En la mayoría de empresas no existe una política clara sobre qué se puede y qué no se puede escribir en ChatGPT. El resultado es lo que en el sector se conoce como shadow AI: empleados usando herramientas de inteligencia artificial por su cuenta, sin supervisión ni criterio compartido, porque les ahorra tiempo y nadie les ha dicho lo contrario.
No es un problema de mala fe. Es un problema de que nadie se ha parado a pensar en las consecuencias de un gesto que parece completamente inofensivo.
Lo que ocurre en la práctica
Un comercial pega el correo de un cliente en ChatGPT para pedir ayuda a redactar una respuesta educada. Un responsable de recursos humanos sube un currículum para que la IA resuma el perfil del candidato. Un técnico copia un fragmento de un contrato para entender una cláusula compleja. Ninguno de estos gestos parece grave visto de forma aislada. Todos implican, en distinto grado, que datos personales o información confidencial de la empresa han salido hacia un servidor de un tercero, sin base legal, sin informar a la persona afectada y sin ningún control sobre qué pasa con esa información después.
Por qué "no lo van a usar para nada malo" no es suficiente
Los principales proveedores de IA en la nube ofrecen garantías razonables sobre el uso de los datos en sus planes empresariales: no se usan para entrenar modelos futuros, se pueden eliminar bajo petición, cumplen ciertos estándares de seguridad. Estas garantías son reales y ayudan, pero no eliminan el problema de fondo: los datos han salido de la empresa, han pasado por infraestructura que no controla la empresa, y quedan sujetos a las leyes del país donde esa infraestructura está ubicada, que no siempre coinciden con la protección que exige el RGPD.
Además, las garantías del plan empresarial de pago no protegen frente al uso más habitual: empleados usando la versión gratuita o personal de una herramienta de IA, sin ningún acuerdo empresarial de por medio, simplemente porque es la que ya tienen instalada en el móvil.
El coste de que salga mal
Si una filtración de datos se rastrea hasta un empleado que pegó información de clientes en una herramienta de IA pública, las consecuencias no son solo reputacionales. El RGPD contempla sanciones que pueden llegar a millones de euros o a un porcentaje significativo de la facturación anual, según la gravedad. Más allá de la sanción económica, está el coste de confianza: un cliente que descubre que sus datos han pasado por un servicio de IA sin su conocimiento difícilmente vuelve a confiar en la empresa de la misma manera.
La solución no es prohibir, es dar una alternativa
Prohibir el uso de IA en la empresa casi nunca funciona: el empleado que necesita ayuda para redactar algo rápido seguirá usando su móvil personal si no tiene una alternativa dentro del trabajo. La solución que funciona de verdad es dar acceso a un sistema de IA privada, instalado dentro de la empresa, que resuelva la misma necesidad sin que los datos salgan nunca de la infraestructura interna.
Cuando el equipo tiene una herramienta interna que responde con la misma rapidez que ChatGPT, pero conectada a la documentación real de la empresa y sin fuga de datos hacia terceros, el uso de herramientas públicas para tareas con información sensible deja de tener sentido, sin necesidad de imponer prohibiciones que nadie cumple.
Tres pasos para reducir el riesgo esta misma semana
Primero: haz un inventario rápido, sin juzgar a nadie, de qué herramientas de IA usa hoy tu equipo y para qué. La mayoría de empresas se llevan una sorpresa.
Segundo: identifica qué tipo de datos son los que más se han estado compartiendo (datos de clientes, información de contratos, currículums) y prioriza esos casos para una alternativa privada.
Tercero: comunica al equipo, sin generar alarma, que hay un proyecto en marcha para darles una herramienta interna equivalente, para que dejen de depender de herramientas externas para tareas con información sensible.
Cuéntanos qué uso de IA detectas hoy en tu equipo. Te ayudamos a priorizar qué proceso conviene traer dentro de la empresa primero.
