Una persona de tu equipo tiene delante un contrato de 40 páginas y poco tiempo. Abre ChatGPT en el navegador, pega el texto entero y pide un resumen. Lo hace con la mejor intención, desde su cuenta personal y sin que nadie se entere. En diez segundos, un documento confidencial de tu empresa ha salido de tus sistemas hacia los de un tercero.

Esto pasa todos los días en empresas de todos los tamaños, y casi nunca por mala fe. La pregunta útil no es si tu plantilla usa IA, sino qué información le está dando.

◢¿Qué pasa con lo que escribes en ChatGPT?

Eso significa que quien opera la herramienta, o sus socios y contratistas, pueden leer lo que pegas. El NCSC añade dos riesgos más: que las consultas almacenadas se filtren o queden accesibles por error, y que el proveedor sea comprado más adelante por una empresa con otra política de privacidad que la que tenía cuando introdujiste los datos.

◢¿Qué información no deberías pegar en una IA pública?

La recomendación del NCSC es clara: no incluir información sensible en las consultas a modelos públicos, y no enviar nada que causaría problemas si se hiciera público. Aplicado a una empresa normal, esto incluye:

• ▹Datos personales de clientes, empleados o candidatos: nombres con DNI, direcciones, historiales, nóminas, currículums.
• ▹Contratos, ofertas y condiciones comerciales que todavía no son públicas.
• ▹Credenciales, claves de acceso, tokens y contraseñas. Es más frecuente de lo que parece cuando alguien pega un fragmento de código o un fichero de configuración para pedir ayuda.
• ▹Código fuente propio y documentación técnica interna.
• ▹Información financiera, estrategia y cualquier cosa que no dirías en voz alta en un tren.

◢¿Por qué lo hace la gente si sabe que es arriesgado?

Porque la herramienta funciona y nadie les ha dado otra. Si la empresa no ofrece una alternativa aprobada, el trabajo se hace igualmente, pero con cuentas personales y fuera de cualquier control. A eso se le llama shadow AI, IA en la sombra, y lo comenté al hablar de la alfabetización en IA que exige el AI Act.

Prohibirlo todo rara vez funciona. El propio NCSC lo plantea al cerrar su artículo: hay que asegurarse de que quien quiere experimentar con estas herramientas pueda hacerlo, pero de una manera que no ponga en riesgo los datos de la organización.

◢¿Existe una forma segura de usar IA con datos de la empresa?

Sí, pero no es la versión gratuita en el navegador. El NCSC distingue entre los modelos públicos, que no recomienda para información sensible, y los privados, que puede ofrecer un proveedor en la nube o que se alojan en tus propios servidores. En el primer caso, cuenta lo que diga el contrato:

• ▹Quién puede ver tus consultas dentro del proveedor y en qué condiciones.
• ▹Si tus datos se comparten de forma aislada o mezclados con los de otras organizaciones.
• ▹Si el proveedor y sus socios pueden usarlos para investigar o mejorar el modelo.

El NCSC también señala que alojar un modelo propio suele ser muy caro y que requiere una evaluación de seguridad previa. Para muchas pymes, la opción razonable está en el medio: una herramienta contratada para empresa, con condiciones por escrito, o un asistente conectado solo a la documentación que de verdad necesita. Si lo conectas a tus sistemas, no te saltes los permisos: lo cuento en el artículo sobre agentes de IA con demasiados permisos.

◢Cómo montar una política de uso de IA en una página

No hace falta un documento de cuarenta páginas. Con una sola basta si responde a cuatro preguntas:

1. ▹Qué herramientas están aprobadas para el trabajo y cuáles no.
2. ▹Qué tipos de datos nunca se pueden introducir en ninguna IA externa, con ejemplos concretos del día a día de tu empresa.
3. ▹A quién se pregunta ante la duda, con un nombre y un correo, no con "al departamento de IT".
4. ▹Qué se hace si alguien se equivoca. Aquí importa que contarlo no tenga castigo, porque un error que se oculta es el que causa el problema grande.

Después viene lo que más cuesta: explicarlo. Una política que solo se envía por correo no la lee nadie. Funciona mucho mejor con ejemplos reales de la propia empresa y diez minutos de conversación en un equipo.

◢Qué puedes hacer esta semana

Pregunta de forma abierta qué herramientas de IA usa tu equipo y para qué. No lo hagas como una inspección: lo que te interesa es saber qué necesidades hay detrás. Con esa lista, decide qué ofreces como alternativa aprobada, redacta la política y cuéntala en una reunión.

Si quieres que tu plantilla aprenda a usar la IA sin regalar información, es parte de lo que explico en mi formación de ciberseguridad e IA para empresas, con ejemplos pensados para equipos que no son técnicos.