Documentación Otraforma · Guía de datos y cumplimiento · septiembre 2026

IA y datos de la empresa: qué sí, qué no y cómo

RGPD y AI Act explicados en lenguaje de empresa, no de abogado: qué datos pueden entrar en un asistente de IA, con qué condiciones, y qué garantías hay que pedirle al proveedor antes de decir que sí. Termina con una política interna mínima, lista para adaptar.

Antes de seguir. Esta guía da un criterio claro para el día a día. No sustituye el asesoramiento legal cuando el caso es delicado (datos de salud, menores, grandes volúmenes de datos personales): ahí, consulta con quien lleve la protección de datos de tu empresa.

Qué datos pueden entrar en un asistente

La pregunta no es "¿puedo usar IA?". Es "¿qué tipo de información es esta que voy a pegar?". Cuatro niveles bastan para decidir en la práctica.

Nivel	Ejemplos	¿Entra en un asistente de IA?
Público	Contenido ya publicado, notas de prensa, la propia web	Sí, sin condiciones especiales
Interno	Procedimientos, plantillas, borradores de trabajo sin datos de terceros	Sí, con cuenta de empresa
Confidencial	Contratos, cifras financieras no públicas, estrategia	Con condiciones: solo en plan de empresa sin entrenamiento con tus datos (ver 02)
Datos personales	Nombres, correos, nóminas, evaluaciones de personas, datos de clientes	Con condiciones: base legal, minimización y acuerdo de tratamiento de datos con el proveedor (ver 03)
Categoría especial	Salud, afiliación sindical, orientación, origen étnico, datos de menores	No, salvo garantías reforzadas y validación previa del responsable de datos

La prueba rápida. Si el dato identifica a una persona concreta (empleado, cliente, candidato), trátalo como datos personales por defecto, aunque parezca inocuo.

Planes y garantías

No todos los planes de Claude o ChatGPT dan las mismas garantías. La diferencia importa más que el precio.

Plan gratuito o individual de pago

Puede usarse para entrenar el modelo, salvo que se desactive expresamente en los ajustes de privacidad.
Sin acuerdo de tratamiento de datos (DPA) firmado con la empresa.
Adecuado para: información pública o interna sin datos personales.

Plan de empresa / equipo

Por defecto no se usa para entrenar el modelo.
Permite firmar un DPA (acuerdo de encargo de tratamiento) con el proveedor.
Adecuado para: información confidencial y datos personales, siempre con base legal y minimización.

Regla práctica. Si en tu empresa hay más de una persona usando IA para el trabajo, el plan de empresa deja de ser un lujo: es la única forma de tener un contrato y una cuenta que la empresa controla si alguien se va.

RGPD aplicado a la IA

Base legal.Para meter datos personales en un asistente necesitas un motivo legal: normalmente interés legítimo (mejorar un proceso interno) o ejecución de un contrato. Si dudas, pregunta antes de pegar el dato.

Minimización.Pega solo lo que la tarea necesita. Si el asistente va a resumir una evaluación de desempeño, no hace falta el histórico médico de la persona ni su domicilio.

Acuerdo de tratamiento (DPA) con el proveedor.Si usas un plan de empresa, el proveedor actúa como "encargado del tratamiento". Debe existir un contrato (normalmente se acepta al activar el plan) que fije qué hace con los datos y dónde se procesan.

Derechos de las personas.Un empleado o cliente puede pedir saber si sus datos han pasado por un sistema de IA y con qué finalidad. Tenerlo documentado (qué proceso, qué herramienta, qué datos) hace que responder sea sencillo.

El AI Act, en una pyme

El reglamento europeo de IA clasifica los sistemas por nivel de riesgo. La gran mayoría de usos en una pyme (redactar, resumir, buscar, generar borradores) caen en riesgo mínimo o limitado, no en las categorías que generan más obligaciones.

