Cuando un trabajador introduce información de clientes en la versión gratuita de un asistente de IA, la empresa puede encontrarse ante un incidente de seguridad que el RGPD obliga a documentar, aunque nadie llegue a saberlo fuera de la oficina.

Es un gesto que lleva apenas unos segundos. Un comercial pega en ChatGPT el historial de quejas de un cliente para que le redacte una respuesta amable. Una administrativa sube una hoja de cálculo con nóminas para que la IA le cuadre unas cifras. Un técnico de recursos humanos pide a un asistente gratuito que le resuma el currículum de un candidato. Ninguno de ellos cree que esté haciendo nada grave: solo quiere trabajar más deprisa. Pero, desde el punto de vista del Reglamento General de Protección de Datos (RGPD), cualquiera de estas acciones puede haber provocado una brecha de seguridad.

Una comunicación de datos que nadie ha autorizado
La clave está en quién recibe esta información. Las versiones de consumo de los asistentes de IA no tienen firmado un contrato de encargo del tratamiento con la empresa, el documento que exige el artículo 28 del RGPD para que un tercero trate datos por cuenta de otro. Además, sus condiciones de uso suelen permitir que el proveedor conserve las conversaciones y, si el usuario no lo desactiva, las utilice para mejorar sus modelos.
El resultado es que los datos del cliente salen del perímetro de la empresa y llegan a una compañía, a menudo situada fuera de la Unión Europea, con la que no existe ninguna relación jurídica. El RGPD define la brecha de seguridad (artículo 4.12) como cualquier incidente que provoque la comunicación o el acceso no autorizados a datos personales. Que el origen sea un descuido y no un ciberataque no cambia su calificación: es una brecha de confidencialidad.

Documentar siempre, notificar según el riesgo
Aquí entra en juego un precepto poco conocido fuera del ámbito del cumplimiento normativo: el artículo 33.5 del RGPD. Obliga al responsable a documentar todas las violaciones de seguridad, incluyendo los hechos, sus efectos y las medidas correctoras adoptadas, con independencia de que deban notificarse o no. Este registro interno debe estar a disposición de la autoridad de control si lo solicita.

La notificación a la Agencia Española de Protección de Datos en un plazo de 72 horas solo es obligatoria si es probable que la brecha entrañe un riesgo para los derechos de las personas afectadas. Si el riesgo es alto, porque se han filtrado datos de salud, financieros o de un gran número de clientes, también hay que informar a los propios afectados (artículo 34).

En la práctica, una empresa que descubre que un trabajador ha volcado en un chatbot gratuito el listado de pacientes de una clínica tendrá difícil justificar que no existe riesgo. Si se trata del nombre y el correo electrónico de un único proveedor, probablemente bastará con registrar el incidente y corregir la conducta. Lo que no es aceptable es no hacer nada.

Una advertencia que no es nueva
El problema llegó a los titulares en 2023, cuando trascendió que ingenieros de Samsung habían introducido en ChatGPT código fuente y notas internas de la compañía. Aquel caso afectaba sobre todo a secretos empresariales, pero puso de manifiesto un riesgo que hoy preocupa a los reguladores de protección de datos. La AEPD publicó en enero de 2026 el decálogo «Cuidado con lo que le confIAs», que recomienda no compartir datos personales ni información sensible con estas herramientas. El propio laboratorio de privacidad de la Agencia ha advertido de que, con toda probabilidad, muchas organizaciones ya utilizan IA generativa aunque nadie la haya autorizado. Es el fenómeno que los especialistas denominan shadow AI.

La responsabilidad es de la empresa
Ante la AEPD, quien responde no es el trabajador, sino la empresa como responsable del tratamiento. La Agencia puede considerar que no se adoptaron las medidas técnicas y organizativas adecuadas (artículo 32), o que se vulneró el principio de confidencialidad (artículo 5.1.f). Los incumplimientos de las obligaciones de seguridad y de gestión de brechas pueden sancionarse con multas de hasta 10 millones de euros o el 2 % de la facturación mundial. La vulneración de los principios del tratamiento eleva el límite a 20 millones o el 4 %.

Otra cuestión es la relación interna con el trabajador. Si la empresa ha aprobado una política de uso de la IA, la ha comunicado y ha formado a la plantilla, incumplir estas normas puede tener consecuencias disciplinarias. Si no existe ninguna regla, será difícil reprochar al trabajador algo que nadie le había dicho que no hiciera.

Cómo evitarlo
Los especialistas en protección de datos coinciden en una serie de medidas básicas:

• Ofrecer una alternativa segura. Contratar versiones empresariales de los asistentes, con contrato de encargo del tratamiento, sin entrenamiento con los datos de la empresa y, si es posible, con los datos alojados en Europa. Prohibir sin ofrecer alternativas solo empuja a utilizar las herramientas a escondidas.
• Aprobar una política interna de uso de la IA. Debe indicar qué herramientas están autorizadas, qué información no puede introducirse nunca en ellas y qué ocurre si se incumplen las normas. La LOPDGDD (artículo 87) exige que los criterios de uso de los dispositivos digitales se establezcan con la participación de los representantes de los trabajadores.
• Formar a la plantilla. Además de ser una buena práctica, es una obligación del Reglamento europeo de IA desde febrero de 2025.
• Establecer barreras técnicas. Herramientas de prevención de fugas de datos, acceso mediante credenciales corporativas y bloqueo de servicios no aprobados.
• Incluir estos casos en el protocolo de brechas. El trabajador debe saber que tiene que avisar si comete un error, y la empresa debe saber cómo evaluarlo, documentarlo y, si procede, notificarlo en un plazo de 72 horas.

La inteligencia artificial generativa ha llegado a las oficinas para quedarse, y prohibirla sin más rara vez funciona. La lección del artículo 33.5 es otra: un error que se documenta y se corrige es un incidente gestionado, mientras que el que se oculta o se ignora puede acabar convirtiéndose en una sanción.

Ramon Arnó Torrades
La Familia Digital