Imagen generada con IA
Imagina un caso hipotético: la responsable de ventas de una asesoría abre el navegador y entra en ChatGPT. Necesita redactar un correo de seguimiento para un cliente importante. Para que suene personal, escribe el nombre del cliente, el nombre de su empresa y el motivo de la consulta. El correo queda perfecto. La responsable no sabe que acaba de crear un problema RGPD para su empresa.
El 82% de los empleados españoles que usan IA ha recurrido alguna vez a herramientas que su empresa no le proporciona, sin informar de ello, según el estudio de Cegid y OpinionWay que recoge Revista Byte (1-sep-2026).
El 97% de las pymes españolas ya usa IA y el 39% no tiene una política formal de uso, según un estudio de 3Gem por encargo de OpenAI con 1.000 responsables de pymes que recoge La Ecuación Digital (20-sep-2026). Eso es una buena noticia para la productividad. Es una noticia peligrosa para el cumplimiento normativo.
¿Cuántos empleados de tu empresa usan IA hoy?
La respuesta correcta no es "ninguno". La respuesta correcta es "no lo sé". El 82% de los empleados que usan IA en España ha usado alguna vez herramientas que su empresa no le da, sin informar de ello (Revista Byte, 1-sep-2026). En las pymes, el 70% de los responsables reconoce que sus empleados usan herramientas de IA por iniciativa propia, y el 73% usa ChatGPT (La Ecuación Digital, 20-sep-2026).
Pregunta a tu equipo esta semana. Vas a descubrir cosas que no esperabas.
¿Qué ocurre cuando un empleado pega datos de clientes en ChatGPT gratuito?
Tu empresa tiene un problema con el RGPD (Reglamento General de Protección de Datos). Introducir datos de clientes en una herramienta que no ha contratado la empresa supone comunicarlos a un tercero sin base legal (artículo 6 del RGPD) y sin informar al cliente (artículo 13). Cuando un proveedor trata datos por encargo de la empresa, el artículo 28 exige un contrato por escrito. Ese contrato se llama acuerdo de encargado del tratamiento o, en inglés, DPA (Data Processing Agreement). El texto del RGPD está en EUR-Lex.
ChatGPT en su plan gratuito —el que se abre en chatgpt.com con una cuenta personal— no incluye ese contrato: en ese plan, OpenAI no trata los datos por encargo de tu empresa. Las conversaciones del plan gratuito pueden usarse para entrenar los modelos de OpenAI, salvo que el usuario desactive esa opción en los controles de datos de su cuenta (ayuda de OpenAI).
El problema concreto: cuando tu empleada escribe el nombre y los datos del cliente en ChatGPT gratuito, comunica datos personales a un tercero sin base legal y sin que el cliente lo sepa. Tu empresa no tiene control sobre qué hace OpenAI con esa información.
La alternativa segura: los planes de empresa de OpenAI son ChatGPT Business y ChatGPT Enterprise. Para esos planes, OpenAI publica en su portal de confianza un acuerdo de encargado del tratamiento (DPA) que la empresa puede suscribir (consultado el 6-oct-2026). Si tu equipo necesita usar ChatGPT con datos de clientes, contrata uno de esos planes y firma el acuerdo antes de empezar.
Los planes personales y gratuitos están pensados para uso individual. No son adecuados para introducir datos de terceros en un contexto profesional.
¿Son de tu empresa los textos que genera Copilot?
Microsoft Copilot tiene varias versiones, y la protección legal sobre los contenidos generados no es igual en todas ellas.
Los Copilot comerciales de pago, como Microsoft 365 Copilot y GitHub Copilot, están cubiertos por el compromiso que Microsoft llama Customer Copyright Commitment. Si un tercero demanda a tu empresa por infringir sus derechos de autor con un contenido generado por esos Copilot, Microsoft asume la defensa. La cobertura tiene dos límites: solo vale frente a reclamaciones de derechos de autor, y exige que la empresa use los filtros y sistemas de seguridad que trae el producto y no intente generar contenido que infrinja derechos (anuncio de Microsoft, 7-sep-2023; requisitos actuales, consultados el 6-oct-2026).
El Copilot gratuito y el Copilot personal no están cubiertos: el compromiso se limita a los servicios comerciales de pago. Si tu equipo usa una de esas versiones y genera textos para clientes, tu empresa no tiene esa protección.
La norma práctica es esta: antes de publicar o enviar un texto generado con IA, una persona de tu equipo lo revisa y asume la responsabilidad editorial. Eso te protege tanto legalmente como en términos de reputación con el cliente.
¿Quién responde cuando la IA se equivoca?
