Cómo evitar que tu equipo pegue DNI en ChatGPT

Casi todas las pymes que usan IA tienen la misma escena: alguien del equipo copia un correo de un cliente, una nómina o un contrato, lo pega en ChatGPT para que se lo resuma y sigue con su trabajo. No lo hace con mala intención. Lo hace porque ahorra media hora y nadie le ha explicado qué contiene ese texto.

El problema real es el RGPD, no la Ley de IA

Cuando se habla de IA en la empresa se piensa enseguida en la Ley de IA europea. Para este caso concreto, la norma que pesa más es otra: el Reglamento General de Protección de Datos. Un DNI, un IBAN, un teléfono o un correo de una persona son datos personales. Si salen de la empresa hacia un proveedor sin que haya un contrato de encargo de tratamiento (art. 28) y sin una base clara para ese tratamiento, la empresa tiene un problema, sea cual sea la herramienta.

La Ley de IA entra por otro lado: desde el 2 de febrero de 2025 pide medidas para que las personas que usan IA en la empresa tengan un nivel suficiente de alfabetización (art. 4). Tras el Ómnibus Digital es una obligación de medios: se trata de poner medios razonables y poder enseñarlos, no de alcanzar un resultado. Formar al equipo en qué se puede pegar y qué no encaja en las dos normas a la vez.

Cuatro medidas y qué hace cada una

Ninguna de las cuatro basta por sí sola. Cada una cubre un hueco distinto:

1. Una política de uso escrita. Dice qué herramientas se pueden usar, con qué datos y quién decide las excepciones. Sirve para que nadie pueda decir que no lo sabía y para tener algo que enseñar. No impide que alguien se despiste a las seis de la tarde. Tienes una plantilla en la política de uso de IA.
2. Formación por puesto. Recepción, administración y dirección no pegan lo mismo. Una formación corta, con ejemplos de su día a día, cambia más hábitos que un correo con prohibiciones. Además es lo que la Ley de IA te pide demostrar: la formación del artículo 4 con su registro.
3. Cuentas de empresa con contrato. Si la herramienta se usa con una cuenta de empresa y el proveedor actúa como encargado, el tratamiento tiene un marco. Si se usa con una cuenta personal gratuita, no. La diferencia se explica en cuenta personal o de empresa.
4. Un aviso en el momento. Las tres anteriores actúan antes o después. Esta actúa justo cuando la persona va a pegar: le dice que ese texto lleva un DNI o una cuenta bancaria y le deja decidir. Es lo que hace Acta Guarda, la extensión de Owtli Acta: detecta datos de personas en el navegador, avisa y, si la persona quiere, los cambia por marcas como [DNI_1] antes de enviar.

Qué no resuelve ninguna por sí sola

Conviene ser honesto con los límites, porque son los que se olvidan:

• El aviso no sustituye a la política ni a la formación. Detecta patrones, como un DNI con letra correcta o un IBAN válido. No entiende el contexto: un texto sobre un paciente sin un solo número identificativo pasa sin avisar.
• Los nombres son difíciles. Detectarlos por reglas da falsos positivos y falsos negativos. Un aviso que se equivoca mucho se acaba ignorando, así que en Acta Guarda los nombres solo se avisan y no se cambian solos.
• Hay huecos técnicos. Una extensión no revisa el contenido de los archivos adjuntos ni lo que se escribe en las aplicaciones del móvil, y solo funciona en los navegadores y en las webs de IA para los que está hecha.
• Las cuentas personales siguen siendo un riesgo. Un aviso reduce lo que se envía; no convierte una cuenta personal en una cuenta con contrato.

Por eso las medidas se combinan: la política dice las reglas, la formación hace que se entiendan, las cuentas de empresa dan el marco contractual y el aviso reduce el error en el momento.

Por dónde empezar

Un orden razonable para una pyme de diez a cincuenta personas:

1. Averigua qué se usa. Un inventario honesto de herramientas y cuentas, sin tono de interrogatorio. Aquí hay una guía para hacerlo en una tarde: inventario de herramientas de IA.
2. Elige dos o tres herramientas con cuenta de empresa y comunica cuáles son.
3. Escribe la política con tres reglas que cualquiera recuerde: qué datos no se pegan, qué se revisa antes de enviar y a quién se pregunta.
4. Forma al equipo y guarda el registro.
5. Añade el aviso en el momento para el error que ninguna regla evita.

Si ya ha pasado y se pegaron datos de clientes, hay un artículo con los pasos: qué hacer si pegan datos de clientes en una IA. Y para ver dónde estás hoy, el diagnóstico gratuito te orienta en unos minutos. Si quieres ver qué detectaría un aviso en el momento, en la portada puedes pegar un texto de prueba sin instalar nada: todo ocurre en tu navegador.

Este artículo es orientativo y no es asesoramiento jurídico.