ChatGPT y protección de datos, qué puedes meter en la IA y qué no

La pregunta que más nos hacen los dueños de negocios pequeños cuando empiezan con la IA no es qué herramienta usar, sino si pueden meter ahí lo que tienen entre manos, como el correo de un cliente, una nómina o el Excel de facturas. La respuesta corta es que depende del dato, de la herramienta y de cómo la tengas configurada. La larga es este artículo, que intenta ser práctico y no asustar, y que termina con un modelo de política de uso de IA para la empresa.

No es asesoramiento jurídico. Si tratas datos especialmente delicados (salud, menores, datos de empleados), habla con quien te lleve la protección de datos. Pero para el día a día de un comercio, un taller o una oficina pequeña, con unas reglas claras se resuelve el noventa por ciento de los casos.

Lo que pasa con lo que escribes en ChatGPT, Gemini o Copilot

Cuando pegas un texto en una herramienta de IA, ese texto sale de tu ordenador y llega a los servidores de la empresa que la ofrece. Lo que pase después depende de tu cuenta y de tus ajustes. Puede guardarse en tu historial, revisarse por seguridad o, en algunas cuentas personales, usarse para mejorar los modelos. Si son datos de tus clientes, el que decide meterlos ahí eres tú, y eso tiene consecuencias según el RGPD, porque tú respondes de ese tratamiento.

La Agencia Española de Protección de Datos (AEPD) ha publicado unas recomendaciones para usar herramientas de IA con privacidad. Su idea central es sencilla. No introduzcas datos personales identificables de nadie (nombre completo, DNI, teléfono, dirección, fotos) y, en el trabajo, tampoco contratos, datos de empleados o de clientes ni información confidencial de la empresa. Si necesitas trabajar con un caso, usa uno ficticio o anonimizado.

Un semáforo para decidir en dos segundos

Las normas largas no se cumplen. Lo que funciona en un equipo pequeño es un semáforo que cualquiera pueda aplicar con un cliente esperando. Es el mismo que usamos en el kit.

El ámbar es donde más se ahorra. Casi cualquier tarea de redacción se puede hacer sin saber quién es la persona. Para escribir una respuesta a una clienta que se queja de un retraso, la IA no necesita su nombre, ni su teléfono, ni qué día vino.

Anonimizar de verdad (y no a medias)

Quitar el nombre no siempre basta. “La dueña de la floristería de la plaza Mayor que nos debe la reforma” identifica a una persona aunque no aparezca su nombre. Anonimizar es quitar o cambiar todo lo que permita saber de quién hablas.

• Nombres y apellidos, también los de familiares o acompañantes.
• Teléfonos, correos, direcciones, matrículas, números de cliente o de expediente.
• Fechas exactas y lugares muy concretos, cuando junto con lo demás señalan a alguien.
• Datos de salud, económicos o de trabajo que no hagan falta para la tarea.

Hazlo antes de pegar, en tu propio documento. No le pidas a la IA que te anonimice un texto que ya tiene los datos, porque para hacerlo ya los ha recibido.

Una vez sustituidos por etiquetas, conviene decirle a la herramienta que trabaje solo con ellas.

Te paso un texto en el que ya he sustituido los datos personales por etiquetas como [CLIENTE A] o [IMPORTE]. Trabaja solo con esas etiquetas: no intentes adivinar a quién se refieren, no las rellenes y mantenlas tal cual en tu respuesta. Tarea: [TAREA]. Texto: [TEXTO CON ETIQUETAS]

Lo probamos con el caso de una gestoría. Un cliente se queja de que su recibo ha subido porque no vio el aviso del cambio de cuota, y la gestoría quiere mantenerle la cuota antigua ese mes como gesto. El modelo respetó todas las etiquetas ([CLIENTE A], [MES], [IMPORTE]) y la respuesta se podía usar. Pero añadió por su cuenta que se mantenía la cuota “como reconocimiento de su fidelidad”, algo que nadie había dicho y que el cliente podría entender como una promesa para el futuro. Una vez más, el texto es un borrador y la última lectura es tuya.

Los ajustes que conviene revisar hoy

Las tres herramientas más usadas permiten limitar el uso de tus conversaciones. Los nombres cambian de vez en cuando, así que comprueba en la ayuda oficial de cada una si no encuentras la opción.

• ChatGPT. En Configuración, dentro de Controles de datos, puedes desactivar “Mejorar el modelo para todos” para que tus conversaciones nuevas no se usen para entrenar. Hay además un chat temporal que no se guarda en el historial ni se usa para entrenar, aunque OpenAI puede conservarlo hasta 30 días por seguridad. Los planes para empresas (Business y Enterprise) no usan los datos para entrenar por defecto.
• Gemini. En la actividad de las apps de Gemini puedes desactivar la opción de mantener la actividad para que los chats futuros no se usen para mejorar los modelos. También tiene chat temporal. Según Google, incluso así las conversaciones se conservan un tiempo corto (hasta 72 horas) para prestar el servicio.
• Copilot. Si entras con una cuenta de trabajo de Microsoft 365, la herramienta aplica la protección de datos empresariales de Microsoft, que es más restrictiva que la de una cuenta personal. Fíjate en con qué cuenta has iniciado sesión antes de pegar nada.

Lo que la IA te puede devolver

Además de lo que metes, ojo con lo que sale. Una respuesta de la IA puede contener datos que no deberían publicarse si se los diste, o datos inventados con apariencia de reales, como un IBAN, un teléfono o el nombre de un responsable. En nuestras pruebas para este blog, un modelo se inventó un número de cuenta en un correo de reclamación de pago (lo contamos en el artículo sobre facturas impagadas), y otro le puso nombre y apellidos a un supuesto responsable de una gestoría que solo existía en su imaginación.