Los modelos de lenguaje cometen errores. Inventan datos, confunden fechas y, en ocasiones, mezclan información de dos clientes distintos. Cuando un empleado actúa sobre esa información sin verificarla, el problema pasa del modelo a tu empresa.
Un ejemplo hipotético: una clínica dental pequeña usa un agente de IA para gestionar citas y recordatorios. El agente confunde dos pacientes con el mismo apellido y envía a uno la información del historial del otro. El error está en el proceso de configuración del agente, no en el modelo en sí. El modelo hizo lo que pudo con los datos que tenía mal clasificados.
La responsabilidad recae sobre la clínica. El RGPD no admite "fue la IA" como argumento de defensa.
Antes de delegar una tarea en una herramienta de IA, define quién verifica el resultado antes de que ese resultado llegue a un cliente o afecte a una decisión relevante.
Las 5 preguntas para saber si ya tienes exposición hoy
Estas cinco preguntas no requieren saber nada de tecnología. Requieren saber cómo trabaja tu equipo.
-
¿Tienes escrito qué herramientas de IA pueden usar tus empleados? Si no hay nada por escrito, cada empleado decide solo. Eso no es una política de empresa; es un vacío con consecuencias.
-
¿Tiene tu empresa contratada cada herramienta en la que se introducen datos de clientes, con un contrato de encargado del tratamiento por escrito? Si tu equipo usa ChatGPT gratuito, Gemini personal o cualquier herramienta en plan individual, la respuesta es no: introducir datos de clientes ahí supone comunicarlos a un tercero sin base legal. Cuando un proveedor trata datos por encargo, el artículo 28 del RGPD exige ese contrato por escrito, el DPA.
-
¿Sabe tu equipo qué datos no pueden introducir en herramientas externas? Nombres de clientes, correos electrónicos, números de teléfono, datos de salud, datos bancarios: todos son datos personales. Sin una lista clara de qué no se puede compartir, alguien los va a compartir.
-
¿Hay alguien que revisa los resultados de la IA antes de que lleguen a un cliente? Un correo generado por IA que sale sin revisión humana lleva la responsabilidad de quien lo envía.
-
¿Tiene tu equipo formación básica sobre uso responsable de IA? El artículo 4 del Reglamento europeo de IA obliga, desde el 2 de febrero de 2025, a que las empresas que usan sistemas de IA adopten medidas para apoyar la alfabetización en IA de su personal. Desde el 27 de julio de 2026 el texto aclara que la empresa no tiene que garantizar un nivel concreto de cada persona (Reglamento UE 2026/1744). No hace falta un máster. Basta con saber qué herramientas están aprobadas, qué datos no se comparten y a quién preguntar cuando hay dudas.
Cada "no" es un punto de exposición.
¿Qué puedes hacer esta semana?
No necesitas contratar a nadie antes de actuar. Estos cuatro pasos los puedes ejecutar tú esta semana:
Paso 1: Haz la lista de herramientas IA que usa tu equipo. Pregunta directamente. No asumas que nadie las usa. Pide que incluyan las que usan desde su móvil personal para tareas del trabajo.
Paso 2: Clasifica cada herramienta. Para cada una: ¿está permitido introducir datos de clientes? Si la empresa no ha contratado la herramienta, la respuesta es no. Si el proveedor trata los datos por encargo de la empresa, hace falta además el contrato por escrito que exige el artículo 28 del RGPD.
Paso 3: Escribe una política de una página. Tres secciones: herramientas aprobadas, qué datos nunca se introducen en ninguna herramienta de IA, y a quién preguntar cuando haya dudas. Una página es suficiente para empezar.
Paso 4: Envíala por email a todo el equipo y guarda el hilo. El envío por escrito es la prueba de que la empresa tomó medidas. Si la AEPD (Agencia Española de Protección de Datos) abre un expediente, las medidas que hayas tomado cuentan al graduar una posible sanción (artículo 83.2 del RGPD).
Si quieres que revisemos qué herramientas usa tu equipo y preparemos una política de uso de IA adaptada a tu actividad, pídenos presupuesto.
El artículo sobre la obligación de informar a tus trabajadores cuando usas IA en decisiones de RRHH cubre el caso opuesto: lo que la empresa tiene que comunicar a los empleados cuando la empresa usa la IA para tomar decisiones sobre ellos.
Para la parte de formación, el artículo sobre formación en IA para empleados según el AI Act explica qué obliga la ley y cómo bonificarlo con FUNDAE.
En resumen
El 82% de los empleados españoles que usan IA ha usado alguna vez herramientas que su empresa no le da, sin informar. Sin una política escrita y sin los contratos correctos con los proveedores de IA, tu empresa ya tiene exposición legal hoy. La solución no es prohibir el uso de IA: es ordenarlo con cuatro pasos esta semana.