La pregunta más frecuente cuando una organización empieza a usar IA es muy concreta: ¿puedo pegar esto aquí? La respuesta depende de dos cosas: el tipo de información y el tipo de herramienta. Con una tabla clara, la mayoría de las dudas se resuelven sin consultar a nadie.
Tres tipos de herramienta
- Herramienta de uso general: un asistente público o sin contrato con la organización, como la versión gratuita de un chatbot. No hay garantías sobre dónde se tratan los datos ni sobre si se usan para entrenar el modelo. Solo admite información pública.
- Herramienta corporativa con contrato: un asistente contratado, con cuentas corporativas, encargo de tratamiento, compromiso de no entrenar con los datos, tratamiento en la UE y, en el sector público, certificación ENS. Por ejemplo, Microsoft 365 Copilot con licencia de empresa. Admite información interna y, con condiciones, datos personales seudonimizados.
- Sistema específico evaluado: un sistema para un caso de uso concreto que ha pasado una evaluación completa (ficha de registro, evaluación de impacto si procede, seguridad y autorización). Admite los datos previstos en su autorización, incluidos datos personales y, si se ha aprobado, sensibles.
Un matiz importante: una herramienta con contrato que procesa los datos fuera de la UE supone una transferencia internacional. No admite datos personales sin garantías adecuadas, evaluación de impacto e informe del delegado de protección de datos.
La tabla
| Información | Ejemplos | Uso general | Corporativa con contrato | Sistema evaluado |
|---|---|---|---|---|
| Pública | Normativa, información publicada, notas de prensa, datos abiertos | Sí | Sí | Sí |
| Interna | Procedimientos, inventarios técnicos, borradores sin datos personales | No | Sí | Sí |
| Datos personales | Clientes, empleados, ciudadanos con nombre o DNI | No | Solo seudonimizados y si el uso está autorizado | Sí, si está previsto y evaluado |
| Categorías especiales | Salud, menores, víctimas, expedientes sancionadores | No | No | Solo con evaluación de impacto e informe favorable del DPD |
| Confidencial o protegida | Ofertas en licitación, planos de seguridad, contraseñas, informes jurídicos reservados | No | No | No, salvo autorización específica |
Regla práctica: si no enviarías esa información por correo a una persona externa, no la metas en una herramienta no corporativa.
Ejemplos rápidos
- Resumir una normativa publicada con un asistente de uso general: sí.
- Pegar la hoja de mantenimiento de las instalaciones para preparar un informe: solo en la herramienta corporativa.
- Pegar un listado de clientes para buscar duplicados: no, salvo en un sistema evaluado para ese fin.
- Pedir un informe a partir del expediente de salud de un empleado: no, salvo en un sistema evaluado con evaluación de impacto.
- Subir las ofertas recibidas en una licitación para compararlas: no. Son confidenciales y, además, la valoración corresponde a la mesa de contratación.
Normas básicas para quien usa IA
- Usar la IA como apoyo, nunca para sustituir el criterio profesional ni la firma.
- Usar solo herramientas autorizadas, con cuentas corporativas y dispositivos de la organización.
- No introducir nunca credenciales ni contraseñas.
- No enviar ni firmar nada generado con IA sin haberlo leído completo.
- Tener la formación básica antes de usarla.
- Comunicar de inmediato cualquier incidencia o posible fuga de datos.
Cómo verificar lo que devuelve la IA
- Comprobar datos, cifras, fechas, nombres y referencias normativas contra la fuente original: la IA puede inventar artículos o sentencias.
- Revisar que no se hayan colado datos personales que no deberían estar, tomados de otro documento.
- Desconfiar de las respuestas muy seguras sobre cosas que la herramienta no puede saber: datos internos que no se le han dado o normativa muy reciente.
- Indicar, cuando proceda, que un documento se ha elaborado con apoyo de IA.
- Comunicar cualquier respuesta errónea, sesgada u ofensiva.
Qué hacer si algo sale mal
Si una herramienta muestra datos de otra persona, alguien introduce información confidencial donde no debía o la IA sigue instrucciones ocultas en un documento:
- Parar: dejar de usarla para esa tarea y no reenviar el resultado.
- Conservar las evidencias: captura, pregunta, respuesta, herramienta, fecha y hora.
- Comunicarlo de inmediato al canal de incidencias.
- Avisar al responsable si el resultado ya ha llegado a un cliente, a un ciudadano o a un expediente.
Los responsables valoran la gravedad, contienen el problema y notifican cuando es obligatorio: una brecha de datos personales con riesgo se comunica a la AEPD en un máximo de 72 horas.
Preguntas que se hace el personal
¿Puedo conectar el asistente corporativo a una carpeta con información confidencial? Por defecto, no. Además, en herramientas como Microsoft 365 Copilot no hace falta «conectar» nada: ya pueden leer todo lo que la persona ve. Si tienes acceso a ofertas en curso, informes jurídicos reservados o planos de seguridad, pide que se protejan con etiquetas de confidencialidad o se excluyan de la búsqueda, y no pidas resúmenes a partir de esos documentos.
