Quan un treballador introdueix informació de clients a la versió gratuïta d’un assistent d’IA, l’empresa pot trobar-se davant d’un incident de seguretat que el RGPD obliga a documentar, encara que ningú no se n’assabenti fora de l’oficina.

És un gest d’uns pocs segons. Un comercial enganxa a ChatGPT l’historial de queixes d’un client perquè li redacti una resposta amable. Una administrativa hi puja un full de càlcul amb nòmines perquè la IA li quadri unes xifres. Un tècnic de recursos humans demana a un assistent gratuït que li resumeixi el currículum d’un candidat. Cap d’ells no creu que estigui fent res greu: només volen treballar més de pressa. Però, des del punt de vista del Reglament General de Protecció de Dades (RGPD), cadascun pot haver provocat una bretxa de seguretat.

Una comunicació de dades que ningú no ha autoritzat
La clau és qui rep aquesta informació. Les versions de consum dels assistents d’IA no tenen signat un contracte d’encàrrec amb l’empresa, el document que exigeix l’article 28 del RGPD perquè un tercer tracti dades per compte d’un altre. A més, les seves condicions d’ús solen permetre que el proveïdor conservi les converses i, si l’usuari no ho desactiva, les faci servir per millorar els seus models.
El resultat és que les dades del client surten del perímetre de l’empresa cap a una companyia, sovint situada fora de la Unió Europea, amb la qual no hi ha cap relació jurídica. El RGPD defineix la bretxa de seguretat (article 4.12) com qualsevol incident que provoqui la comunicació o l’accés no autoritzats a dades personals. Que l’origen sigui un descuit i no un ciberatac no en canvia la qualificació: és una bretxa de confidencialitat.

Documentar sempre, notificar segons el risc
Aquí entra en joc un precepte poc conegut fora del món del compliment normatiu: l’article 33.5 del RGPD. Obliga el responsable a documentar totes les violacions de seguretat, amb els fets, els seus efectes i les mesures correctores adoptades, amb independència que s’hagin de notificar o no. Aquest registre intern ha d’estar a disposició de l’autoritat de control si el demana.

La notificació a l’Agència Espanyola de Protecció de Dades en un termini de 72 hores només és obligatòria si és probable que la bretxa comporti un risc per als drets de les persones afectades. Si el risc és alt, perquè s’han filtrat dades de salut, financeres o d’un gran nombre de clients, també cal informar-ne els mateixos afectats (article 34).

A la pràctica, una empresa que descobreix que un treballador ha bolcat en un xatbot gratuït el llistat de pacients d’una clínica tindrà difícil justificar que no hi ha risc. Si es tracta del nom i el correu d’un únic proveïdor, probablement n’hi haurà prou de registrar l’incident i corregir la conducta. El que no és acceptable és no fer res.

Una advertència que no és nova
El problema va arribar als titulars el 2023, quan va transcendir que enginyers de Samsung havien introduït a ChatGPT codi font i notes internes de la companyia. Aquell cas afectava sobretot secrets empresarials, però va il·lustrar un risc que avui preocupa els reguladors de dades. L’AEPD va publicar el gener de 2026 el decàleg «Cuidado con lo que le confIAs», que recomana no compartir amb aquestes eines dades personals ni informació sensible. El mateix laboratori de privacitat de l’Agència ha advertit que, amb tota probabilitat, en moltes organitzacions ja s’utilitza IA generativa encara que ningú no l’hagi autoritzada. És el fenomen que els especialistes anomenen shadow AI.

La responsabilitat és de l’empresa
Davant l’AEPD, qui respon no és el treballador, sinó l’empresa com a responsable del tractament. L’Agència pot considerar que no es van adoptar mesures tècniques i organitzatives adequades (article 32), o que es va vulnerar el principi de confidencialitat (article 5.1.f). Els incompliments dels deures de seguretat i de gestió de bretxes es poden sancionar amb multes de fins a 10 milions d’euros o el 2 % de la facturació mundial. La vulneració dels principis del tractament eleva el sostre a 20 milions o el 4 %.

Una altra cosa és la relació interna amb el treballador. Si l’empresa ha aprovat una política d’ús de la IA, l’ha comunicada i ha format la plantilla, saltar-se aquestes normes pot tenir conseqüències disciplinàries. Si no hi ha cap regla, serà difícil retreure al treballador allò que ningú no li va dir que no fes.

Com evitar-ho
Els especialistes en protecció de dades coincideixen en una sèrie de mesures bàsiques:

• Oferir una alternativa segura. Contractar versions empresarials dels assistents, amb contracte d’encàrrec, sense entrenament amb les dades de l’empresa i, si és possible, amb les dades allotjades a Europa. Prohibir sense donar opcions només empeny a fer servir les eines d’amagat.
• Aprovar una política interna d’ús de la IA. Ha de dir quines eines estan autoritzades, quina informació no s’hi pot introduir mai i què passa si s’incompleix. La LOPDGDD (article 87) exigeix que els criteris d’ús dels dispositius digitals es fixin amb la participació dels representants dels treballadors.
• Formar la plantilla. A més de ser una bona pràctica, és una obligació del Reglament europeu d’IA des del febrer de 2025.
• Posar barreres tècniques. Eines de prevenció de fuites de dades, accés amb credencials corporatives i bloqueig de serveis no aprovats.
• Incloure aquests casos al protocol de bretxes. Que el treballador sàpiga que ha d’avisar si s’equivoca, i que l’empresa sàpiga com avaluar-ho, documentar-ho i, si escau, notificar-ho en 72 hores.

La intel·ligència artificial generativa ha arribat a les oficines per quedar-s’hi, i prohibir-la sense més rarament funciona. La lliçó de l’article 33.5 és una altra: un error que es documenta i es corregeix és un incident gestionat, mentre que el que s’amaga o s’ignora pot acabar convertit en sanció.

Ramon Arnó Torrades
La Família Digital