¿Pueden tus empleados usar ChatGPT con datos de clientes? En muchas pymes españolas ya ocurre: alguien pega un email, un contrato o un Excel en ChatGPT, Copilot o Gemini. No suele haber mala fe. Suele faltar una foto del uso real. Esta guía explica qué está en juego y por dónde empezar — sin certificado ni clasificación jurídica.
El caso (ficticio, pero cotidiano)
Marta lleva la gestión de clientes en una empresa de 40 empleados.
Un cliente le manda un email largo y confuso pidiendo cambios en un contrato. Marta copia el correo entero —nombre, empresa, condiciones económicas y algunos datos personales de contacto— y lo pega en ChatGPT con el prompt:
«Resume esto y dime qué me está pidiendo.»
Lo hace en dos minutos. Sin pensarlo. Como lo haría cualquiera.
Nadie en la empresa le dijo que no podía hacerlo. Tampoco nadie le dijo que sí podía. Simplemente, nunca se habló del tema.
Este escenario —o alguna variante— puede estar ocurriendo ahora mismo en muchas empresas españolas. No por mala fe. Tampoco porque los empleados quieran saltarse las normas.
La IA generativa se ha incorporado al trabajo diario mucho más rápido de lo que muchas empresas han podido establecer políticas, criterios y controles sobre su uso. Y ahí empieza el problema. Tiene un nombre habitual: Shadow AI — uso de IA en el equipo que la organización no ve, no inventaría y no tiene documentado.
Qué puede estar en juego, aunque no se note
Cuando Marta introduce información de un cliente en una herramienta de IA, pueden resultar potencialmente aplicables varias cuestiones a la vez. No es una clasificación automática: depende de la herramienta, del tipo de dato y de cómo esté configurado el uso. Conviene revisarlas.
1. Los datos pueden salir del entorno de la empresa
Cuando un empleado introduce datos personales en una herramienta externa de IA, esos datos pueden pasar a ser tratados por el proveedor de la herramienta.
Aparecen preguntas que muchas empresas todavía no se han hecho:
¿Qué herramienta está utilizando el equipo? ¿Bajo qué condiciones? ¿Dónde se produce el tratamiento? ¿Qué ocurre con la información introducida?
Según la herramienta, su configuración y las condiciones del servicio, pueden resultar potencialmente aplicables reglas del RGPD sobre encargados del tratamiento y, en determinados casos, transferencias internacionales. Eso requiere revisión caso a caso: no es lo mismo una cuenta personal gratuita que un plan enterprise con un acuerdo de tratamiento (DPA).
Por eso no basta con que una herramienta sea útil. Conviene saber qué ocurre con la información que se introduce en ella. Si contratáis ChatGPT Enterprise, Copilot o Gemini, el siguiente paso suele ser el checklist de cláusulas del contrato SaaS.
2. La empresa no queda al margen porque lo haya hecho un empleado
Marta ha tomado la decisión individualmente. Eso no implica, por sí solo, que la organización quede fuera de la foto.
Si la organización permite —o no impide de forma efectiva— que el equipo use herramientas de IA con información de clientes, una medida recomendada es haber dejado por escrito qué usos están permitidos, qué información puede introducirse y qué hacer en caso de duda.
Desde la perspectiva de protección de datos, cuando hay tratamiento de datos personales el responsable suele tener que poder demostrar que ha adoptado medidas adecuadas (responsabilidad proactiva). No es un certificado de «cumplimiento». Es poder explicar qué se ha pensado y qué se ha documentado.
Argumentar solo «fue una empleada quien lo hizo» suele no bastar si no hay instrucciones, límites ni visibilidad del uso.
3. Puede no existir ninguna trazabilidad
Imaginemos que seis meses después un cliente pregunta qué ha ocurrido con sus datos.
¿Puede la empresa saber si alguno de sus empleados introdujo información de ese cliente en ChatGPT? ¿Qué información? ¿Quién? ¿Con qué herramienta? ¿En qué fecha?
En muchas organizaciones la respuesta sería: no lo sabemos.
Si la empresa ni siquiera ve cómo usa el equipo las herramientas de IA, demostrar que se han adoptado medidas adecuadas es mucho más difícil. El primer paso no es una auditoría: es una foto del uso real en cinco preguntas.
4. El AI Act también puede entrar en la conversación
La protección de datos no es la única pieza. El Reglamento (UE) 2024/1689 (AI Act) contempla, en el artículo 4, la obligación de adoptar medidas para apoyar la alfabetización en IA. Esa previsión se aplica a proveedores y responsables del despliegue de sistemas de IA: hay que determinar primero si la organización entra en esas categorías. No equivale a una obligación de resultado individual ni a un curso concreto.
En la práctica, una empresa no debería tratar el uso de IA como si fuera solo una decisión personal de cada empleado. Conviene saber qué herramientas usa el equipo, para qué y qué riesgos puede implicar ese uso. Calendario y marco: AI Act para empresas (guía 2026–2028). Qué incluye una revisión más amplia: evaluación de riesgos legales de IA.
¿Puede una empresa prohibir que sus empleados usen ChatGPT?
Sí. Una empresa puede establecer límites sobre el uso de herramientas de IA e incluso prohibir determinados usos cuando existan razones para hacerlo.
Prohibir ChatGPT por completo no siempre es la solución más práctica. El verdadero problema no es que un empleado use ChatGPT para mejorar un texto, resumir información pública o generar ideas.
El problema aparece cuando introduce información que la empresa no debería compartir con una herramienta externa sin haber revisado antes ese uso.
La pregunta útil no es «¿pueden mis empleados usar ChatGPT?». Es: ¿para qué pueden usarlo, con qué información y bajo qué reglas?
