ChatGPT en el trabajo: qué datos no debes introducir y por qué
En el trabajo no se deben introducir en ChatGPT ni en otras IA generativas datos personales de clientes o empleados, datos de salud, información confidencial de la empresa ni contraseñas, salvo que la empresa lo haya autorizado con una versión profesional, un contrato de encargado del tratamiento y la configuración adecuada. El RGPD se aplica igual que a cualquier otra herramienta.
Los cinco tipos de datos que no se introducen
| Tipo de dato | Ejemplos | Por qué |
|---|---|---|
| Datos personales de clientes | Nombres, DNI, teléfonos, historiales de compra | Necesitan base jurídica y contrato con el proveedor (RGPD) |
| Datos de empleados y candidatos | Nóminas, evaluaciones, currículums | Además del RGPD, pueden llevar a usos de alto riesgo |
| Categorías especiales | Salud, afiliación sindical, ideología | Protección reforzada en el RGPD |
| Información confidencial | Contratos, precios, estrategias, código propio | Puede salir de la empresa o usarse para entrenar modelos |
| Credenciales | Contraseñas, claves de API | Riesgo de seguridad directo |
Qué dice el RGPD
Cuando una empresa introduce datos personales en una herramienta de IA, está tratando datos y el proveedor de la herramienta suele actuar como encargado del tratamiento. Eso exige:
- Una base jurídica para el tratamiento.
- Un contrato de encargado con el proveedor (artículo 28 del RGPD).
- Garantías para las transferencias internacionales si los datos salen del Espacio Económico Europeo.
- Informar a los interesados y respetar sus derechos.
Cómo configurar las herramientas de la empresa
- Usa versiones profesionales con contrato de tratamiento de datos.
- Desactiva el uso de los datos para entrenar cuando la herramienta lo permita.
- Gestiona las cuentas desde la empresa, no con cuentas personales.
- Anonimiza antes de pegar: sustituye nombres y datos identificativos.
- Recógelo por escrito en la política de uso de IA.
El riesgo real: la IA en la sombra
El problema no suele ser la herramienta oficial, sino la que la gente usa por su cuenta con su cuenta personal. Un inventario de herramientas y una formación básica son la mejor defensa. Forman parte de la alfabetización del artículo 4.
Preguntas frecuentes
¿Puedo usar ChatGPT con datos de clientes?
Solo si la empresa tiene una base jurídica para ese tratamiento, ha firmado con el proveedor un contrato de encargado del tratamiento, ha comprobado dónde se tratan los datos y ha desactivado su uso para entrenar modelos. Con la versión gratuita personal, no.
¿La versión de empresa de ChatGPT o Copilot es segura?
Las versiones profesionales suelen ofrecer contrato de tratamiento de datos, no usar los datos para entrenar y controles de administración. Es mejor punto de partida, pero la empresa sigue siendo responsable de qué datos introduce y para qué.
¿Cumple tu empresa? Repasa las 10 preguntas del autodiagnóstico del artículo 4.