Tus empleados usan ChatGPT: ¿cuál es el riesgo?

En este momento, alguien en tu empresa probablemente está usando ChatGPT. No por pereza, sino para redactar un correo más rápido, resumir una queja o traducir un texto. Útil. El problema: normalmente no sabes qué información se introduce exactamente. Y ahí está el riesgo. Cuando tus empleados usan ChatGPT sin acuerdos, datos confidenciales de la empresa pueden acabar, sin que nadie se dé cuenta, en un sistema que no controlas. Este fenómeno tiene nombre: Shadow AI. En este artículo verás cuán grande es el riesgo de verdad, qué dice la ley al respecto y, más importante, qué puedes hacer sin prohibir la IA por completo.

¿Qué es el Shadow AI?

El Shadow AI es el uso de IA que ocurre fuera de la vista de la organización. Tus empleados descubren que ChatGPT, Gemini o Claude agiliza su trabajo y se lanzan, sin que nadie haya acordado qué puede entrar y qué no. La radiotelevisión pública neerlandesa NOS lo trató en junio de 2026: en las organizaciones sin acuerdos claros, los empleados usan ChatGPT por su cuenta y le meten datos con información personal o de la empresa, sin darse cuenta.

La trampa está en las buenas intenciones. El empleado que pega un expediente de cliente en ChatGPT para sacar rápido un resumen limpio solo quiere hacer bien su trabajo. Pero ese expediente, con nombre, dirección, quizá un número de identidad o un dato médico, está ahora en un sistema que tú no gestionas. Y con las versiones gratuitas de muchas herramientas de IA, ese material puede usarse para seguir entrenando el modelo.

Lo que de verdad puede salir mal

No es una historia de terror. Simplemente, ya ha pasado, y cerca también.

• Ayuntamiento de Eindhoven: un muestreo reveló que en un solo mes los empleados habían subido más de mil documentos con datos personales a herramientas de IA externas, números de identidad, datos asistenciales, información financiera sensible. Eso provocó una fuga de datos, notificada a la autoridad neerlandesa de protección de datos.
• Amazon: tras descubrir que información interna se filtraba a través de un modelo de IA, la tecnológica limitó el uso de IA entre sus empleados. Documentación interna aparecía dentro de ChatGPT.
• Tu empresa: un presupuesto con tus precios más ajustados, una cartera de clientes, un acuerdo aún no anunciado. Pegado una vez en la herramienta equivocada y ya no sabes dónde acaba.

La factura: ¿cuánto te cuesta una fuga de datos?

Una fuga de datos no es solo un problema de privacidad, es un coste. Se suman tres tipos de costes.

• Multas. Si se filtran datos personales, entras bajo la ley de privacidad (RGPD). Debes notificarlo en 72 horas a la autoridad de protección de datos. Las multas llegan hasta 20 millones de euros o el 4 % de tu facturación anual mundial, la cifra más alta de las dos.
• Reparación. Averiguar qué se filtró exactamente, informar a los clientes, asesoría legal, blindar tus sistemas. Eso cuesta tiempo y dinero que no habías presupuestado.
• Confianza. La más difícil de recuperar. Un cliente que se entera de que sus datos se han filtrado se lo piensa dos veces antes de volver a dejarte algo.

¿Está siquiera permitido? Lo que dice la ley

Aquí importan dos normas, y ambas ya están en vigor hoy.

• La ley de privacidad (RGPD): los datos personales no pueden ir sin más a un tercero. Si metes un expediente de cliente en una herramienta de IA gratuita, compartes esos datos con una empresa fuera de tu control. En muchos casos, eso simplemente no está permitido.
• La ley de IA (AI Act): desde febrero de 2025, como empleador estás obligado a garantizar una "alfabetización en IA" suficiente de tu gente, deben saber trabajar con seguridad con la IA. No hacer nada ya no es una opción neutra; choca con una norma que ya está en vigor.

A partir del 2 de agosto de 2026 se suma otra norma: si tus clientes hablan con un chatbot de IA, debes indicarlo con claridad. Si integras IA, más vale dejar bien montado ese aviso desde el principio. De eso hablamos aparte en nuestro artículo sobre el AI Act para la pyme.

Prohibir no funciona. Esto sí.

La tentación de prohibir la IA por completo es grande. Pero no funciona. Tus empleados la usan porque les facilita de verdad el trabajo, si la prohíbes, lo harán en su móvil personal y verás aún menos. El hacker ético con el que habló NOS lo resumió bien: lo mejor que puedes hacer es facilitar algo, para ver también cómo se usa.

Dicho de otro modo: elimina el motivo por el que la gente recurre a escondidas a ChatGPT. Dales una forma segura de hacer el mismo trabajo, dentro de un entorno que tú gestionas.

• Establece acuerdos. Media página basta: qué se puede, qué no, qué información nunca. La gente cumple las reglas que entiende.
• No uses versiones gratuitas para el trabajo. Las versiones de empresa de las herramientas de IA prometen no usar tus datos para entrenar su modelo. Eso es lo mínimo.
• Dale a tu equipo un único lugar seguro. En vez de diez herramientas sueltas que nadie controla: un entorno que tú gestionas y que hace lo que tu equipo necesita.
• Explica el porqué. Un empleado que entiende que un expediente de cliente pegado puede convertirse en una fuga de datos deja de hacerlo. El miedo no funciona, la comprensión sí.

Cómo lo aborda Socialo

Nuestro enfoque no empieza por "prohibir la IA" ni por "implantar IA", sino por la pregunta: ¿qué intenta hacer realmente tu equipo con ChatGPT? A menudo es un puñado de tareas recurrentes, responder preguntas de clientes, redactar correos, resumir documentos, traducir. Justo ese trabajo lo reconstruimos en un montaje que tú mismo gestionas, para que los datos se queden dentro de tu empresa.

Para tu empleado la diferencia es nula: el trabajo sigue yendo más rápido. Para ti la diferencia es enorme: sabes qué entra, tus datos siguen siendo tuyos y cumples las normas de inmediato en vez de apagar fuegos después. El problema primero, la herramienta después, no IA por la IA, sino una solución al motivo por el que tu gente recurre a ella a escondidas ahora.

Lo que ya puedes hacer esta semana

Incluso sin nosotros, hoy puedes reducir el mayor riesgo. Tres pasos.

• Pregunta. Sin acusar, simplemente: "¿usáis ChatGPT para el trabajo, y para qué?" Obtendrás respuestas honestas y sabrás enseguida dónde aprieta.
• Acordad una regla: nunca datos personales ni información confidencial en una herramienta de IA gratuita. Aplicable hoy, gratis, y cubre los mayores riesgos.
• Determina qué tareas delega tu equipo a la IA con más frecuencia. Esa lista es justo la base de un montaje seguro que podrás construir más adelante.