Qué puede consultar tu IA y qué información nunca debería usar

Las dos puertas por las que se escapa la información

Imagina que la IA es un empleado nuevo. Por una puerta, lee lo que tú le conectas: carpetas compartidas, correo, bases de datos. Por la otra, recibe lo que sus compañeros le cuentan. Si la primera puerta está abierta de par en par o la segunda no tiene reglas, la información confidencial acabará donde no debe.

Paso 1: clasifica los datos en pocos niveles

Cuatro niveles bastan para empezar:

• Público: lo que ya está en tu web o en comunicados.
• Interno: documentos de trabajo sin carácter sensible.
• Confidencial: contratos, precios, estrategia, datos de clientes.
• Restringido: datos personales sensibles, secretos industriales, información financiera previa a su publicación.

Paso 2: decide qué nivel puede usar cada herramienta

• Público: cualquier herramienta.
• Interno: solo herramientas aprobadas por la empresa.
• Confidencial: solo herramientas con contrato que garantice que tus datos no se usan para entrenar y que definen dónde y cuánto tiempo se guardan.
• Restringido: nunca en herramientas externas; solo en entornos internos controlados y con base legal y evaluación de impacto cuando proceda.

Paso 3: ajusta los permisos de lo que la IA lee

Una IA conectada a tus documentos suele heredar los permisos de quien pregunta, y eso es una trampa: si la carpeta de nóminas está abierta «por error», la IA la encontrará en segundos. Antes de conectar nada, revisa permisos, aplica el mínimo privilegio y excluye las colecciones sensibles. Es lo que se llama «no cargar todo el SharePoint».

Paso 4: fija reglas claras para las personas

Una política de uso de IA corta responde a tres cosas: qué herramientas están aprobadas, qué datos no se pueden introducir nunca y a quién preguntar en caso de duda. Y debe ofrecer una alternativa aprobada: si lo único que hay es una prohibición, la gente usará herramientas por su cuenta (shadow AI).

Paso 5: revisa lo que firmas con cada proveedor

Antes de contratar una herramienta, pregunta si usan tus datos para entrenar, dónde se almacenan, cuánto tiempo se conservan y qué subencargados participan. Pide que quede por escrito.

Paso 6: registra y revisa

Activa registros de qué se consulta y quién lo hace, revisa los accesos de forma periódica y define qué se considera un incidente y a quién se avisa.

Errores habituales

• Prohibir sin alternativa: la IA se sigue usando, pero fuera de tu vista.
• Conectar la IA a todo «para que funcione» sin revisar permisos.
• Clasificar demasiado: doce niveles que nadie recuerda. Mejor cuatro que se apliquen.
• Olvidar los datos personales: el RGPD aplica igual aunque el dato lo procese una IA.

Empieza por aquí

1. Haz una lista de las herramientas de IA que se usan hoy (incluidas las no oficiales).
2. Define los cuatro niveles de clasificación y qué herramienta admite cada uno.
3. Revisa los permisos de las carpetas y sistemas que vas a conectar.
4. Publica la política de uso con las alternativas aprobadas.

Preguntas frecuentes

¿Basta con prohibir ChatGPT y similares?

No. Sin alternativa aprobada, el uso continúa sin control. Es mejor ofrecer una herramienta autorizada y reglas claras.

¿Qué debo hacer primero?

Clasificar los datos y revisar permisos. Sin saber qué es confidencial no se puede decidir qué puede ver la IA.

¿Qué datos no deben introducirse nunca en una IA externa?

Datos personales sensibles, secretos industriales, credenciales y cualquier información sujeta a confidencialidad contractual, salvo que la herramienta esté aprobada para ello.

Contenido informativo, no asesoramiento jurídico.

Esto te da el criterio. Si prefieres el documento ya hecho: Política de Clasificación y Retención de Datos.