Tu personal usa ChatGPT, ¿es eso una fuga de datos?

Ahora mismo, en algún lugar de tu empresa, alguien está pegando un correo de un cliente en ChatGPT para convertirlo en una respuesta pulida. O un presupuesto. O una lista de nombres y teléfonos que hay que ‚ordenar rápido‘. Cómodo, rápido, y justo el tipo de acción sobre la que advierte la autoridad neerlandesa de protección de datos. Porque en cuanto datos personales acaban en un chatbot de IA, eso puede ser una fuga de datos. Una que debes notificar en 72 horas. Tu personal lleva mucho usando ChatGPT, la pregunta es si sabes qué meten en él.

Shadow AI: tu gente usa IA y no sabes para qué

Tiene un nombre: shadow AI. Los empleados usan herramientas de IA, ChatGPT, Copilot, Gemini, webs de traducción gratuitas, sin que haya acuerdos al respecto. No por mala intención. Solo quieren trabajar más rápido. Pero como nadie tiene la visión de conjunto, no sabes qué información de la empresa sale del edificio.

Esa brecha entre usarla y saber-lo-que-haces es el problema. Tres cuartas partes de tu gente trabaja con IA. Uno de cada siete ha aprendido a hacerlo con seguridad. El resto adivina, y, en el peor caso, pega datos sensibles de clientes en una herramienta sin saber adónde van esos datos.

Por qué ‚solo ChatGPT‘ puede ser una fuga

La autoridad neerlandesa de protección de datos (AP), el regulador nacional de privacidad, ha emitido una advertencia clara al respecto. Recibió varias notificaciones de fugas causadas por el uso de chatbots de IA. El ejemplo más conocido: un empleado de un consultorio médico introdujo datos médicos de pacientes en un chatbot. La empresa detrás del chatbot puede almacenar y reutilizar lo introducido, y ahí ya has perdido el control.

No hace falta ser médico para correr el mismo riesgo. Un nombre, un teléfono, una dirección de cliente, un expediente de personal, un correo con una queja, todo eso son datos personales. En cuanto acaban en un chatbot de IA sin que sepas qué pasa con ellos, eso puede ser una fuga según el RGPD. Y una fuga con datos personales debe notificarse al regulador en 72 horas. Si no lo haces, eso solo ya puede acarrear una multa.

Lo que tu gente probablemente ya está introduciendo

No preguntes directamente a tu equipo, casi nadie dice ‚sí, pego datos de clientes en ChatGPT‘. Pero mira con honestidad lo que pasa cada día:

• Correos de clientes ‚reescritos rapidito‘, con nombre, número de pedido y a veces una queja sobre una persona
• Presupuestos y facturas pegados como ejemplo para generar uno nuevo
• Listas de nombres, correos o teléfonos que hay que ‚ordenar o limpiar‘
• Candidaturas y CV resumidos o evaluados por la IA
• Actas y notas de reuniones con nombres de clientes, proveedores o personal
• Fragmentos de tu contabilidad o tu sistema de clientes entregados como contexto

Cada una, una acción lógica y bienintencionada. Y cada una, una posible fuga si la herramienta no está configurada de forma segura.

El doble riesgo: no solo el RGPD

Desde el 2 de febrero de 2025 hay algo más. La ley europea de IA (la AI Act) obliga a toda empresa que use IA a garantizar que su personal sea ‚competente en IA‘, necesitan conocimientos básicos de lo que la herramienta puede y no puede hacer con seguridad. Es el artículo 4. Así que un empleado que pega datos de clientes en un chatbot es dos cosas a la vez: una posible fuga RGPD y una señal de que no cumples ese requisito de competencia en IA.

Así que no disminuye. Donde el año pasado era ‚alguien le pregunta algo a ChatGPT‘, ahora funcionan cada vez más herramientas que envían correos, agendan citas o procesan archivos por su cuenta. Si no tienes visión de eso, el riesgo crece semana a semana.

¿ChatGPT está siquiera permitido con el RGPD?

Sí, ChatGPT no está prohibido. No se trata de la herramienta, sino de lo que metes en ella. ¿Pedirle a ChatGPT que escriba un blog o desarrolle una idea sin datos personales? Ningún problema. ¿Pegar un fichero de clientes o un correo con nombres? Ahí empieza el riesgo. El límite es simple: si entra información con la que se puede identificar a una persona, no tiene cabida en una herramienta de IA abierta. Esa sola regla evita la gran mayoría de los problemas.

Prohibir no funciona, lo empeora

El primer reflejo de muchos empresarios: ‚¿ChatGPT en el trabajo? Prohibido.‘ Comprensible, pero es contraproducente. Tu gente lo usa porque les facilita el trabajo. Si lo prohíbes, no dejan de hacerlo, solo lo hacen a escondidas, en su propio móvil, fuera de toda vista. Así haces el problema invisible en lugar de menor. La solución no es menos IA, sino una IA en la que sí puedas confiar.

Lo que sí funciona, en 4 pasos

• Hazlo conversable. Pregunta, sin reproches, qué herramientas usa tu equipo y para qué. Te asustará cuánto funciona ya. Este es además el primer paso de la competencia en IA que pide la ley.
• Acuerda qué nunca puede entrar en una herramienta de IA abierta. Una regla simple que todos entiendan: ni nombres, ni datos de clientes, ni expedientes de personal en ChatGPT o una web de traducción gratuita. Ponlo en una página.
• Ofrece una alternativa segura. Esto es la clave: mientras no haya una herramienta buena y segura, la gente sigue usando la insegura. Asegura una versión de la que los datos de la empresa no se filtren.
• Mantenlo vivo. Haz a una persona responsable, repásalo brevemente una vez por trimestre y ajusta los acuerdos cuando aparezcan nuevas herramientas.

La solución real: tu propia versión segura

Una lista de reglas no detiene a nadie bajo presión. Lo que funciona es una herramienta de IA tan fácil como ChatGPT, pero configurada para tu empresa, conectada a tus propios sistemas de modo que los datos de clientes se queden en casa. Tu gente obtiene la rapidez que pide y tú mantienes el control de adónde van los datos.

No tiene por qué ser un proyecto grande y caro. A menudo empieza con las dos o tres acciones para las que tu equipo recurre más a la IA, responder correos, redactar presupuestos, limpiar listas, y construyes una versión segura para eso. El resto llega solo en cuanto la gente ve que funciona y que está permitido.

Cómo lo aborda Socialo

Empiezo con una conversación inicial gratuita. Hablamos de qué tareas llevan tiempo, qué sistemas usas y dónde podría ayudar la automatización. Después recibes una propuesta con oportunidades de automatización, conexiones, plazos y costes.

El shadow AI no es un problema del futuro. Tu personal usa IA ahora, cada día, a menudo con datos que no deberían salir del edificio. La buena noticia: no tienes que prohibirlo ni contratar a un abogado. Solo tienes que hacerlo visible y ofrecer una alternativa segura. Resuélvelo ahora y irás por delante, en vez de correr detrás de los hechos con una notificación de fuga en la mano.