Y lo que publicas responde a las mismas reglas. La AEPD apercibió a una farmacia que, al contestar una reseña en Google Maps, mencionó el medicamento que el cliente había comprado con receta (expediente PA/00001/2023). La IA no participó en ese caso, pero es el tipo de error que una respuesta automática puede cometer si le das el contexto que no debe tener. Hablamos de ello en cómo responder reseñas con IA.

Política de uso de IA en la empresa, un modelo para tu equipo

Si trabajáis varias personas, merece la pena dejarlo por escrito. No hace falta un documento legal largo. Una política de uso de IA que quepa en una o dos páginas y que todo el equipo haya leído sirve más que un PDF de veinte páginas que nadie abre. Estos son los apartados que le pondríamos nosotros.

1. Herramientas permitidas y con qué cuenta. Cuáles se pueden usar para trabajar, si con cuenta de empresa o personal, y que en las cuentas personales esté desactivado el uso de las conversaciones para entrenar.
2. Datos, con el semáforo. Verde, ámbar y rojo, con ejemplos de vuestro trabajo como los de la tabla de arriba.
3. Revisión antes de enviar. Todo lo que sale de una IA es un borrador. Lo lee una persona antes de mandarlo a un cliente o publicarlo, y comprueba cifras, fechas, nombres y referencias legales.
4. Decisiones sobre personas. Ninguna decisión de contratar, sancionar o conceder algo a un cliente la toma una IA.
5. Qué hacer si alguien mete la pata. A quién se avisa si se ha pegado un dato rojo y qué se hace después.
6. Formación y registro. Una sesión práctica para quien empieza a usar IA y un repaso cuando cambie algo, apuntados en una hoja con la fecha y quién asistió.
7. Quién decide y cada cuánto se revisa. Una persona que resuelve las dudas y una fecha para repasar la política, por ejemplo cada seis meses.

El apartado de formación tiene que ver con el artículo 4 del Reglamento europeo de IA, que se aplica desde el 2 de febrero de 2025 a las empresas que usan IA, también si es ChatGPT para escribir textos o traducir, que es el ejemplo que pone la propia Comisión Europea. El Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026, cambió su redacción. Ahora pide adoptar medidas para apoyar la alfabetización en IA del personal y de quien use la IA en nombre de la empresa, y aclara que no obliga a garantizar un nivel concreto en ninguna persona. Según las preguntas y respuestas de la Comisión, no hace falta ningún certificado y basta con un registro interno de las formaciones.

La IA te puede ayudar con el primer borrador.

Ayúdame a escribir la política de uso de herramientas de IA de [NEGOCIO], donde trabajamos [Nº] personas. Usamos [HERRAMIENTAS Y PLANES] y tratamos estos datos [TIPOS DE DATOS QUE MANEJÁIS]. Que ocupe una o dos páginas y tenga estos apartados. Herramientas permitidas y con qué cuenta. Datos en tres grupos, verde (se puede usar), ámbar (solo anonimizado) y rojo (nunca), con ejemplos de nuestro trabajo. Revisión por una persona antes de enviar nada. Decisiones sobre personas. Qué hacer si alguien pega un dato que no debía. Formación y registro. Quién decide en caso de duda y cada cuánto se revisa. Lenguaje llano, sin jerga legal y sin citar artículos de leyes. Español de España.

Probamos la primera versión de este prompt, la de una norma de una página, con una gestoría de cuatro personas que usa ChatGPT con cuentas gratuitas y Copilot con Microsoft 365. El esqueleto salió bien, con nóminas, rentas, contratos y datos bancarios en rojo, circulares y textos para la web en verde, revisión cada seis meses y una lista de comprobación final muy útil, con preguntas como si el texto tiene datos que identifiquen a alguien. Lo que hubo que corregir.

• Se inventó el nombre de la empresa y el de la persona responsable. Ponlos tú.
• Habló de número de seguro social, que es un término latinoamericano. Aquí es número de afiliación a la Seguridad Social. Por eso conviene pedir siempre español de España.
• No dijo nada de que las cuentas gratuitas de ChatGPT del equipo deberían tener desactivado el entrenamiento. Es una decisión que tienes que añadir tú.

Si buscas una política de uso de IA en PDF para copiar tal cual, hay modelos gratuitos en internet y para empezar valen. Lo que conviene es adaptarla a las herramientas y los datos de tu negocio, porque una política que habla de sistemas que no usáis no la lee nadie. Si prefieres no empezar de cero, en IA en el equipo tenemos la política de uso editable en Word y OpenDocument, el inventario de herramientas, el guion de una sesión práctica de 75 minutos y la hoja de registro. Cuesta 48,99 € con IVA y el enlace es nuestro.

En resumen

• Verde, ámbar o rojo, antes de pegar nada.
• Anonimiza en tu documento, no en el chat.
• Revisa los ajustes de entrenamiento de cada cuenta del equipo, y con qué cuenta has entrado.
• Lee la respuesta buscando datos inventados o que no deberían salir.
• Si hay datos de salud, menores o empleados de por medio, pregunta a tu asesor antes de montar nada.

Con estas cinco costumbres puedes usar la IA para casi todo lo que hace falta en un negocio pequeño (correos, presupuestos, reseñas, redes) sin que tus clientes tengan que preocuparse por ello.