IA en tu empresa: qué datos no debes meter en un chatbot

En muchas pymes la inteligencia artificial no ha entrado por una decisión de la dirección, sino por la puerta de atrás: alguien del equipo empezó a usar un chatbot gratuito para redactar correos, resumir contratos o preparar presupuestos, y otros le siguieron. Es útil y ahorra tiempo, pero también significa que datos de clientes, de empleados o información confidencial pueden estar saliendo de la empresa sin que nadie lo haya valorado.

La Agencia Española de Protección de Datos (AEPD) ha puesto el foco precisamente ahí. En su Laboratorio publicó en agosto de 2026 un análisis sobre prompts, datos personales y confidencialidad, y en enero de 2026 difundió un resumen de obligaciones y recomendaciones para gestionar la IA generativa que puede servir de referencia a cualquier organización. Te resumimos lo que conviene aplicar ya en una pyme o comercio del Corredor del Henares.

El riesgo no está en la herramienta, sino en lo que se escribe en ella

Cada consulta que se escribe en un chatbot (el llamado prompt) es información que se entrega a un tercero. La AEPD señala varios riesgos que se repiten en las empresas:

• Datos personales en la entrada: cambiar un nombre por una inicial no siempre anonimiza; un cargo, una fecha o un centro de trabajo pueden bastar para identificar a una persona.
• Conservación y uso de lo que escribes: la empresa debe poder responder si el proveedor guarda las consultas, si las usa para entrenar sus modelos y quién puede acceder a ellas.
• Confidencialidad aunque no haya datos personales: precios, ofertas, estrategias o documentación de clientes también merecen protección.
• Herramientas gratuitas y cuentas personales: la AEPD advierte de que, en general, en estas herramientas "se paga con nuestros datos".
• Respuestas que parecen ciertas y no lo son: que un texto esté bien redactado no significa que sea correcto.

Cinco medidas que recomienda la AEPD y que una pyme puede aplicar

No hace falta una gran estructura para gobernar el uso de la IA. Estas son las recomendaciones más prácticas del análisis de la AEPD:

• Haz inventario: qué herramientas se usan, quién las usa, con qué datos y si se hace con cuentas de empresa o personales.
• Clasifica los usos por riesgo: permitir lo de bajo riesgo (por ejemplo, redactar un texto genérico), autorizar con cautelas lo intermedio y prohibir o exigir autorización expresa cuando haya datos de salud, expedientes disciplinarios, denuncias o información confidencial.
• Minimiza: introducir solo lo necesario. Si basta un fragmento, no se sube el expediente completo.
• Formaliza la relación con el proveedor: si la herramienta trata datos personales por cuenta de tu empresa, el contrato de encargado del tratamiento del artículo 28 del RGPD "no es opcional". Revisa dónde se alojan los datos, subencargados, seguridad y borrado.
• Revisa siempre lo que genera la IA, sobre todo si afecta a decisiones sobre personas (selección, evaluaciones, reclamaciones).

La propia Agencia añade un matiz importante: la prohibición absoluta suele empujar el uso a la clandestinidad. Es mejor ordenar el uso que hacer como si no existiera.

Una política interna sencilla y formación práctica

La herramienta que más ayuda es una política de uso de IA breve y clara, con reglas del tipo "esto sí, esto no, esto solo si se anonimiza, esto se consulta antes". En el resumen de recomendaciones de la AEPD aparecen ideas fáciles de trasladar a una pyme:

• Usar solo herramientas aprobadas por la empresa y, cuando se trate información sensible, preferir versiones empresariales que permitan desactivar el uso de los datos para entrenamiento.
• No introducir datos personales ni confidenciales en sistemas no autorizados.
• Revisar los resultados antes de enviarlos o publicarlos y respetar la propiedad intelectual.
• Avisar cuando el cliente está hablando con un asistente de IA (por ejemplo, en el chat de la web) y mantener revisión humana.
• Restringir el uso a personal formado y ofrecer formación continua para saber formular consultas sin revelar datos innecesarios.

Además, el Reglamento europeo de IA contempla que las empresas que utilizan estos sistemas adopten medidas para que su personal tenga conocimientos suficientes sobre IA, y el calendario de otras obligaciones ha cambiado con el Ómnibus digital. Lo explicamos en detalle en Ley de IA tras el Ómnibus: qué debe hacer ya tu pyme si usa IA.

Errores habituales que vemos en pymes

• Pegar en un chatbot gratuito el listado de clientes para "ordenarlo" o redactar una campaña.
• Subir nóminas, partes de baja o currículos para que la IA los resuma.
• Instalar un chatbot en la web sin revisar el contrato con el proveedor ni actualizar la política de privacidad.
• Dar por buena una respuesta sobre normativa, plazos o cifras sin comprobarla en la fuente oficial.

Si en tu empresa ocurre alguno de estos casos, no es motivo para dejar la IA, sino para ponerle reglas. Y si ya se ha producido una fuga de información, conviene actuar rápido: te lo contamos en Brecha de datos en tu empresa: qué hacer en las primeras 72 horas.

Fuentes: Laboratorio AEPD: prompts, datos personales y confidencialidad y AEPD: resumen básico de obligaciones y recomendaciones para la gestión de IA generativa (enero 2026).

Información general actualizada a octubre de 2026. No sustituye al asesoramiento jurídico ni a la consulta del texto normativo vigente.