IA y confidencialidad en la empresa: ¿qué herramienta usar con los datos de su organización?

Para usar la IA sin exponer los datos de su empresa, elija una herramienta cuyo plan excluya el entrenamiento con sus contenidos e indique cuánto tiempo se conservan los datos y dónde se alojan, y limite lo que envía. Un plan profesional respaldado por un contrato, unos ajustes bien configurados y unas pocas reglas internas protegen mucho más que una suscripción individual elegida al azar.

Este artículo ofrece información general actualizada a 22 de octubre de 2026. No sustituye la opinión de su delegado de protección de datos (DPD) ni la de un abogado ante una situación concreta.

Por qué la confidencialidad importa con la IA

Cuando un empleado pega un contrato, una hoja de clientes o un acta de reunión en un asistente de IA, ese texto sale de la empresa y llega a los servidores del proveedor. Cuatro preguntas determinan el nivel de riesgo.

1. Entrenamiento. ¿Pueden sus conversaciones convertirse en datos de entrenamiento de futuros modelos? Si es así, una información confidencial podría, en teoría, influir en respuestas dadas a otras personas.
2. Conservación. ¿Cuánto tiempo se guardan las conversaciones y pueden revisarlas personas del proveedor?
3. Ubicación. ¿En qué país se almacenan y procesan los datos? Eso cambia la ley aplicable y las posibles transferencias fuera de la Unión Europea.
4. Acceso. ¿Quién, dentro de su empresa y en el proveedor, puede ver esos datos? Una cuenta personal escapa a cualquier control de la organización.

El riesgo más frecuente no es un ataque espectacular. Es la llamada « shadow AI »: empleados que usan su cuenta gratuita porque no existe una herramienta oficial.

Qué dice el marco legal: RGPD y AEPD

En cuanto hay información sobre personas (clientes, candidatos, empleados, pacientes), se aplica el RGPD. El Reglamento (UE) 2016/679 se aplica desde el 25 de mayo de 2018 en toda la Unión Europea, también a los proveedores estadounidenses o chinos que ofrecen sus servicios a personas situadas en Europa. En América Latina rigen las leyes de protección de datos de cada país, con sus propias autoridades.

En la práctica, la organización que decide usar una herramienta de IA sigue siendo responsable del uso que hace de los datos. Principios básicos: una finalidad clara, los datos mínimos necesarios, la seguridad, la información a las personas afectadas y un contrato de encargado del tratamiento cuando el proveedor trata datos personales por cuenta de usted. El Reglamento europeo de IA se suma al RGPD sin sustituirlo.

Planes personales o planes profesionales: la verdadera diferencia

La frontera clave no separa lo gratuito de lo de pago, sino los planes individuales de los planes de equipo y de empresa. Esto es lo que indican los proveedores, según las fichas del sitio a 22 de octubre de 2026.

Asistente	Planes individuales	Planes profesionales
ChatGPT	Entrenamiento activado por defecto, se puede rechazar en « Mejorar el modelo para todos »; chats temporales conservados hasta 30 días	Business: sin entrenamiento por defecto; residencia de datos en Europa en Enterprise y Edu
Claude	Entrenamiento desactivable; modo incógnito sin entrenamiento	Team y Enterprise: sin entrenamiento por defecto
Gemini	Con « Conservar actividad » desactivado, chats guardados 72 horas y sin entrenamiento	No detallado en la ficha
Le Chat (Mistral Vibe)	Datos alojados en la UE por defecto; entrenamiento activado en Free, Pro y Student, desactivable	Team y Enterprise: condiciones profesionales distintas
Lumo (Proton)	Sin entrenamiento, cifrado « zero-access », servidores en Europa	No detallado en la ficha
DeepSeek	Datos almacenados en China, según su política de privacidad	Sin plan de pago para el asistente

Dos puntos más interesan a los equipos técnicos. Según GitHub, desde el 24 de abril de 2026 los datos de interacción de las cuentas GitHub Copilot Free, Pro y Pro+ se usan para entrenar, salvo que el usuario lo rechace en los ajustes. Notion indica que no entrena modelos con datos de clientes sin consentimiento explícito, con retención cero en los proveedores de modelos en su plan Enterprise.

