La pregunta més freqüent quan una organització comença a fer servir la IA és molt concreta: puc enganxar això aquí? La resposta depèn de dues coses: el tipus d'informació i el tipus d'eina. Amb una taula clara, la majoria dels dubtes es resolen sense consultar ningú.
Tres tipus d'eina
- Eina d'ús general: un assistent públic o sense contracte amb l'organització, com la versió gratuïta d'un xatbot. No hi ha garanties sobre on es tracten les dades ni sobre si es fan servir per entrenar el model. Només admet informació pública.
- Eina corporativa amb contracte: un assistent contractat, amb comptes corporatius, encàrrec de tractament, compromís de no entrenar amb les dades, tractament a la UE i, en el sector públic, certificació ENS. Per exemple, Microsoft 365 Copilot amb llicència d'empresa. Admet informació interna i, amb condicions, dades personals pseudonimitzades.
- Sistema específic avaluat: un sistema per a un cas d'ús concret que ha passat una avaluació completa (fitxa de registre, avaluació d'impacte si escau, seguretat i autorització). Admet les dades previstes en la seva autorització, incloses dades personals i, si s'ha aprovat, sensibles.
Un matís important: una eina amb contracte que processa les dades fora de la UE suposa una transferència internacional. No admet dades personals sense garanties adequades, avaluació d'impacte i informe del delegat de protecció de dades.
La taula
| Informació | Exemples | Ús general | Corporativa amb contracte | Sistema avaluat |
|---|---|---|---|---|
| Pública | Normativa, informació publicada, notes de premsa, dades obertes | Sí | Sí | Sí |
| Interna | Procediments, inventaris tècnics, esborranys sense dades personals | No | Sí | Sí |
| Dades personals | Clients, treballadors, ciutadans amb nom o DNI | No | Només pseudonimitzades i si l'ús està autoritzat | Sí, si està previst i avaluat |
| Categories especials | Salut, menors, víctimes, expedients sancionadors | No | No | Només amb avaluació d'impacte i informe favorable del DPD |
| Confidencial o protegida | Ofertes en licitació, plànols de seguretat, contrasenyes, informes jurídics reservats | No | No | No, tret d'autorització específica |
Regla pràctica: si no enviaries aquesta informació per correu a una persona externa, no la posis en una eina no corporativa.
Exemples ràpids
- Resumir una normativa publicada amb un assistent d'ús general: sí.
- Enganxar el full de manteniment de les instal·lacions per preparar un informe: només a l'eina corporativa.
- Enganxar un llistat de clients per buscar duplicats: no, tret que sigui en un sistema avaluat per a aquesta finalitat.
- Demanar un informe a partir de l'expedient de salut d'un treballador: no, tret que sigui en un sistema avaluat amb avaluació d'impacte.
- Pujar les ofertes rebudes en una licitació per comparar-les: no. Són confidencials i, a més, la valoració correspon a la mesa de contractació.
Normes bàsiques per a qui fa servir la IA
- Fer servir la IA com a suport, mai per substituir el criteri professional ni la signatura.
- Fer servir només eines autoritzades, amb comptes corporatius i dispositius de l'organització.
- No introduir mai credencials ni contrasenyes.
- No enviar ni signar res generat amb IA sense haver-ho llegit sencer.
- Tenir la formació bàsica abans de fer-la servir.
- Comunicar immediatament qualsevol incidència o possible fuita de dades.
Com verificar el que retorna la IA
- Comprovar dades, xifres, dates, noms i referències normatives amb la font original: la IA pot inventar articles o sentències.
- Revisar que no s'hi hagin colat dades personals que no hi haurien de ser, preses d'un altre document.
- Desconfiar de les respostes molt segures sobre coses que l'eina no pot saber: dades internes que no se li han donat o normativa molt recent.
- Indicar, quan escaigui, que un document s'ha elaborat amb el suport de la IA.
- Comunicar qualsevol resposta errònia, esbiaixada o ofensiva.
Què fer si alguna cosa surt malament
Si una eina mostra dades d'una altra persona, algú introdueix informació confidencial on no havia de fer-ho o la IA segueix instruccions amagades en un document:
- Aturar-se: deixar de fer-la servir per a aquesta tasca i no reenviar el resultat.
- Conservar les evidències: captura, pregunta, resposta, eina, data i hora.
- Comunicar-ho immediatament al canal d'incidències.
- Avisar el responsable si el resultat ja ha arribat a un client, a un ciutadà o a un expedient.
Els responsables valoren la gravetat, contenen el problema i notifiquen quan és obligatori: una bretxa de dades personals amb risc s'ha de comunicar a l'AEPD en un màxim de 72 hores.
Preguntes que es fa el personal
Puc connectar l'assistent corporatiu a una carpeta amb informació confidencial? Per defecte, no. A més, en eines com Microsoft 365 Copilot no cal «connectar» res: ja poden llegir tot el que la persona veu. Si tens accés a ofertes en curs, informes jurídics reservats o plànols de seguretat, demana que es protegeixin amb etiquetes de confidencialitat o que s'excloguin de la cerca, i no demanis resums a partir d'aquests documents.