Lo que normalmente no pasa (y por qué eso engaña)
Nada de esto suele generar una consecuencia inmediata. No salta ninguna alarma. No aparece una multa automáticamente. El cliente de Marta probablemente ni siquiera se entera.
La ausencia de consecuencias visibles genera una falsa sensación de que «total, no pasa nada». Que no haya ocurrido nada todavía no significa que el uso esté controlado ni que el riesgo no exista.
Basta con que un cliente pregunte por sus datos, que haya una incidencia, que un tercero pida garantías o que un nuevo cliente exija documentación. En ese momento, no tener ningún criterio documentado puede convertir un uso puntual en un problema mayor. Seis señales de que conviene una evaluación legal de IA.
Qué conviene hacer (medidas recomendadas)
La solución no es necesariamente decirle a Marta que deje de usar ChatGPT. Las herramientas de IA pueden aportar productividad; prohibirlas de forma absoluta a veces solo consigue que se sigan usando sin visibilidad.
Lo importante es un mínimo de reglas y de evidencia de que se ha pensado el uso.
1. Una política interna de uso de IA
No tiene que ser un documento de 50 páginas. Conviene que deje claro, como mínimo:
- Qué herramientas de IA puede utilizar el equipo.
- Para qué usos están permitidas.
- Qué información puede introducirse y cuál no.
- Qué ocurre con los datos de clientes.
- Quién puede usar determinadas herramientas.
- Qué hacer cuando hay dudas.
Eso es una medida recomendada, no un certificado. Encaja con lo que documenta un AI Legal Assessment cuando el indicio de las cinco preguntas es crítico o moderado.
2. Ver qué herramientas usa realmente el equipo
No basta con elegir una herramienta «oficial». Primero hay que saber qué está usando la plantilla. Puede haber ChatGPT, Gemini, Copilot u otras desde cuentas personales, sin inventario.
Antes de redactar la política, conviene una foto del uso. Empieza aquí: ¿Tu empresa usa ChatGPT? 5 preguntas.
3. Revisar configuración y condiciones del proveedor
Las herramientas de IA no funcionan todas igual. Un plan enterprise no es una cuenta personal. Si el equipo usa IA de forma habitual, conviene revisar modalidad, tratamiento de datos y garantías del proveedor. Checklist: cláusulas de IA en contratos SaaS.
4. Formar al equipo (alfabetización adaptada al contexto)
Una política que nadie entiende no sirve. Los empleados deberían saber, al menos, qué información pueden introducir, cuál evitar y cuándo consultar. No hace falta convertir a toda la plantilla en especialista en IA. Hace falta que sepan dónde están los límites, en el contexto real de la empresa.
5. Dejar un criterio documentado
La empresa debería poder responder a una pregunta sencilla: ¿qué habéis hecho para ver y acotar el uso de IA? Y tener una respuesta con evidencia (política, inventario, formación, contratos). No es burocracia por sí misma. Es poder explicar las medidas documentadas.
El problema no es ChatGPT. Es no saber cómo se está utilizando
La mayoría de las empresas no necesitan dejar de usar inteligencia artificial. Necesitan saber cómo la están usando realmente: qué herramientas, qué información, qué riesgos y qué reglas mínimas.
Eso es el punto de partida de Legal Stones. Las cinco preguntas dan una foto del uso. No son un dictamen ni un certificado. Si el indicio es crítico o moderado, el siguiente paso es el AI Legal Assessment: uso identificado, necesidades y un plan documentado.
No se trata de prohibir ChatGPT. Se trata de saber qué puede hacer tu equipo con IA, qué no debería hacer y qué conviene dejar documentado.
Porque el problema no es que tus empleados utilicen IA. El problema es que nadie sepa exactamente cómo la están utilizando.
Preguntas frecuentes
¿Pueden tus empleados usar ChatGPT con datos de clientes?
Pueden estar haciéndolo ya, con o sin permiso. Pegar datos de clientes en ChatGPT, Copilot o Gemini puede implicar tratamiento de datos personales y, según la herramienta, otras reglas potencialmente aplicables. No hay una respuesta automática de «sí» o «no» para todas las empresas. El primer paso es ver el uso real: cinco preguntas gratuitas. No es un certificado.
¿Es legal pegar un email de un cliente en ChatGPT?
Depende de qué datos contiene, de qué herramienta y plan usáis, y de si hay instrucciones internas. Un email con nombre, empresa y datos de contacto suele incluir datos personales. Conviene no tratarlo como un uso inocuo por defecto. Requiere revisión en el contexto de tu empresa.
¿Qué es Shadow AI?
Es el uso de herramientas de IA (ChatGPT, Copilot, Gemini, cuentas personales) que la empresa no tiene inventariadas ni gobernadas. No es una clasificación jurídica. Es un indicio de que falta visibilidad. Las cinco preguntas de Legal Stones están pensadas para detectarlo.
¿Hay que prohibir ChatGPT en la empresa?
No necesariamente. Prohibirlo del todo a veces solo empuja el uso a cuentas personales. Lo habitual es acotar: para qué, con qué información y con qué herramienta. Una política breve y una foto del uso real suelen ser más útiles que una prohibición absoluta.
¿Por dónde empiezo si no sé qué usa el equipo?
Por las cinco preguntas (ChatGPT, datos de clientes, política, inventario, herramientas personales). Luego, si hace falta, un Assessment y, si hay contrato con el proveedor, el checklist de cláusulas SaaS.
¿Tu empresa usa ChatGPT? 5 preguntas →
6 señales de que tu empresa necesita un AI Legal Assessment →