Cómo usar la IA generativa en tu pyme sin poner en riesgo tus datos

El riesgo real: lo que el equipo pega en el chat

El problema casi nunca es la herramienta en sí, sino el uso. Alguien pega un correo de un cliente para que la IA le redacte la respuesta, sube una hoja de nóminas para hacer un resumen o copia un contrato entero para que lo revise. Si eso ocurre en una cuenta personal o gratuita, la empresa pierde el control de esa información: no sabe dónde se guarda, cuánto tiempo, ni si el proveedor puede usarla para mejorar sus modelos.

Por eso, antes de prohibir o de comprar licencias, conviene saber qué tipo de información circula y clasificarla.

Qué datos no deberías meter nunca en una IA pública

Un truco que funciona: anonimiza antes de pegar. Cambia «Juan Pérez, cliente de Getxo, debe 3.200 €» por «un cliente debe una factura». Para redactar una respuesta, la IA casi nunca necesita el nombre real.

Cuenta gratuita, cuenta de empresa o asistente propio

Cuentas gratuitas o personales

Son útiles para aprender y para tareas con información pública. En muchas herramientas, las condiciones de los planes personales permiten que el proveedor use las conversaciones para mejorar sus modelos salvo que el usuario lo desactive. Además, la empresa no tiene un contrato con el proveedor ni control sobre quién usa qué. Para trabajo con datos de la empresa, no son la opción adecuada.

Planes de empresa de herramientas generalistas

ChatGPT, Microsoft 365 Copilot, Gemini para Google Workspace o Claude tienen versiones para empresas. Lo que debes comprobar en las condiciones de cada proveedor, porque cambian con el tiempo, es:

• Que ofrezcan un acuerdo de tratamiento de datos (el contrato de encargado del tratamiento del artículo 28 del RGPD).
• Que no usen tus datos para entrenar sus modelos, por contrato y no solo por un ajuste.
• Dónde se procesan y guardan los datos y, si salen del Espacio Económico Europeo, con qué garantías.
• Que haya gestión centralizada de usuarios: altas, bajas y permisos desde la empresa.

Asistente con tus propios documentos

Es un chat que responde a partir de tus manuales, catálogo, procedimientos o preguntas frecuentes (la técnica se conoce como RAG, generación aumentada por recuperación). Puede vivir en tu web, en tu intranet o dentro de una app. La ventaja es el control: decides qué documentos entran, quién puede consultar cada uno y qué modelo procesa las preguntas. La contrapartida es que hay que montarlo y mantener el contenido al día, y que también puede equivocarse, así que debe citar la fuente de cada respuesta.

Qué te pide el RGPD cuando usas IA

El Reglamento General de Protección de Datos no prohíbe usar IA, pero se aplica en cuanto la IA trata datos personales. Los puntos que más afectan a una pyme son:

• Base legal y finalidad: si usas datos de clientes para algo nuevo (por ejemplo, analizarlos con IA), debe encajar con la finalidad para la que los recogiste.
• Información: tu política de privacidad debe explicar qué proveedores tratan los datos y para qué.
• Encargado del tratamiento: cada proveedor de IA que trate datos personales por cuenta tuya necesita un contrato conforme al artículo 28.
• Transferencias internacionales: si los datos salen del Espacio Económico Europeo, hacen falta garantías como las cláusulas contractuales tipo o el marco de privacidad UE-EE. UU. cuando el proveedor esté adherido.
• Decisiones automatizadas: el artículo 22 limita las decisiones con efectos importantes sobre una persona (por ejemplo, rechazar a un candidato) tomadas solo por una máquina. Deja siempre la decisión final a una persona.
• Evaluación de impacto: si el tratamiento supone un alto riesgo (datos de salud a gran escala, perfiles de empleados), puede ser obligatoria una evaluación de impacto antes de empezar.

La Agencia Española de Protección de Datos publica guías y herramientas gratuitas para pymes que conviene revisar.

Qué te pide el Reglamento Europeo de IA hoy

El Reglamento (UE) 2024/1689 se aplica por fases y fue modificado por el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA. Para una empresa que usa herramientas de IA de terceros, lo relevante a 28 de octubre de 2026 es esto (según EUR-Lex y la cronología del Consejo de la UE, consultadas ese día):

Usar ChatGPT para redactar correos o resumir documentos no convierte a tu empresa en «alto riesgo». Pero si usas IA para filtrar currículos o puntuar a candidatos, sí estás cerca de esa categoría, y además entra en juego el artículo 22 del RGPD.

Lista de comprobación en 10 puntos

1. Haz inventario: qué herramientas de IA usa ya tu equipo, con qué cuentas y para qué tareas.
2. Clasifica la información con el semáforo de arriba y decide qué puede entrar en cada herramienta.
3. Elige herramientas aprobadas y ofrece cuentas de empresa para que nadie tenga que usar la suya.
4. Revisa los contratos: acuerdo de tratamiento de datos, no uso para entrenamiento y ubicación de los datos.
5. Escribe una norma interna de una página y compártela con todo el equipo.
6. Forma al equipo en una sesión corta: qué hace bien la IA, cuándo se equivoca y qué datos no se comparten. Guarda constancia.
7. Revisa siempre lo que produce la IA antes de enviarlo a un cliente o publicarlo.
8. Deja a una persona las decisiones importantes sobre clientes, candidatos o empleados.
9. Sé transparente: avisa cuando un chatbot o una voz con IA atiende a alguien, y actualiza tu política de privacidad.
10. Revisa todo cada seis meses: las herramientas, sus condiciones y la normativa cambian rápido.

Cómo lo aplicamos en Usatek

Cuando montamos un asistente o un agente con IA para una empresa, partimos de estas mismas reglas: definimos con el cliente qué información puede usar el asistente y cuál se queda fuera, que las personas sepan que hablan con una IA y que lo importante lo decida una persona. Son proyectos como la recepcionista con IA para negocios con citas, el agente de atención para tiendas online y los recordatorios de citas para clínicas. También aplicamos IA en nuestras propias apps contra estafas. Si quieres ver el enfoque completo, la página de IA generativa para empresas explica cómo trabajamos.

Esta guía es informativa y no sustituye el asesoramiento jurídico. Para casos concretos, consulta con tu delegado de protección de datos o con un abogado especializado.