Última actualización: septiembre de 2026
Este artículo es informativo y no sustituye el asesoramiento de un abogado especializado en protección de datos. Las obligaciones legales exactas varían según el país y el tipo de datos que manejes confírmalas con un profesional si tienes dudas sobre un caso concreto.
Pegar el email de un cliente en ChatGPT para redactar una respuesta más rápido parece inofensivo. El problema es que, dependiendo de qué versión de la herramienta estés usando, ese dato puede acabar siendo usado para entrenar el modelo, visible para el soporte técnico de la empresa, o simplemente guardado en un servidor fuera de tu control durante meses. Nada de esto es ilegal en sí mismo, pero sí puede entrar en conflicto con las promesas de privacidad que le has hecho a tu cliente y con la normativa de protección de datos que te aplique.
El dato que cambia todo: gratis y de pago no es la misma política de privacidad
El patrón se repite en prácticamente todos los proveedores grandes de IA en 2026: las versiones gratuitas o personales de estas herramientas suelen usar tus conversaciones para entrenar el modelo por defecto, con una opción de desactivarlo escondida en ajustes. Las versiones de empresa (Business, Enterprise, Team) excluyen esa práctica por defecto, como parte de las condiciones comerciales que firman con cada empresa cliente.
Esto no es un matiz menor es la diferencia entre que los datos de tus clientes se queden dentro de un acuerdo contractual con tu proveedor, o que puedan acabar, de forma despersonalizada, dentro del propio modelo que todo el mundo usa.
La trampa más habitual: un empleado inicia sesión con su cuenta personal de Gmail o Outlook en una herramienta de IA “porque es más rápido”, en vez de con la cuenta profesional de empresa que sí tiene las protecciones contratadas. En ese momento, sin que nadie lo decida conscientemente, los datos pasan a regirse por las condiciones de la versión de consumo, no por las de empresa.
Qué no deberías pegar nunca en una herramienta de IA de consumo
Datos identificables de clientes (nombre completo junto con email, teléfono o dirección) sin anonimizar primero, salvo que estés usando una versión de empresa con las protecciones adecuadas.
Cualquier dato financiero o de pago, aunque sea un fragmento — número de tarjeta, cuenta bancaria, información de facturación detallada.
Información cubierta por un acuerdo de confidencialidad con ese cliente, que probablemente ni siquiera contempla que un tercero (la empresa de IA) pueda llegar a procesarla.
Datos de salud, orientación o cualquier categoría especial de dato personal, que en la mayoría de normativas de protección de datos tiene un nivel de protección reforzado.
Qué hacer en su lugar
Antes de escribir cualquier prompt, pregúntate si lo que vas a pegar identifica a una persona concreta. Si la respuesta es sí, sustituye los datos reales por marcadores genéricos (“el cliente”, “la empresa X”) antes de pegarlo, y rellena los datos reales tú mismo después de obtener la respuesta de la IA.
Usa la cuenta de empresa, no la personal, siempre que exista esa opción. Si tu organización ya paga por un plan de empresa de alguna herramienta de IA, asegúrate de que todo el equipo sabe iniciar sesión con esa cuenta y no con la suya personal.
Revisa la configuración de privacidad, aunque uses un plan de pago. Algunos ajustes de exclusión de entrenamiento no vienen activados por defecto incluso en cuentas pagadas confírmalo tú mismo en el panel de privacidad de cada herramienta en vez de asumirlo.
Establece una norma simple y escrita para el equipo. No hace falta una política de 10 páginas: una lista corta de “esto sí se puede pegar en la IA, esto no” es más efectiva que un documento largo que nadie termina de leer.
Checklist antes de implantar una herramienta de IA en tu equipo
- ¿Es la versión de empresa, no la de consumo o personal?
- ¿Excluye tus datos del entrenamiento del modelo por defecto, o hay que activarlo tú mismo?
- ¿Sabes dónde se almacenan los datos (en qué región) y durante cuánto tiempo?
- ¿El proveedor firma algún tipo de acuerdo de protección de datos con tu empresa, no solo unos términos de uso genéricos?
- ¿Tiene el equipo claro qué tipo de información no debe pegarse nunca, esté donde esté iniciada la sesión?
Si algo sale mal de todas formas
Si descubres que se ha compartido información sensible de un cliente con una herramienta de IA de forma inadecuada, trátalo con la misma seriedad que cualquier otro incidente de seguridad: documenta qué ha pasado, valora el alcance real, y si corresponde, sigue el mismo proceso que describimos en nuestra guía de qué hacer en las primeras 24 horas si sufres una brecha de seguridad — las obligaciones de notificación pueden aplicar igual, sea cual sea la causa del incidente.