Protección para sobrevivir a los ciberataques
Pegar un correo, un currículum, una reclamación o una tabla de clientes en una IA no es un gesto inocuo. Puede ser un tratamiento de datos personales. Que la herramienta sea conocida o responda en segundos no elimina las obligaciones del RGPD.
Para decidir si puede usarse ChatGPT hay que revisar el plan, la configuración, la finalidad, los datos y los controles de la empresa. La respuesta depende del caso concreto.
Puntos principales
- Trata prompts, archivos, historial, memoria, registros y salidas como parte del flujo de datos.
- No introduzcas datos personales por defecto; aplica necesidad y minimización.
- Revisa el papel del proveedor, las condiciones, la ubicación y los subencargados.
- Anonimizar exige impedir razonablemente la reidentificación, no solo borrar un nombre.
Cuándo hay datos personales en un prompt
Hay datos personales cuando la información se refiere a una persona identificada o identificable. Puede ser evidente (nombre, email o teléfono) o surgir al combinar cargo, empresa, hechos, fechas, ubicación, identificadores y contexto.
Los datos pueden aparecer en la entrada, en un documento adjunto, en el historial, en una base conectada o en la salida. También pueden inferirse: una herramienta podría deducir salud, rendimiento, preferencias o riesgo a partir de información aparentemente neutra.
- Currículums, evaluaciones, entrevistas y expedientes laborales.
- Tickets de soporte, correos, grabaciones y transcripciones.
- Historias clínicas, datos biométricos o información sobre discapacidad.
- Facturas, contratos, reclamaciones e historiales de compra.
- Identificadores técnicos, ubicación, comportamiento y perfiles inferidos.
Seudonimizar no es lo mismo que anonimizar
Sustituir «María García» por «empleada A» puede reducir exposición, pero el resto del texto podría permitir identificarla. Si la empresa conserva la correspondencia o puede reidentificar con información adicional, normalmente se trata de seudonimización y el RGPD sigue siendo aplicable.
Una anonimización efectiva debe impedir razonablemente que la persona sea identificada teniendo en cuenta los medios disponibles. En la práctica, conviene reducir, generalizar o sintetizar la información y comprobar si la tarea puede resolverse sin datos reales.
Empieza con datos sintéticos o sin identificar.
Solo aumenta el nivel de detalle cuando exista una necesidad justificada, una herramienta aprobada y controles adecuados.
Las preguntas RGPD antes de autorizar el uso
- Finalidad concreta y compatibilidad con el origen de los datos.
- Base jurídica y necesidad real del tratamiento.
- Información que debe facilitarse a las personas afectadas.
- Categorías de datos y especial protección cuando corresponda.
- Papel de la empresa, del proveedor y de otros participantes.
- Contrato de encargo, subencargados y transferencias internacionales.
- Plazos de conservación, memoria, entrenamiento y borrado.
- Medidas de seguridad, accesos, registros e incidentes.
- Atención de derechos y capacidad de localizar o suprimir información.
- Necesidad de una evaluación de impacto por alto riesgo para derechos y libertades.
Un semáforo de datos para el uso diario
El semáforo no sustituye al análisis jurídico, pero traduce una política a decisiones rápidas. Cada empresa debe ajustarlo a sus sistemas y contratos.
- Verde: información pública, propia y no sensible; ejemplos inventados; datos sintéticos; instrucciones generales.
- Ámbar: información interna no pública o datos seudonimizados cuyo uso requiere una herramienta y finalidad aprobadas.
- Rojo: categorías especiales, credenciales, secretos, expedientes completos, datos de menores o información de terceros sin autorización específica.
El plan y la configuración importan
Las condiciones pueden variar entre una cuenta gratuita y un entorno empresarial. La organización debe verificar la versión contratada, la configuración de entrenamiento, la retención, los controles administrativos, las integraciones y el acuerdo aplicable.
No es suficiente confiar en una opción visible en la interfaz. Debe existir una decisión interna documentada que explique qué uso se aprueba y bajo qué condiciones, con revisión cuando cambie el proveedor o la funcionalidad.
Qué hacer si ya se han introducido datos sin autorización
- 01
Detén el uso y comunica el hecho por el canal interno sin ocultar información.
- 02
Identifica cuenta, herramienta, fechas, prompts, archivos, personas y datos afectados.
- 03
Conserva la evidencia necesaria y limita accesos o conexiones.
- 04
Comprueba opciones de borrado, retención y contacto con el proveedor.
- 05
Activa privacidad y seguridad para valorar riesgo, documentación y posibles notificaciones.
- 06
Corrige el proceso: herramienta, formación, catálogo, permisos o control que falló.
Cinco reglas que el empleado debe recordar
- Utiliza solo herramientas, cuentas y usos aprobados por la empresa.
- Introduce la mínima información necesaria y evita datos reales cuando puedas.
- No conectes correo, almacenamiento o sistemas sin autorización.
- Revisa la salida y no la conviertas automáticamente en una decisión sobre una persona.
- Pregunta antes de improvisar y comunica cualquier exposición o resultado inesperado.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.