Nivel de riesgo	Qué incluye, en general	Qué exige
Mínimo	Asistentes de uso general para redactar, resumir, programar, buscar	Sin obligaciones específicas más allá de un uso responsable
Limitado	Sistemas que generan contenido o interactúan con personas (chatbots, contenido generado)	Transparencia: que quede claro que es contenido o interacción generada por IA
Alto	Selección de personal automatizada sin revisión humana, scoring crediticio, ciertos usos en RR. HH. con decisiones automáticas	Evaluación de conformidad, supervisión humana documentada, registro

El punto que más se cruza en RR. HH. Usar IA para preseleccionar candidatos o evaluar desempeño puede entrar en riesgo alto si la decisión se toma sin revisión humana real. La regla de esta casa (ver reglas comunes): la IA propone, una persona decide.

Confidencialidad tras dejar la empresa

El deber de confidencialidad sobre la información de la empresa (clientes, cifras, procesos internos, datos de compañeros) no termina el último día de contrato. Sigue vigente después, con independencia de que se haya usado o no una herramienta de IA para tratar esa información mientras se trabajaba.

Esto tiene una consecuencia práctica para el uso de IA: si alguien ha guardado conversaciones, proyectos o memoria de un asistente con información de la empresa en una cuenta personal, esa información sigue sujeta al mismo deber de confidencialidad al marcharse. Por eso la regla de "cuenta de empresa, no personal" (ver la guía de organización) no es solo una cuestión de orden: es lo que permite a la empresa recuperar, revisar o borrar ese contenido cuando alguien se va, en lugar de que quede fuera de su alcance.

Casos frecuentes

Pulsa la situación que más se parezca a la tuya.

Contrato de clienteContiene datos personales y confidenciales. Hazlo con plan de empresa, sin entrenamiento con tus datos, y solo lo imprescindible del contrato (no hace falta pegar los datos bancarios si solo necesitas revisar una cláusula).

CV de un candidatoDatos personales de un proceso de selección. Es admisible con plan de empresa como apoyo para generar preguntas; la decisión de contratar o descartar la toma siempre una persona, nunca el asistente.

Nóminas del equipoDatos personales sensibles en el ámbito laboral. Trátalo con el máximo cuidado: plan de empresa, acceso limitado a quien gestiona nóminas, y evita subir el archivo completo si basta con una muestra anonimizada para detectar el tipo de error.

Correo de un clienteGeneralmente admisible con cuenta de empresa: es una tarea de atención al cliente habitual. Revisa igualmente la respuesta antes de enviarla.

Política interna mínima

Cinco líneas que puedes copiar y adaptar con el nombre de tu empresa.

Política de uso de IA y datos

0/5

El trabajo con IA se hace con la cuenta de empresa, nunca con cuentas personales. Los datos personales o confidenciales solo entran en herramientas con plan de empresa y sin entrenamiento con nuestros datos. Antes de usar una herramienta nueva con datos personales, se firma o verifica el acuerdo de tratamiento (DPA) con el proveedor. Ninguna decisión sobre una persona (contratar, evaluar, despedir) se toma solo con IA: siempre hay revisión humana documentada. Al salir alguien de la empresa, se revisan sus proyectos y memoria de IA para conservar lo relevante y cerrar el acceso.

Glosario

Término	En una frase
RGPD	Reglamento europeo de protección de datos personales.
AI Act	Reglamento europeo de IA, clasifica los sistemas por nivel de riesgo.
DPA	Acuerdo de encargo de tratamiento de datos entre la empresa y el proveedor de IA.
Minimización	Usar solo el dato necesario para la tarea, no todo lo disponible.
Categoría especial de datos	Salud, orientación, afiliación sindical, origen étnico y similares: máxima protección.

Para la parte de inventario, reglas comunes y pilotos, ver Poner orden en la IA de la empresa.

Siguiente paso

¿Lo hacemos con tu equipo?

En una sesión revisamos con tu equipo qué datos entran hoy en tus herramientas de IA y dejamos escrita una política interna mínima adaptada a tu caso.

Hablar de un piloto →