Lo esencial en 30 segundos
- Clasifique los datos en tres niveles: públicos, internos y confidenciales.
- Use cuentas profesionales cuyas condiciones excluyan el entrenamiento con sus datos.
- No introduzca nunca datos personales o confidenciales en una herramienta de consumo.
- Una política de una página que todos conocen vale más que una prohibición ignorada.
Los tres riesgos principales
- La fuga de datos: un contrato, una base de clientes o una contraseña introducidos en una herramienta de consumo.
- El error: una respuesta inventada reutilizada sin verificar en un documento para un cliente.
- El incumplimiento: un tratamiento de datos personales sin base legal, contrario a la legislación aplicable (en Túnez, la ley orgánica de 2004 sobre protección de datos personales; el RGPD para datos de residentes europeos).
Clasificar los datos
| Nivel | Ejemplos | Uso de IA |
|---|---|---|
| Público | Web, folletos, artículos publicados | Autorizado |
| Interno | Procedimientos, plantillas, actas anonimizadas | Herramientas profesionales validadas |
| Confidencial | Datos personales, contratos, precios, datos financieros | Prohibido fuera de una herramienta validada y controlada |
Elegir las herramientas adecuadas
Las ofertas profesionales de los principales proveedores (ChatGPT Enterprise o Team, Microsoft 365 Copilot, Gemini para Google Workspace) incluyen compromisos contractuales sobre confidencialidad y sobre no entrenar los modelos con sus datos. Compruebe las condiciones de cada oferta, la ubicación de los datos y las opciones de administración antes de generalizarlas.
La política de uso en diez líneas
- Herramientas autorizadas y cuentas que usar.
- Datos que no deben introducirse.
- Revisión obligatoria de todo contenido destinado a un cliente.
- Mención del uso de IA cuando sea pertinente.
- Persona de contacto en caso de duda o incidente.
Acompáñela de una formación breve: la mayoría de las fugas se deben a falta de información, no a mala intención.
Los riesgos técnicos que conviene conocer
- La inyección de instrucciones: un documento o una web con instrucciones ocultas puede desviar a un asistente de IA conectado a sus herramientas.
- Las extensiones y conectores: cada conexión al correo, al CRM o a los archivos amplía el acceso de la herramienta; active solo lo necesario.
- Las cuentas personales: un empleado que usa una cuenta gratuita para trabajar escapa a todo control.
- Los permisos de acceso: un asistente que consulta los archivos de la empresa puede revelar documentos que el usuario no debería ver si los permisos están mal configurados.
Establecer la gobernanza
Nombre a un responsable del uso de la IA, a menudo el responsable de informática o un miembro de la dirección. Mantiene la lista de herramientas autorizadas, valida los nuevos usos, sigue los incidentes y actualiza la política. Prevea una revisión trimestral de los usos reales: lo que los equipos hacen de verdad con la IA suele ser distinto de lo previsto.
Formar a los equipos
Una formación de dos horas cubre lo esencial: lo que la IA hace bien y mal, los tres niveles de datos, las herramientas autorizadas, la verificación de las respuestas y los buenos hábitos. Añada ejemplos concretos de su actividad: redactar una respuesta a un cliente sin pegar el contrato, resumir una reunión sin datos personales, preparar un análisis con cifras anonimizadas.
Verificar a un proveedor de IA
| Pregunta | Qué hay que obtener |
|---|---|
| ¿Se usan sus datos para entrenar los modelos? | Un compromiso contractual escrito de que no |
| ¿Dónde se alojan los datos? | La región de alojamiento y los subcontratistas |
| ¿Cuánto tiempo se conservan? | Un plazo preciso y la posibilidad de borrarlos |
| ¿Quién puede acceder? | Las reglas de acceso del proveedor y de sus administradores |
| ¿Qué certificaciones tiene? | Por ejemplo, ISO 27001 o SOC 2 |
Qué hacer ante un incidente
- Identificar los datos expuestos y la herramienta implicada.
- Borrar la conversación o el archivo si la herramienta lo permite y revocar los accesos.
- Informar al responsable designado y, si hay datos personales afectados, valorar la obligación de notificar a la autoridad competente.
- Avisar a las personas afectadas si es necesario.
- Corregir la causa: formación, configuración, cambio de herramienta.
Anote cada incidente en un registro: es la mejor base para mejorar las reglas.
Conciliar seguridad y productividad
Prohibir la IA no protege a la empresa: los empleados usan entonces herramientas de consumo sin control. Lo adecuado es ofrecer herramientas profesionales adaptadas a los usos reales, con reglas sencillas. El ahorro de tiempo es importante en redacción, síntesis y análisis, siempre que el marco sea claro. Vea nuestra guía sobre Microsoft Copilot en pymes como ejemplo de herramienta integrada.
Buscar acompañamiento
Una auditoría del uso de la IA recoge las herramientas utilizadas, los datos implicados y los riesgos, y propone una política y una hoja de ruta. Suele ser el primer paso de un proyecto más amplio de automatización. Nuestro acompañamiento en IA y transformación digital cubre ambos aspectos.
El marco legal
Las normas de protección de datos también se aplican a la IA. En Túnez, la ley orgánica de 2004 regula el tratamiento de datos personales y prevé declaraciones ante la autoridad nacional competente. Para los datos de residentes europeos, el RGPD exige una base jurídica, informar a las personas y garantías en caso de transferencia fuera de la Unión. En el Golfo, varios países han adoptado sus propias leyes de datos personales. Antes de confiar datos a una herramienta de IA, compruebe con su asesor jurídico las normas aplicables en los países de sus clientes.
Preguntas frecuentes
¿Se puede usar ChatGPT con datos de la empresa?
Sí, con una oferta profesional cuyas condiciones excluyan el entrenamiento con sus datos, y respetando una política que prohíba introducir datos personales o confidenciales fuera de un marco validado.
¿Hay que prohibir la IA generativa a los empleados?
Una prohibición rara vez se respeta. Es más eficaz proporcionar herramientas profesionales validadas, una política clara y una formación breve.
¿Qué ley se aplica a los datos personales usados con IA?
La legislación de protección de datos del país correspondiente, por ejemplo la ley orgánica de 2004 en Túnez, y el RGPD para datos de residentes europeos.
¿Se puede usar ChatGPT gratuito en el trabajo?
Para contenidos públicos, sí. Para datos internos o confidenciales, use una oferta profesional cuyas condiciones excluyan el entrenamiento con sus datos y permitan administrar las cuentas.
¿Hay que informar a los clientes del uso de la IA?
Es recomendable cuando la IA interviene en un entregable o en la relación con el cliente, por ejemplo un agente conversacional. La transparencia refuerza la confianza.