de tratamiento?
Cuando un proveedor trata datos personales por cuenta tuya, el RGPD exige un contrato que regule cómo lo hace. Los servicios orientados a empresas suelen ofrecerlo; las herramientas de consumo, a menudo no.
¿Cuánto tiempo se guardan los datos y quién accede a ellos?
Mira si puedes borrar el historial, si hay controles de acceso por usuario y si la herramienta permite gestionar las cuentas desde la empresa en lugar de usar cuentas personales.
Pautas internas: pocas, claras y conocidas por todos
La mayoría de problemas no nacen de la mala fe, sino de no saber qué se puede hacer. Para una pyme suelen bastar unas pautas breves, de una o dos páginas:
- Qué herramientas están autorizadas y con qué tipo de cuenta (mejor de empresa que personal).
- Qué datos no se introducen nunca y cómo anonimizarlos cuando haga falta.
- Quién revisa los resultados antes de que salgan de la empresa o se usen para decidir algo.
- A quién preguntar cuando surge una duda o una situación nueva.
- Cómo avisar de cualquier incidencia, por ejemplo si alguien ha pegado por error datos que no tocaba.
Las pautas solo funcionan si el equipo las entiende. Por eso tiene sentido acompañarlas de una formación en IA para empresas práctica, con ejemplos reales del trabajo de cada área: qué se puede compartir, qué no y cómo revisar lo que propone la herramienta.
Supervisión humana: la IA propone, una persona decide
Las herramientas de IA generativa producen textos que parecen correctos pero que pueden incluir errores, datos inventados o conclusiones sesgadas. Es un problema de calidad, pero también de protección de datos: una información incorrecta sobre un cliente o un empleado es un dato inexacto, y el RGPD exige que los datos sean exactos.
Además, el RGPD reconoce derechos a las personas cuando una decisión que les afecta de forma significativa se toma de manera exclusivamente automatizada. En la práctica, no es buena idea dejar que una herramienta de IA decida por sí sola quién pasa a la siguiente fase de un proceso de selección, qué condiciones se ofrecen a un cliente o cómo se resuelve una reclamación.
Un ejemplo hipotético: una empresa usa un asistente para resumir currículums. Puede ahorrar tiempo de lectura, pero la valoración final debe hacerla una persona capaz de explicar por qué ha tomado cada decisión.
Confidencialidad más allá de los datos personales
No todo es RGPD. Muchas empresas manejan información que no es personal pero sí delicada: ofertas a clientes, márgenes, documentación técnica, proyectos en curso o acuerdos de confidencialidad firmados con terceros. Si un contrato te obliga a no compartir cierta información, pegarla en un servicio externo puede suponer un incumplimiento, aunque no haya ningún dato personal.
La lógica es la misma: usa herramientas con condiciones de empresa, limita lo que entra y, si hace falta, valora soluciones en las que los datos no salgan de tu entorno. Cuando la IA se integra en los procesos de la empresa, estas decisiones pueden tomarse desde el diseño, como explicamos en la página de inteligencia artificial para empresas.
Una lista de revisión rápida
Antes de poner en marcha un uso de IA con datos de la empresa, repasa estos puntos:
- Sabes qué datos van a entrar y si de verdad hacen falta.
- Has comprobado dónde se procesan y si el proveedor los reutiliza.
- Tienes un contrato de encargo de tratamiento cuando hay datos personales.
- El equipo tiene pautas claras y sabe a quién preguntar.
- Hay una persona que revisa los resultados antes de actuar.
- Si el tratamiento es sensible o a gran escala, has valorado si hace falta una evaluación de impacto y lo has hablado con un profesional de protección de datos.
Si alguno de estos puntos no lo tienes claro, no significa que no puedas usar IA, sino que conviene parar un momento y resolverlo antes.
Cómo lo trabajamos desde Osona
En 2click acompañamos a pymes de Vic, Osona y el resto de Cataluña que quieren usar la IA con sentido común: primero revisamos qué tareas quieren mejorar y qué datos intervienen, después ayudamos a elegir herramientas y configuraciones adecuadas y, cuando hace falta, lo integramos con los sistemas que ya utilizan. No somos un despacho de abogados, y cuando un caso lo requiere recomendamos contar con un profesional de protección de datos. Puedes ver algunos ejemplos de trabajo en nuestro apartado de proyectos y, si quieres comentar tu caso, escríbenos desde la página de contacto.