¿Puedo pedir que me resuma un expediente con datos de una persona? Con una herramienta de uso general, no. Con la corporativa, solo si ese uso está autorizado y con los datos imprescindibles. Si hay salud, menores o servicios sociales, solo en un sistema evaluado para ello.
¿Puedo usar un chatbot gratuito desde mi móvil para redactar un informe? No. Las normas exigen herramientas autorizadas, cuentas corporativas y dispositivos de la organización. Si el informe solo usa información pública, usa la herramienta de uso general autorizada desde tu equipo de trabajo.
¿Puede la IA contestar directamente a una reclamación? No de forma directa. Puede preparar un borrador, pero una persona lo revisa, lo corrige y lo firma, porque la respuesta tiene efectos para quien reclama.
¿Puedo grabar y resumir con IA una reunión en la que se habla de personas? Solo con condiciones: avisar al inicio, usar la herramienta corporativa, limitar el acceso al resumen y fijar su conservación. Si se tratan salud, sanciones o evaluaciones, mejor no grabar.
Formación por perfiles
Nadie debería usar IA sin una formación básica; además, el Reglamento Europeo de IA exige medidas de alfabetización. Un plan sencillo:
| Perfil | Formación | Duración orientativa | Contenidos |
|---|---|---|---|
| Todo el personal | Uso responsable de la IA | 1–2 h | Qué es la IA y sus límites, qué información se puede introducir, verificación, herramientas autorizadas, incidencias |
| Usuarios de asistentes corporativos | Uso práctico en el día a día | 4 h | Correo, documentos, presentaciones, reuniones, cómo pedir bien las cosas y cómo verificar |
| Supervisores y responsables | Supervisar sistemas de IA | 3–4 h | Sesgo de automatización, bancos de pruebas, incidencias, ciclo de vida |
| Técnicos, seguridad y protección de datos | Gobierno y cumplimiento | 6–8 h | Evaluaciones de impacto, seguridad, agentes y permisos, cláusulas para los contratos |
Cómo redactar vuestra propia política
- Inventariar las herramientas que ya se usan, autorizadas o no. Suele haber sorpresas.
- Clasificarlas en los tres tipos (uso general, corporativa con contrato, sistema evaluado) y comprobar dónde procesan los datos.
- Adaptar la tabla de este artículo a vuestras categorías de información y a vuestros ejemplos reales.
- Fijar las normas básicas y el canal de incidencias.
- Publicar la lista de herramientas autorizadas y el procedimiento para pedir una nueva.
- Formar antes de exigir.
- Revisarla cada año o cuando aparezca una herramienta o una norma relevante.
Tipos de incidencia que conviene reconocer
- Una respuesta errónea con efectos: un plazo, un requisito o un importe mal indicado a un cliente o a un ciudadano.
- Una respuesta sesgada, discriminatoria u ofensiva.
- Exposición de datos: la herramienta muestra datos de otra persona, o alguien ha introducido información personal o confidencial donde no debía.
- Comportamiento anómalo: la IA sigue instrucciones ocultas en un documento o ejecuta acciones no pedidas.
- Uso no autorizado: una herramienta que no está en la lista o un uso fuera de la finalidad aprobada.
Cada incidencia se registra, se analiza la causa y se corrige para que no se repita: añadir el caso al banco de pruebas, ajustar un permiso o reforzar la formación.
La tabla solo funciona con controles técnicos
Las normas se refuerzan con prevención de fuga de datos, bloqueo de herramientas no autorizadas y etiquetas de confidencialidad. Si vas a desplegar Copilot, revisa también cómo preparar la organización antes de activarlo.
En Bidatia ayudamos a redactar e implantar políticas de uso de IA adaptadas a cada organización, con sus controles técnicos y su formación.
Preguntas frecuentes
¿Puedo usar ChatGPT gratuito con información de la empresa?
Solo con información pública. Las versiones gratuitas o con cuenta personal no ofrecen garantías sobre dónde se guardan los datos ni sobre si se usan para entrenar el modelo.
¿Puedo meter datos personales en Copilot corporativo?
Solo si el uso está autorizado, con los datos imprescindibles y preferiblemente seudonimizados. Los datos de salud, menores u otras categorías especiales requieren un sistema evaluado específicamente.
¿Qué pasa si alguien pega información confidencial en una IA pública?
Es una incidencia: hay que comunicarla de inmediato, conservar las evidencias y que los responsables valoren si es una brecha de datos personales que deba notificarse a la AEPD en 72 horas.
¿Hay que indicar que un documento se ha hecho con IA?
Cuando proceda, sí. Y el Reglamento Europeo de IA obliga a indicarlo en textos informativos de interés público generados con IA, salvo que hayan pasado por revisión humana con responsabilidad editorial.
¿Basta con una política escrita?
No. Funciona cuando se acompaña de formación y de controles técnicos: prevención de fuga de datos, bloqueo de herramientas no autorizadas y etiquetas de confidencialidad.