Una IA en el trabajo, primero las normas de tu empresa

Lo primero, las normas de tu organización

Una organización puede tener una política de uso de IA que diga qué herramientas se pueden usar, con qué cuenta y con qué tipo de información. Si la tuya la tiene, esa es la regla, por encima de cualquier consejo de esta o de otra guía. Si no la tiene o no sabes si existe, pregunta antes a tu responsable, al departamento de sistemas o a quien se ocupe de la protección de datos, y mientras tanto no pegues nada que no sea tuyo.

La Agencia Española de Protección de Datos lo dice así en su decálogo de recomendaciones para usar herramientas de IA: «Si utilizas las IA en tu trabajo, sigue las políticas de información y seguridad de tu organización y, en particular, no incluyas información que desvele datos confidenciales de tu entidad (como contratos, informes o estrategias) ni de su personal o clientes». En su infografía sobre chatbots recomienda además «no dar datos personales de terceros si hay dudas de que el tratamiento va a trascender el ámbito doméstico».

La propia Agencia se ha dotado de una política interna para el uso de la IA generativa, y su resumen pide informar a los usuarios de «la prohibición de utilizar sistemas IAG no registrados en el inventario corporativo». Es una norma interna de la Agencia y no una obligación general, pero enseña cómo lo plantea un organismo que se dedica a la protección de datos.

Usar una IA por tu cuenta con información del trabajo, aunque sea con buena intención, puede chocar con esas normas y con los compromisos que tu empresa tenga con sus clientes. No es recomendable, y quitar los datos antes de pegar el texto no convierte en autorizado un uso que no lo está.

Qué sale cuando pegas algo del trabajo

Un texto del trabajo lleva más de lo que parece. Los datos de clientes van en nombres, correos, teléfonos, direcciones y números de cuenta o de contrato. Los datos de compañeros aparecen en firmas, en hilos de correo reenviados, en evaluaciones y en cuadrantes. La información interna está en precios, márgenes, contratos, estrategias o incidencias que no se han hecho públicas. En el trabajo técnico, dentro de logs, trazas o ficheros de configuración, viajan claves y tokens que pueden dar acceso a sistemas de la empresa a quien los copie.

Todo eso sale de tu equipo al pulsar enviar y pasa a los servidores del proveedor, con el plazo de conservación y los usos que diga su política. Lo contamos en detalle en la guía sobre qué guarda una IA de los documentos que le subes.

Cuenta personal o cuenta de la empresa

No es lo mismo la cuenta personal que la que contrata la empresa. Para las cuentas de empresa, OpenAI, Anthropic, Google y Microsoft publican compromisos sobre el entrenamiento de sus modelos. OpenAI dice que por defecto no usa las entradas ni las respuestas de ChatGPT Business, Enterprise y Edu ni de su API para mejorar sus modelos. Anthropic afirma que por defecto no usa las de sus productos comerciales, como Claude for Work o su API, para entrenar, aunque puede usarlas si le envías una valoración o un informe de error, o si decides permitírselo. Google indica que Workspace no usa los datos de sus clientes para entrenar modelos sin su permiso o instrucción previos. Microsoft, por su parte, indica que en la versión que contratan las organizaciones, que antes se llamaba Microsoft 365 Copilot y ahora Microsoft Copilot, las consultas, las respuestas y los datos a los que accede Copilot a través de Microsoft Graph no se usan para entrenar modelos básicos. No hay que confundirla con la aplicación Copilot para cuentas personales. Estos compromisos los fija cada proveedor y pueden cambiar en cualquier momento, así que comprueba las condiciones vigentes en sus fuentes originales en el momento de tu consulta.

La cuenta de empresa la administra tu organización, que es quien decide qué herramientas aprueba y con qué condiciones. Con la cuenta personal, en cambio, lo que pegas queda fuera de ese control y sujeto a los ajustes de tu cuenta, y en algunos asistentes puede usarse para entrenar si tienes activada esa opción.

Ni siquiera la cuenta de empresa cambia lo esencial. Lo que pegas sigue saliendo de tu equipo, y que una herramienta esté contratada no significa que esté autorizada para cualquier tipo de dato. Qué datos pueden ir a cada herramienta lo decide tu organización en su política interna.

Si el uso está autorizado, reduce lo que sale

Cuando tu organización permite usar una IA para una tarea, sigue valiendo pegar lo mínimo. No suele hacer falta el documento entero, y basta el párrafo que quieres revisar o el tramo del log alrededor del error. La Agencia sugiere en su decálogo que, para plantear una situación, describas «un caso ficticio» y evites «ofrecer detalles que permitan identificarte». Y cuando la situación involucra a otras personas, lo aconseja con estas palabras: «elimina la información que pueda identificarles».

Para lo que sí tenga que ir, cambia los datos por etiquetas antes de pegar. No hace falta ninguna herramienta concreta, ni siquiera Ofusca. La función de buscar y reemplazar del Bloc de notas, de TextEdit o de cualquier editor de texto basta para cambiar cada nombre por [CLIENTE_1] o cada cuenta por [CUENTA_1]. Paint, Vista Previa o el editor que traiga tu sistema sirven para tapar los datos de una captura con un rectángulo de relleno sólido y guardarla como una imagen nueva en PNG o JPG, que son formatos sin capas, y no como proyecto del editor. Usa sus funciones básicas de edición y no las de IA que traen algunas versiones recientes, que pueden enviar el contenido fuera. Las trampas de un PDF las contamos en la guía sobre tachar datos de un PDF, y las de un log, en la de compartir un log sin filtrar datos personales.

Revisa el resultado antes de enviarlo. Un nombre en una firma, una dirección de correo en un mensaje reenviado o una referencia de cliente en el asunto se escapan con facilidad a una sustitución hecha a mano.