Qué es
Escriba una regla breve que diga qué tipos de datos pueden ir a qué herramientas de IA. La mayoría de las empresas solo necesita tres grupos:
| Datos | Ejemplo | Adónde pueden ir |
|---|---|---|
| Públicos | Textos de su sitio web, precios publicados | Cualquier herramienta de IA |
| Internos | Planes, borradores, cifras internas | Solo herramientas de IA que la empresa haya aprobado |
| Restringidos | Datos personales, expedientes de clientes, datos de salud, contratos, contraseñas | Solo herramientas aprobadas para esos datos, o ninguna |
Una herramienta pública es una en la que cualquiera puede registrarse, como la versión gratuita de un chatbot. Lo que escribe en ella queda en manos de la empresa que la gestiona.
Qué muestra la evidencia
Dos casos documentados y las guías de los reguladores son la base de este consejo. Ningún estudio lo ha puesto a prueba.
- Lo que entra deja de estar en sus manos. Un trabajador de protección de menores de un departamento de la administración de Australia escribió en ChatGPT los datos de una familia. El regulador de privacidad constató que la información se había revelado a la empresa que está detrás de la herramienta y que había sido “released outside the control” [“puesta fuera del control”] del departamento.
- Un solo archivo puede contener a miles de personas. En una agencia de un estado australiano, un trabajador temporal subió a ChatGPT una hoja de cálculo. Contenía nombres, direcciones, fechas de nacimiento y datos de salud de 2031 personas.
- Una regla en papel no se consideró suficiente para el trabajo más delicado. En el primer caso, el regulador ordenó bloquear determinadas herramientas de IA para el personal de protección de menores. Dijo que el riesgo era demasiado grande “to be managed by policy and guidance alone” [“para gestionarlo solo con políticas y orientaciones”]. En el segundo, la agencia instaló controles que bloquean la subida de información personal a herramientas de IA.
- Un límite de datos puede hacer que la gente deje de usar una herramienta. En HMRC, la administración tributaria del Reino Unido, el personal solo podía usar Copilot con material por debajo del nivel “Official Sensitive” [“Oficial sensible”]. Entre el personal con licencia que no la usaba, el 46 % mencionó preocupaciones de seguridad y de datos. Diga con claridad lo que está permitido, no solo lo que no lo está.
- Los reguladores lo dicen con claridad. El regulador de privacidad de Australia recomienda que las organizaciones “do not enter personal information, and particularly sensitive information” [“no introduzcan información personal, y en especial información sensible”] en herramientas de IA públicas.
Cómo hacerlo
- Escriba los tres grupos para su empresa, con dos o tres ejemplos de su propio trabajo en cada uno.
- Haga una lista de sus herramientas de IA y anote qué grupo de datos puede recibir cada una. Incluya las funciones de IA activadas dentro del software por el que ya paga: asistentes que toman notas en reuniones, asistentes de contabilidad, redacción de correos. Unas pequeñas empresas dijeron en una encuesta de la Federal Reserve que parte de la IA les llegó dentro del software que ya usaban, y una dijo que la función de IA de su software de contabilidad no se podía desactivar. Para cada herramienta aprobada, compruebe qué hace el proveedor con lo que se escribe: si lo guarda y si lo usa para entrenar sus sistemas. Vea pida pruebas a los proveedores de IA.
- Dé al personal una herramienta aprobada. Si la única regla es “no”, la gente usará una herramienta pública con su propia cuenta. Elija una, lea sus condiciones sobre lo que pasa con sus datos y páguela.
- Enseñe un hábito: quitar los detalles. La mayoría de las tareas funcionan sin nombres. Sustituya el nombre del cliente por “el cliente” y quite las cifras que identifiquen a alguien.
- Bloquee donde un error sería grave. Para los equipos que manejan expedientes de salud, de menores, financieros o jurídicos, pida a su proveedor de informática que bloquee los sitios de IA públicos o la subida de archivos a ellos.
- Limite las descargas masivas. La agencia del segundo caso también restringió las descargas manuales de sus sistemas principales. Un archivo que no se puede exportar no se puede subir.
- Ponga la regla en su política de uso de la IA de una página.
Qué medir
- Si todas las herramientas de IA en uso están en la lista, con su grupo de datos.
- El número de personas con acceso a una herramienta aprobada, frente al número de personas que la necesitan.
