Mis empleados suben contratos y datos de clientes a una IA: ¿qué hago?

Copiar un contrato en un asistente de IA puede revelar nombres, información comercial, datos personales o secretos empresariales. El riesgo depende del contenido, la herramienta, su configuración y las condiciones del servicio.

Averigua qué se está usando

Haz un inventario de herramientas y cuentas, diferenciando planes personales y corporativos. Comprueba conservación, reutilización para entrenamiento, accesos, subproveedores y transferencias. No presupongas que todos los productos de una misma marca tienen las mismas garantías.

El RGPD exige analizar finalidad, base jurídica, minimización y relación con proveedores. Si el documento contiene información confidencial aunque no sea personal, también pueden existir obligaciones contractuales y de secreto.

Reglas que la plantilla pueda seguir

Define herramientas autorizadas, tipos de datos permitidos y prohibidos, tareas admitidas y revisión de resultados. Facilita ejemplos: resumir un texto público no equivale a subir un expediente de salud o un listado de nóminas.

Sustituir nombres no siempre anonimiza. Direcciones, hechos singulares y contexto pueden permitir identificar a una persona. La seudonimización reduce determinados riesgos, pero no elimina automáticamente la aplicación del RGPD.

Si ya se han subido documentos

Identifica qué se compartió, con quién y bajo qué condiciones. Valora contención, solicitudes de eliminación y si existe una brecha que deba documentarse o notificarse. No anuncies a todos los clientes un incidente sin evaluar hechos, pero tampoco lo cierres porque la herramienta responda que es «segura».

Ejemplo práctico

Una persona usa su cuenta privada para resumir reclamaciones de clientes. La empresa desconocía el flujo y no tiene control sobre la cuenta. La solución necesita una alternativa autorizada, formación y reglas de acceso, además de revisar los envíos realizados.

Una política útil permite aprovechar tareas de bajo riesgo con controles y establece límites claros para los datos sensibles. Debe actualizarse cuando cambian las herramientas o sus condiciones.