1. ¿Dónde está el riesgo real?
Uno de los riesgos más importantes es la información de la empresa en cuentas personales: empleados que pegan documentos internos o datos de clientes en versiones gratuitas de la IA, sin que la empresa sepa qué pasa con ellos.
Una cuenta personal y un plan de empresa no se rigen por las mismas condiciones. En una cuenta personal, las reglas sobre el uso de tus conversaciones dependen de la configuración que cada persona haya elegido, y la empresa no la controla. En un plan de empresa, las condiciones las fija un contrato con la organización, y un administrador gestiona las cuentas.
Un plan de empresa tampoco elimina todos los riesgos: los conectores, los permisos de acceso y los espacios compartidos también pueden exponer información si no se configuran bien.
Por eso la primera pregunta no es «¿qué herramienta es segura?», sino «¿en qué cuenta y con qué configuración se está usando?».
2. Lo que dicen los proveedores de IA
Los tres grandes proveedores publican compromisos concretos para sus planes de empresa; estos son los que indican en sus páginas oficiales.
| Plan de empresa | Entrenamiento de los modelos con vuestros datos | Otros compromisos publicados |
|---|---|---|
| Claude for Work (Team y Enterprise, de Anthropic) | No se usan las entradas ni las respuestas para entrenar los modelos por defecto. Excepción: si alguien envía comentarios de forma explícita (por ejemplo, con el botón de pulgar arriba o abajo) o decide autorizarlo. | La empresa cliente es la «responsable» de los datos y Anthropic actúa como «encargado» del tratamiento: solo los trata según las instrucciones del cliente para prestar el servicio. |
| ChatGPT Business y Enterprise (de OpenAI) | «No entrenamos nuestros modelos con tus datos por defecto», según OpenAI. | La empresa es propietaria de sus entradas y respuestas (donde la ley lo permite). OpenAI puede firmar un acuerdo de tratamiento de datos (DPA) para ChatGPT Business y Enterprise, en apoyo del cumplimiento del RGPD. Cifrado en reposo (AES-256) y en tránsito (TLS 1.2 o superior). En ChatGPT Business, los administradores controlan la conservación, y las conversaciones eliminadas se borran de sus sistemas en un plazo de 30 días, con las excepciones previstas en la política del proveedor, incluidas obligaciones legales y motivos de seguridad. |
| Google Workspace con Gemini (de Google) | Google indica que no usa los datos del cliente para entrenar modelos sin su permiso previo, y que el contenido no se usa para entrenar Gemini fuera de vuestro dominio ni lo revisan personas sin permiso. | Los prompts se consideran datos del cliente según el Cloud Data Processing Addendum de Google. Gemini solo accede al contenido de Workspace al que el usuario ya tiene acceso. |
Fuentes, consultadas los días 9 y 10 de octubre de 2026: Anthropic — uso de datos para entrenamiento · Anthropic — responsable y encargado · OpenAI — privacidad para empresas · Centro de privacidad de la IA generativa en Google Workspace. Estas condiciones pueden cambiar: compruébalas en la página del proveedor antes de contratar.
3. Cuentas personales: Claude, ChatGPT y Gemini
En las cuentas personales, que el contenido sirva o no para entrenar los modelos depende de un ajuste que cada usuario debe revisar.
| Herramienta (cuenta personal) | Qué indica el proveedor |
|---|---|
| Claude (Free, Pro, Max) | El entrenamiento del modelo con tus conversaciones depende de un ajuste («model training») que cada usuario puede desactivar en su configuración de privacidad. Si está activado, los chats nuevos pueden conservarse de forma desidentificada hasta cinco años para el entrenamiento. Una conversación borrada se elimina de los sistemas en un plazo de 30 días, con excepciones, por ejemplo las conversaciones señaladas por los sistemas de seguridad o las valoraciones enviadas. |
| ChatGPT (Gratis, Go, Plus, Pro) | El contenido se utiliza para entrenar los modelos, con una opción de exclusión. |
| Gemini (cuenta personal de Google) | Con el ajuste «Guardar actividad» activado, Google usa tu actividad para mejorar sus servicios, incluido el entrenamiento de modelos de IA generativa, con ayuda de revisores humanos; los datos revisados se desvinculan de tu cuenta y se guardan durante 3 años. Con el ajuste desactivado, tus conversaciones futuras no se usan para entrenar los modelos, salvo que envíes comentarios, y se conservan 72 horas. Los comentarios que envíes también pueden conservarse hasta 3 años, sin asociarse a tu cuenta. |
¿Cambia algo una suscripción individual de pago, como Google AI Pro? No está confirmado en la documentación oficial consultada. Lo seguro es revisar el ajuste en cada cuenta.
Fuentes, consultadas los días 9, 10 y 13 de octubre de 2026: Claude — planes y precios · Anthropic — condiciones para cuentas Free, Pro y Max · Anthropic — conservación de los datos · ChatGPT — precios · Centro de privacidad de las Aplicaciones de Gemini
4. Lo que exige la ley
Dos textos europeos se aplican directamente a una empresa que usa IA con datos: el RGPD y el Reglamento europeo de IA.
RGPD, artículo 28. Si la herramienta trata datos personales por cuenta de la empresa, la empresa es la responsable del tratamiento y el proveedor, el encargado. El artículo 28 dice que la empresa «elegirá únicamente un encargado que ofrezca garantías suficientes» y que ese tratamiento «se regirá por un contrato u otro acto jurídico». En sus planes de empresa, OpenAI ofrece un acuerdo de tratamiento de datos (DPA), Anthropic indica que actúa como encargado del tratamiento según sus condiciones comerciales, y Google remite a su Cloud Data Processing Addendum. Conviene comprobar que el contrato está firmado o aceptado antes de introducir datos personales.