Puc demanar que em resumeixi un expedient amb dades d'una persona? Amb una eina d'ús general, no. Amb la corporativa, només si aquest ús està autoritzat i amb les dades imprescindibles. Si hi ha salut, menors o serveis socials, només en un sistema avaluat per a aquesta finalitat.
Puc fer servir un xatbot gratuït des del mòbil per redactar un informe? No. Les normes exigeixen eines autoritzades, comptes corporatius i dispositius de l'organització. Si l'informe només fa servir informació pública, utilitza l'eina d'ús general autoritzada des del teu equip de treball.
Pot la IA respondre directament una reclamació? No de manera directa. Pot preparar un esborrany, però una persona el revisa, el corregeix i el signa, perquè la resposta té efectes per a qui reclama.
Puc enregistrar i resumir amb IA una reunió en què es parla de persones? Només amb condicions: avisar a l'inici, fer servir l'eina corporativa, limitar l'accés al resum i fixar-ne la conservació. Si es tracten temes de salut, sancions o avaluacions, millor no enregistrar.
Formació per perfils
Ningú no hauria de fer servir la IA sense una formació bàsica; a més, el Reglament europeu d'IA (RIA) exigeix mesures d'alfabetització. Un pla senzill:
| Perfil | Formació | Durada orientativa | Continguts |
|---|---|---|---|
| Tot el personal | Ús responsable de la IA | 1–2 h | Què és la IA i quins límits té, quina informació s'hi pot introduir, verificació, eines autoritzades, incidències |
| Usuaris d'assistents corporatius | Ús pràctic en el dia a dia | 4 h | Correu, documents, presentacions, reunions, com demanar bé les coses i com verificar |
| Supervisors i responsables | Supervisar sistemes d'IA | 3–4 h | Biaix d'automatització, bancs de proves, incidències, cicle de vida |
| Tècnics, seguretat i protecció de dades | Govern i compliment | 6–8 h | Avaluacions d'impacte, seguretat, agents i permisos, clàusules per als contractes |
Com redactar la vostra pròpia política
- Inventariar les eines que ja es fan servir, autoritzades o no. Sol haver-hi sorpreses.
- Classificar-les en els tres tipus (ús general, corporativa amb contracte, sistema avaluat) i comprovar on processen les dades.
- Adaptar la taula d'aquest article a les vostres categories d'informació i als vostres exemples reals.
- Fixar les normes bàsiques i el canal d'incidències.
- Publicar la llista d'eines autoritzades i el procediment per demanar-ne una de nova.
- Formar abans d'exigir.
- Revisar-la cada any o quan aparegui una eina o una norma rellevant.
Tipus d'incidència que convé reconèixer
- Una resposta errònia amb efectes: un termini, un requisit o un import mal indicat a un client o a un ciutadà.
- Una resposta esbiaixada, discriminatòria o ofensiva.
- Exposició de dades: l'eina mostra dades d'una altra persona, o algú ha introduït informació personal o confidencial on no havia de fer-ho.
- Comportament anòmal: la IA segueix instruccions amagades en un document o executa accions no demanades.
- Ús no autoritzat: una eina que no és a la llista o un ús fora de la finalitat aprovada.
Cada incidència es registra, se n'analitza la causa i es corregeix perquè no es repeteixi: afegir el cas al banc de proves, ajustar un permís o reforçar la formació.
La taula només funciona amb controls tècnics
Les normes es reforcen amb prevenció de fuita de dades, bloqueig d'eines no autoritzades i etiquetes de confidencialitat. Si desplegareu Copilot, reviseu també com preparar l'organització abans d'activar-lo.
A Bidatia ajudem a redactar i implantar polítiques d'ús de la IA adaptades a cada organització, amb els seus controls tècnics i la seva formació.
Preguntes freqüents
Puc fer servir ChatGPT gratuït amb informació de l'empresa?
Només amb informació pública. Les versions gratuïtes o amb compte personal no ofereixen garanties sobre on es desen les dades ni sobre si es fan servir per entrenar el model.
Puc posar dades personals a Copilot corporatiu?
Només si l'ús està autoritzat, amb les dades imprescindibles i preferiblement pseudonimitzades. Les dades de salut, de menors o d'altres categories especials requereixen un sistema avaluat específicament.
Què passa si algú enganxa informació confidencial en una IA pública?
És una incidència: cal comunicar-la immediatament, conservar les evidències i que els responsables valorin si és una bretxa de dades personals que s'ha de notificar a l'AEPD en 72 hores.
Cal indicar que un document s'ha fet amb IA?
Quan escaigui, sí. I el Reglament europeu d'IA (RIA) obliga a indicar-ho en textos informatius d'interès públic generats amb IA, tret que hagin passat per una revisió humana amb responsabilitat editorial.
N'hi ha prou amb una política escrita?
No. Funciona quan s'acompanya de formació i de controls tècnics: prevenció de fuita de dades, bloqueig d'eines no autoritzades i etiquetes de confidencialitat.