DLP para ChatGPT en una pyme: qué necesitas de verdad

Si llevas la informática de una pyme, alguien te habrá preguntado ya cómo evitar que el equipo pegue datos de clientes en ChatGPT. En las grandes empresas la respuesta tiene nombre: DLP, prevención de pérdida de datos. En una empresa de veinte personas, montar un DLP corporativo suele ser como comprar un camión para ir a por el pan. Este artículo explica qué hace un DLP con la IA, qué parte de eso necesita una pyme y cómo conseguirla sin un proyecto de meses.

Qué es un DLP y qué hace con la IA

Un DLP es un sistema que inspecciona lo que sale de la empresa (correos, ficheros, subidas a la web) y lo bloquea o lo registra si contiene información sensible. Con la IA generativa, los fabricantes han añadido reglas para las webs de chat: detectan cuándo alguien pega un texto en un asistente y comprueban si lleva números de tarjeta, documentos de identidad o palabras marcadas como confidenciales.

Para hacerlo, casi todos necesitan tres cosas:

• Un agente en cada ordenador o un proxy por el que pase todo el tráfico de la empresa, a menudo descifrando las conexiones cifradas.
• Una consola central donde alguien define reglas, revisa alertas y decide qué se bloquea.
• Licencias por usuario que, en las soluciones corporativas, suelen venderse dentro de paquetes de seguridad más amplios.

Funciona, pero pide una persona que lo mantenga, mira mucho más que la IA y, mal explicado, transmite al equipo que se le vigila.

Qué necesita de verdad una pyme

Si miras cómo se escapa un dato en una pyme, casi nunca es un robo. Es alguien con prisa que pega un correo de un cliente para que la IA lo conteste mejor, o una hoja de nóminas para que le cuadre una tabla. Lo que falla no es la voluntad, es el momento: nadie se acuerda de la política justo cuando pulsa pegar.

Por eso lo que más reduce el riesgo en una empresa pequeña no es bloquear, sino tres medidas más sencillas:

1. Saber qué IA se usa y con qué cuentas. Sin inventario, cualquier control es a ciegas. La plantilla de inventario de IA sirve para empezar esta semana.
2. Dar una alternativa aprobada. Una cuenta de empresa con contrato de tratamiento de datos cambia más las cosas que cualquier bloqueo. Prohibir sin alternativa empuja al equipo a sus cuentas personales.
3. Un aviso en el momento. Que el navegador diga «esto lleva un DNI y un IBAN» justo al pegar, y permita cambiarlos por marcas antes de enviar.

Las dos primeras son de organización y caben en una política de uso de IA. La tercera es la parte técnica, y es la que un DLP intenta resolver con mucha más maquinaria.

DLP corporativo frente a un aviso en el navegador

	DLP corporativo	Aviso en el navegador
Instalación	Agente en cada equipo o proxy de red	Una extensión del navegador
Qué mira	Todo el tráfico de la empresa	Solo las webs de IA de una lista cerrada
Qué hace	Bloquea o registra según reglas	Avisa y deja sustituir los datos por marcas
Quién lo mantiene	Alguien de seguridad con tiempo	El responsable, desde un panel sencillo
Cómo lo vive el equipo	Como vigilancia, si no se explica bien	Como una ayuda en el momento de pegar

Ninguna de las dos opciones es infalible. Un DLP puede bloquear de más y entorpecer el trabajo; un aviso puede ignorarse. La diferencia es de proporción: para una pyme sin departamento de seguridad, un aviso que el equipo entiende suele reducir más los descuidos que un bloqueo que nadie sabe configurar.

Qué mirar antes de instalar cualquier cosa

Sea un DLP o una extensión, hazte estas preguntas antes de desplegarlo:

• ¿Qué ve exactamente? Lo razonable es que solo actúe en las webs de IA y no en el resto de la navegación.
• ¿Adónde va lo que se escribe? Si la revisión se hace en el propio ordenador, el texto no tiene por qué viajar a un tercero para comprobarlo.
• ¿Qué registra y quién lo lee? Cifras agregadas para el responsable son muy distintas de un registro con el texto y el nombre de cada persona.
• ¿Lo sabe el equipo? Cualquier control sobre las herramientas de trabajo conviene explicarlo antes de activarlo. Tienes más detalle en controlar el uso de la IA sin vigilar a la plantilla.

Cómo lo resuelve Owtli Acta

Acta Guarda es la extensión de Owtli Acta para Chrome y Edge. Avisa al pegar o enviar datos de personas en webs de IA (DNI, NIE, IBAN, tarjetas, correos, teléfonos, claves y los términos que la empresa añada), deja sustituirlos por marcas y restaura los datos en la respuesta, solo en ese navegador. La revisión se hace en el ordenador: Acta Guarda no envía a Owtli lo que se escribe, y al panel solo llegan cifras, sin texto y sin persona.

No es un DLP ni pretende serlo: no bloquea, no mira el correo ni los ficheros y lo que se envía sigue llegando a la IA. Reduce los descuidos del día a día y deja registro agregado de cuántos avisos hubo, que es lo que una pyme suele necesitar para su expediente de la Ley de IA y del RGPD. Va incluida en todos los planes de Acta, junto con el inventario, la política y la formación del equipo.

Si quieres saber primero dónde estás, el diagnóstico gratuito te dice en diez minutos qué IA usa tu empresa y qué te conviene ordenar antes.