Las fichas de Le Chat de Mistral AI y de Lumo de Proton detallan dos opciones europeas. Para comparar las funciones de los asistentes, use el comparador de asistentes de IA.

Elegir según la sensibilidad de los datos

En lugar de buscar « la IA confidencial » perfecta, clasifique sus usos en tres niveles. Cada nivel requiere herramientas y precauciones distintas.

Nivel 1: información pública o sin importancia. Reformular una oferta de empleo ya publicada, buscar ideas de títulos, explicar un concepto. Sirve un asistente para el público general, con el entrenamiento desactivado por costumbre.

Nivel 2: información interna. Actas de reuniones, procedimientos, cifras no publicadas, documentos comerciales. Use un plan profesional aprobado por la organización, con compromiso de no entrenamiento y cuentas gestionadas por la empresa. Elimine lo que la tarea no necesite.

Nivel 3: datos personales sensibles o secretos. Datos de salud, expedientes de recursos humanos, información bancaria, secretos empresariales, código fuente crítico. Aquí la decisión corresponde a la dirección y al DPD. Las opciones van desde un plan empresarial con alojamiento controlado hasta un modelo de pesos abiertos instalado en sus propios servidores, que no envía nada al exterior. A veces, la respuesta correcta es no usar IA para esa tarea.

Póngase a prueba Una compañera quiere que una IA resuma los 40 currículos recibidos para un puesto. ¿Cuál es el enfoque correcto?

Los currículos contienen datos personales: es un nivel 2, incluso 3. Debe usar una herramienta aprobada por la empresa, con un plan que excluya el entrenamiento, y retirar si es posible nombres, datos de contacto y fotos antes de enviarlos. Los candidatos deben haber sido informados de ese tratamiento y la decisión final debe ser humana. El DPD puede confirmar el marco que se debe respetar.

Establecer reglas sencillas en 6 pasos

Una política de uso de la IA no necesita cincuenta páginas. Para una pyme o un equipo, estos seis pasos cubren lo esencial.

1. Hacer inventario. Pregunte, sin sanciones, qué herramientas se usan ya y para qué. Descubrirá a menudo usos útiles que conviene oficializar.
2. Elegir una o dos herramientas oficiales. Compare las condiciones de entrenamiento, conservación, alojamiento y las certificaciones anunciadas, leyendo las páginas oficiales del proveedor y no solo su publicidad.
3. Leer el contrato. Compruebe que existe un contrato de encargado del tratamiento, la lista de subencargados y el lugar del tratamiento. Pida ayuda a su DPD o a un jurista.
4. Configurar las cuentas. Cuentas gestionadas por la empresa, entrenamiento desactivado, conservación lo más corta posible y acceso retirado cuando alguien se marcha.
5. Redactar una política breve. Basta una página: herramientas autorizadas, los tres niveles de datos, lo que está prohibido y a quién preguntar en caso de duda.
6. Formar y revisar. Explique las reglas con ejemplos concretos y revíselas cada seis meses: los planes y los ajustes cambian a menudo.

Para acompañar a las personas, consulte nuestra guía para formar a su equipo en IA. Si trabaja como autónomo o en una empresa muy pequeña, nuestro artículo sobre la IA para autónomos y pymes propone una versión simplificada de estas reglas.

El caso particular de los agentes de IA

Un agente de IA no se limita a responder: lee su correo, abre archivos, se conecta a sus herramientas y actúa. Por tanto, ve muchos más datos que un simple chatbot, y durante más tiempo.

Conviene tomar dos precauciones. Primero, concédale el mínimo acceso: una carpeta concreta en lugar de todo el disco, lectura en lugar de escritura. Segundo, cuidado con la inyección de prompt: una instrucción oculta en una página web o en un documento puede desviar al agente y hacer que envíe información a otro lugar. Exigir una confirmación humana antes de cualquier envío o pago reduce ese riesgo. Nuestros casos de uso de agentes de IA en la empresa muestran dónde aportan realmente valor.

Para situar estas reglas en un enfoque más amplio, nuestra guía práctica de la IA en el trabajo presenta los usos que más tiempo ahorran en el día a día.