El contrato no es la única exigencia. El RGPD pide también una base jurídica para el tratamiento, limitar los datos a lo necesario y, si salen del Espacio Económico Europeo, garantías para esa transferencia. Y que el proveedor no entrene sus modelos con vuestros datos no garantiza, por sí solo, que podáis compartirlos.
Reglamento europeo de IA, artículo 4. Las organizaciones que despliegan sistemas de IA deben adoptar medidas para apoyar la alfabetización en IA de su personal. Esta obligación se aplica desde el 2 de febrero de 2025. El Reglamento (UE) 2026/1744 (Digital Omnibus), en vigor desde julio de 2026, la mantiene, pero ya no exige un nivel concreto de alfabetización, según la Comisión Europea. Para los sistemas de alto riesgo, sigue en pie la obligación de formar al personal encargado de la supervisión humana.
Fuentes: RGPD (Reglamento (UE) 2016/679), artículos 5, 6, 28 y 44 y siguientes · Reglamento (UE) 2024/1689 de IA, artículos 4 y 113 · Comisión Europea — alfabetización en IA, preguntas y respuestas, consultada el 13 de octubre de 2026
Este artículo es informativo y no constituye asesoramiento jurídico.
5. Despachos profesionales: un nivel más de exigencia
Para abogados y asesores, al RGPD se suman las reglas deontológicas de la profesión.
- Circular 3/2026 del Consejo General de la Abogacía Española. Para los escritos profesionales elaborados con ayuda de la IA, exige verificar siempre el resultado: quien firma un escrito asume todo su contenido. La propia circular indica que la confidencialidad y el secreto profesional se tratarán en otra circular.
- Guía ICAM de buenas prácticas. La Guía ICAM (presentada en octubre de 2025) pide mantener siempre el control humano, adoptar protocolos internos (herramientas autorizadas, responsables de supervisión) y garantizar la confidencialidad también con proveedores externos.
El detalle, con los casos de uso por profesión, está en IA para despachos profesionales.
Fuentes: Circular 3/2026 del CGAE · Guía ICAM
6. Siete reglas prácticas
Estas siete reglas son las que recomiendo para usar la IA con datos de la empresa sin sorpresas. No son obligaciones legales en sí mismas, sino una forma prudente de cumplirlas.
- Un entorno profesional aprobado por la empresa para cualquier uso con información interna o datos de clientes.
- Configuración revisada: entrenamiento, conservación y conectores, cuenta por cuenta.
- Anonimización real de los documentos sensibles antes de usarlos: quitar los nombres no siempre basta. Para la AEPD, un dato solo es anónimo si no hay una probabilidad razonable de identificar a la persona.
- Lista de herramientas autorizadas, conocida por todo el equipo.
- Datos prohibidos por escrito: los que nunca se introducen en una IA.
- Validación humana de todo lo que sale de la empresa.
- Un referente interno («champion») que resuelve dudas y centraliza las necesidades.
Para empezar con una tarea concreta y configurar tu primer proyecto, consulta la guía práctica de IA para directivos.
En nuestras formaciones individualizadas aplicamos una regla sencilla: trabajamos siempre en la cuenta de IA del cliente, nunca en la nuestra, y si un documento es sensible, usamos una versión anonimizada. Así evitamos introducir los documentos del cliente en nuestra propia cuenta.
7. Preguntas frecuentes
¿ChatGPT es seguro para una empresa?
Depende del plan. Para ChatGPT Business y Enterprise, OpenAI indica que no entrena sus modelos con los datos de la empresa por defecto y ofrece un acuerdo de tratamiento de datos. En las versiones individuales, el contenido se usa para entrenar los modelos salvo que el usuario active la exclusión.
¿Mis datos sirven para entrenar la IA?
En los planes de empresa de Claude, ChatGPT y Google Workspace, no por defecto, según los proveedores. En las cuentas personales, depende del ajuste de cada usuario.
¿Necesito un contrato con el proveedor?
Si la herramienta trata datos personales por cuenta de la empresa, sí: el artículo 28 del RGPD exige que ese tratamiento se rija por un contrato u otro acto jurídico con el proveedor.
¿Y la versión gratuita?
Para información interna o datos de clientes, no la recomiendo: sus condiciones dependen de la configuración de cada usuario y la empresa no las controla. Para pruebas con documentos ficticios o que estés autorizado a compartir, puede servir.
¿Qué hago si un empleado ya ha usado una cuenta personal con datos de la empresa?
Identificad qué información se ha compartido y si incluye datos personales. Si es así, puede tratarse de una brecha de datos personales: hay que evaluar el riesgo y notificarla a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tuvo conocimiento, salvo que sea improbable que constituya un riesgo para los derechos y las libertades de las personas (artículo 33 del RGPD). Después, revisad la configuración de esa cuenta, eliminad las conversaciones afectadas si la herramienta lo permite y ofreced al equipo un plan de empresa y unas reglas de uso escritas. Consultad con vuestro delegado de protección de datos o con vuestro asesor.
Siguiente paso práctico: organiza el uso de la IA en tu equipo con nuestra plantilla de política de uso de IA para pymes.
¿Quieres ordenar el uso de la IA en tu empresa? Solicita una llamada informativa: 30 minutos, gratuita, y una propuesta a medida en 5 días hábiles.