- Las subidas bloqueadas, si tiene bloqueos. Si el número crece, muestra dónde falta una herramienta aprobada.
Dónde falla
- No hay una alternativa aprobada. El departamento del primer caso no tenía reglas ni herramienta aprobada, y unas 900 personas de su personal habían abierto ChatGPT.
- Demasiados grupos. Nadie recordará cinco niveles de clasificación. Con tres basta.
- Se deja fuera al personal temporal y a los colaboradores externos. La subida del segundo caso la hizo un trabajador temporal.
- La regla cubre lo que se escribe y olvida los archivos. Subir una hoja de cálculo es la forma más rápida de filtrar muchos datos.
Según el tamaño de la empresa
- Micro y pequeña: puede bastar una frase: ningún dato de clientes ni dato personal en ninguna herramienta de IA gratuita. Esa regla no cubre la IA que funciona por defecto dentro del software de pago. Revise también esa configuración. Compre un plan para empresas de la herramienta que más usa.
- Mediana: la tabla de tres grupos, una herramienta aprobada para todos y un bloqueo para los equipos con los datos más sensibles.
- Mediana-grande y gran empresa: la misma tabla, vinculada a su clasificación de datos actual, con controles técnicos sobre subidas y descargas.
Casos de empresas
Empresas que lo hicieron
- Ashurst Los equipos de asesoría jurídica interna, de riesgos y de seguridad de la información del despacho fijaron reglas estrictas para cada prueba. Solo se usaron datos públicos, y ningún dato de clientes.
- Gilberts Chartered Accountants Es “a firm-wide rule that no client-specific or confidential data is to be entered into open/public AI models” [“una regla de toda la firma que no se introduzcan datos específicos de clientes ni confidenciales en modelos de IA abiertos o públicos”], y la firma pide a los clientes que aprueben herramientas de IA concretas.
- HM Revenue & Customs (HMRC) Durante la prueba, el personal solo podía usar Copilot con material por debajo de la clasificación de seguridad Official Sensitive.
Qué pasó sin ella
Empresas que acabaron adoptándola
Fuentes
Ningún estudio publicado pone a prueba directamente esta práctica, así que se califica como Práctica habitual. La calificación se basa en los casos de empresas de arriba y en las fuentes de abajo.
- Office of the Australian Information Commissioner (October 2024, updated January 2025). Guidance on privacy and the use of commercially available AI products. oaic.gov.au
- Office of the Victorian Information Commissioner (September 2024). Investigation into the use of ChatGPT by a Child Protection worker. ovic.vic.gov.au
- Sanchez-Moyano, Holmes and Simms (2026). AI Adoption Among Small Businesses: Qualitative Insights from the Small Business Credit Survey. Federal Reserve Bank of San Francisco, Community Development Research Brief 2026-01. frbsf.org
Prácticas relacionadas
- Escriba una política de uso de la IA de una página que el personal lea de verdad Ponga en una página las reglas para la IA: qué herramientas se permiten, qué no se debe escribir nunca en ellas, quién revisa el resultado y a quién preguntar. Después lleve la regla más importante al propio trabajo, porque una página sola se ignora. Hacer primero · Esfuerzo: bajo (días, una persona)
- Pida pruebas a los proveedores de IA antes de comprar, y haga una prueba con su propio material No acepte sin más la cifra de precisión de un proveedor de IA ni su promesa de “cumplimiento total”. Pregunte cómo se probó y con qué material, haga una pequeña prueba con su propio material y revise las condiciones sobre sus datos y sobre la salida del contrato. Hacer primero · Esfuerzo: medio (semanas, unas pocas personas)
- Conozca las reglas que ya se aplican a su uso de la IA La mayoría de las reglas que obligan a su empresa cuando usa IA no son leyes de IA. Usted responde de lo que su IA dice y hace según las normas de consumo, privacidad, publicidad y profesionales que ya cumple. Haga una lista de sus usos de la IA y asigne a cada uno sus reglas. Hacer primero · Esfuerzo: bajo (días, una persona)
- Forme al personal en las herramientas que de verdad eligió Muestre a cada usuario qué es la herramienta de IA elegida, dónde se equivoca y qué debe revisar. Use sus propias tareas y sus propias reglas, dé tiempo para practicar e incluya al personal temporal. Hacer primero · Esfuerzo: medio (semanas, unas pocas personas)