Qué datos puedes meter en ChatGPT y cuáles no (guía para pymes)

En casi todas las empresas donde entro pasa lo mismo: alguien del equipo ya usa ChatGPT desde hace meses, con su cuenta personal y gratuita, y ha pegado ahí correos de clientes, un contrato o la hoja de nóminas para que le ayude a resumirla. Nadie se lo ha prohibido, porque nadie ha hablado del tema. Y cuando por fin se habla, la reacción suele ser prohibirlo todo, que es la otra forma de equivocarse.

La IA se puede usar con datos de la empresa. Lo que hace falta es saber qué versión se usa y qué tipo de dato se le da.

La diferencia que importa: versión personal o versión de empresa

Las herramientas de IA tienen dos familias de versiones.

Las personales (las gratuitas y las de pago para particulares) pueden usar lo que escribes para mejorar sus modelos, según lo que hayas aceptado o lo que tengas activado en la configuración. Además, la cuenta es de la persona, no de la empresa: si mañana se va, se lleva el historial.

Las de empresa (ChatGPT para equipos, Claude para equipos, Copilot con la cuenta de trabajo de Microsoft 365, Gemini dentro de Google Workspace) se contratan a nombre de la empresa y el proveedor se compromete por contrato a no usar tus datos para entrenar. Además, la empresa controla quién tiene acceso y puede cerrar una cuenta cuando alguien se va.

Si en tu empresa la IA ya se usa a diario, el primer paso no es una formación ni una política: es pasar a una versión de empresa. Es barato comparado con lo que protege.

Qué no meter nunca, ni en la versión de empresa

Hay datos que no deberían salir de tus sistemas aunque el proveedor prometa todo lo prometible:

Contraseñas, claves y accesos. Nunca. Ni para que te ayude a «ordenar» una lista.
Datos de salud de clientes o empleados, salvo que la herramienta esté pensada y contratada para eso.
Datos bancarios completos: números de cuenta o de tarjeta.
Documentos bajo secreto profesional en despachos, salvo que la herramienta y el contrato estén revisados para ese uso.

Qué sí se puede, con cabeza

Con una versión de empresa bien configurada se puede trabajar con la mayoría de documentos del día a día: correos, presupuestos, contratos para resumir, actas, facturas de proveedores. Y cuando hay datos personales de clientes, hay un truco que funciona casi siempre: quitarlos antes. Para que la IA te ayude a responder a una reclamación no necesita el nombre, el DNI ni la dirección del cliente. Necesita el problema.

Un ejemplo: en vez de pegar el correo entero de una clienta con su nombre y su número de pedido, se pega «una clienta dice que el pedido llegó con una pieza rota y pide la devolución; quiero contestar amable, ofrecer cambio o devolución, y explicar el plazo». La respuesta es igual de buena y no ha salido ningún dato personal.

La regla de las tres preguntas

Esta es la regla que doy a los equipos cuando hago la formación, porque cabe en un pósit:

¿Estoy en la cuenta de la empresa? Si no, solo cosas que publicarías en tu web.
¿Hay datos de una persona concreta? Si los hay, quítalos o cámbialos por algo genérico.
¿Me importaría que esto apareciera en un periódico? Si la respuesta es sí, no lo pegues.

Y la protección de datos

Cuando una herramienta de IA trata datos personales de tus clientes, el proveedor pasa a ser un encargado del tratamiento, igual que lo es tu gestoría o tu proveedor de correo. Eso significa revisar el contrato de tratamiento de datos que ofrece, dónde guarda la información y mencionarlo en tu política de privacidad. No es un trámite raro: es el mismo que ya hiciste con el resto de proveedores. Lo que no conviene es que cada persona del equipo use su propia herramienta sin que la empresa lo sepa.

Esto no es asesoramiento legal: si tu caso tiene datos sensibles, consúltalo con tu asesor de protección de datos.

Por dónde empezar

Tres cosas, en este orden: elegir una herramienta y contratarla a nombre de la empresa, escribir una política de uso de una página que el equipo entienda, y hacer una sesión práctica con los casos reales de cada puesto. Es justo lo que hago en la formación en IA para equipos, y lo que dejo hecho al principio de cualquier proyecto de consultoría de IA.

Si no sabes cuánto se está usando ya la IA en tu empresa, el test de madurez digital te da una primera foto en dos minutos.