Redactar un correo delicado, resumir un acta, traducir una oferta comercial: en muchas pequeñas empresas, los empleados ya utilizan ChatGPT, Copilot o Le Chat, a veces sin que el directivo lo sepa. Prohibirlo en bloque apenas funciona; dejar hacer expone a dos riesgos concretos, la fuga de información confidencial y la difusión de errores presentados con aplomo. Estas son las reglas que conviene establecer, apoyándose en las recomendaciones de la CNIL (la autoridad francesa de protección de datos), en el reglamento europeo de IA y en la documentación de un proveedor.
Lo que recomienda la CNIL
En julio de 2024, la CNIL publicó sus primeras precisiones para desplegar un sistema de IA generativa en una organización. Se resumen en seis puntos:
- Partir de una necesidad concreta y de usos identificados, en lugar de desplegar una herramienta sin un objetivo preciso.
- Delimitar los usos mediante una lista de utilizaciones autorizadas y prohibidas. La CNIL cita dos ejemplos de prohibiciones: proporcionar datos personales al sistema y confiarle la toma de decisiones.
- No ocultar las limitaciones de estas herramientas, en particular su capacidad para producir resultados inexactos pero verosímiles, ni los riesgos para los derechos de las personas.
- Elegir un sistema robusto y un despliegue seguro: dar prioridad a sistemas locales, seguros y especializados o, en su defecto, comprobar en qué medida el proveedor puede reutilizar los datos que se le confían, y adaptar los usos en consecuencia.
- Formar y sensibilizar a los usuarios sobre los usos prohibidos y los riesgos de los usos permitidos.
- Establecer una gobernanza que asocie desde el principio al delegado de protección de datos, si lo hay, a la persona encargada de la informática y la seguridad, y a los responsables de negocio.
Una obligación europea ya en vigor: formar a los equipos
El reglamento europeo de inteligencia artificial, conocido como AI Act, contiene un artículo 4 sobre la «alfabetización en IA». Según las preguntas frecuentes de la Comisión Europea, actualizadas el 20 de octubre de 2026, se aplica desde el 2 de febrero de 2025. Se dirige tanto a los proveedores de sistemas de IA como a sus responsables del despliegue, lo que incluye a una empresa cuyos empleados utilizan una herramienta de IA en su trabajo, y les exige adoptar medidas para desarrollar los conocimientos en IA de su personal y de las personas que utilizan estos sistemas en su nombre.
La Comisión pone un ejemplo que interpela a todas las microempresas: los empleados que utilizan ChatGPT para redactar textos publicitarios o para traducir deben ser informados de los riesgos específicos, como las «alucinaciones», esas respuestas falsas pero creíbles. Las exigencias siguen siendo flexibles: no se necesita ningún certificado, no se impone ningún formato de formación y no se exige ningún nivel concreto. Para dejar constancia de las formaciones o acciones de sensibilización, la empresa puede anotarlas en un registro interno. No obstante, la Comisión considera que limitarse a las instrucciones de uso de los sistemas de IA podría resultar ineficaz.
Desde el 2 de agosto de 2026, la supervisión corresponde a las autoridades nacionales de vigilancia del mercado. El reglamento no crea ningún delito penal, pero la Comisión subraya que la falta de formación de los empleados podría hacer más probable una sanción en caso de incidente.
Cuentas personales u oferta profesional: la cuestión de los datos
La recomendación de la CNIL de comprobar la reutilización de los datos por parte del proveedor cobra aquí todo su sentido. Las condiciones varían de una herramienta y de una oferta a otra, y corresponde al proveedor precisarlas. Un ejemplo de Microsoft: la documentación de Copilot para Microsoft 365 indica que ni las solicitudes, ni las respuestas, ni los datos a los que Copilot accede a través de Microsoft Graph se utilizan para entrenar los grandes modelos de lenguaje de base, y que Copilot solo muestra los datos a los que el usuario ya tiene derecho a acceder.
Este último punto tiene una consecuencia práctica a menudo ignorada: un asistente conectado al correo y a las carpetas compartidas encontrará todo lo que un empleado pueda abrir técnicamente. Antes de activarlo, conviene comprobar los derechos de acceso a las carpetas sensibles, como los ficheros de nóminas o los contratos. Microsoft recuerda además que sus respuestas no están garantizadas al 100 % y que hay que revisarlas antes de transmitirlas.
Las reglas que hay que poner por escrito
Combinando estas recomendaciones, una pequeña empresa puede formalizar una breve carta interna:
- Enumerar las herramientas autorizadas, preferiblemente con una cuenta de empresa cuyas condiciones de reutilización de datos se hayan comprobado.
- Prohibir la introducción de datos personales (clientes, empleados, candidatos) y de información confidencial en las herramientas no validadas.
- Exigir una revisión humana de todo contenido generado antes de su envío o publicación, comprobando las cifras, los nombres y las referencias.
- Excluir las decisiones que afecten a personas, como la selección de candidaturas o la evaluación de un empleado, conforme al ejemplo de prohibición dado por la CNIL.
- Organizar una sensibilización sobre las alucinaciones y la confidencialidad, y anotarla en un registro interno.
- Designar a un referente que mantenga la lista actualizada y responda a las preguntas.
Preguntas frecuentes
¿Pueden mis empleados utilizar ChatGPT con su cuenta personal?
Corresponde a la empresa decidirlo en sus normas internas. Con una cuenta personal, no controla las condiciones aplicadas a los datos introducidos; la CNIL recomienda definir los usos autorizados y comprobar qué hace el proveedor con los datos.
¿Hace falta una formación certificada para cumplir el AI Act?
No. La Comisión Europea indica que no se necesita ningún certificado; la empresa puede dejar constancia de sus acciones de formación o sensibilización en un registro interno.
¿Se puede confiar a la IA la selección de currículos?
La CNIL cita la toma de decisiones entre los ejemplos de usos que deben prohibirse. Para un proyecto relacionado con la contratación, infórmese ante la CNIL antes de lanzarse.
¿Se utilizan los datos introducidos en Copilot para entrenar la IA?
En el caso de Copilot en Microsoft 365, Microsoft indica que no. Cada herramienta tiene sus propias condiciones: léalas antes de autorizarla en la empresa.
Fuentes
- ¿Cómo desplegar una IA generativa? La CNIL aporta sus primeras precisiones — CNIL, 2024-07-18
- Alfabetización en IA – Preguntas y respuestas — Comisión Europea, 2026-10-20
- Datos, privacidad y seguridad de Microsoft Copilot — Microsoft Learn, 2026-11-05