La Agencia Española de Protección de Datos (AEPD) ha publicado un decálogo de recomendaciones para alertar sobre los riesgos de compartir información con herramientas de inteligencia artificial y la necesidad de extremar la prudencia en su uso. Sus advertencias afectan de lleno a autónomos y pymes, que ya utilizan estas tecnologías en su actividad diaria.
Muchos negocios recurren a la IA para redactar textos comerciales, atender consultas de clientes, analizar datos, generar imágenes o apoyar procesos internos, a menudo sin valorar qué información se introduce, dónde se almacena o con qué fines puede reutilizarse. Desde el punto de vista de la protección de datos, este uso sin control puede suponer un problema serio si se comparten datos personales o información estratégica del negocio.
En este contexto, el experto en ciberseguridad y responsable de investigación y concienciación de Ontinet.com, Josep Albors, advirtió de que la normativa española “referente a la protección de datos contempla multas importantes para aquellas organizaciones que no realicen el correcto tratamiento de los datos personales a su cargo”. En especial cuando se emplean sistemas de IA sin medidas que eviten que esa información “se comparta ni se filtre a terceros que no deberían tener acceso a ellos”.
- La AEPD alerta sobre un posible mal uso de la IA que afectaría a los negocios
- Datos personales y delicados: el mayor foco de riesgo
- Elegir herramientas de IA con garantías y revisar condiciones
- IA como apoyo, no como sustituta del criterio profesional
- Cuentas separadas, borrado de historial y perfilado
- Menores y uso responsable en entornos ligados al negocio
- Qué puede hacer un autónomo desde hoy para cumplir sin volverse loco
La AEPD alerta sobre un posible mal uso de la IA que afectaría a los negocios
El decálogo publicado por la Agencia Española de Protección de Datos pone el foco en una idea central: cualquier información que se introduce en una herramienta de inteligencia artificial puede acabar almacenada, reutilizada o expuesta de formas que el usuario no controla. Y eso tiene implicaciones directas para autónomos y pymes que manejan datos personales, documentación interna o información estratégica en su día a día.
Lejos de ser un debate teórico, las recomendaciones se aplican a usos muy habituales como pedir a una IA que redacte un correo a un cliente, analizar un contrato, resumir una conversación comercial, crear contenidos para redes sociales o preparar respuestas de atención al cliente.
Datos personales y delicados: el mayor foco de riesgo
La AEPD pide expresamente no subir a la IA datos personales como nombres, direcciones, teléfonos, DNI, imágenes o cualquier información que permita identificar a una persona, así como evitar especialmente información delicada, médica, financiera, contractual o relacionada con geolocalización.
En el ámbito de los negocios, esto afecta directamente a bases de datos de clientes, currículums, nóminas, historiales de incidencias, reclamaciones o correos internos.
Josep Albors explicó que “además de concienciar a todos los empleados, lo ideal es contar con un sistema que filtre la información referente a datos personales y alerte al usuario antes de que esta se envíe”. Como ejemplo, señaló que existen soluciones que permiten “integrar múltiples modelos de IA, además de controlar qué información le enviamos”.
El experto añadió que esta precaución debe extenderse también a información sensible: “Si con los datos personales hemos de tener cuidado, lo mismo sucede con la información considerada como confidencial o sensible”. Por eso, insistió en que, junto a herramientas de control, es clave recordar “la importancia de la concienciación en los usuarios” para evitar compartir datos sin darse cuenta.
En la práctica, esto implica, por ejemplo:
- No copiar y pegar correos reales de clientes en un chatbot.
- No subir documentos con datos identificativos.
- Sustituir nombres reales por ejemplos ficticios al pedir ayuda a una IA.
- Información profesional, contratos y estrategia empresarial
Otro de los puntos del decálogo advierte de no incluir información profesional en herramientas de IA. Para un negocio, esto abarca contratos, presupuestos, informes internos, estrategias comerciales, listados de precios o acuerdos con proveedores.
Sobre este aspecto, Albors subrayó que “es muy importante establecer unas políticas de tratamiento de la información en la organización y asegurarse de que todos los empleados las conozcan y las aplican, realizando ejercicios y simulaciones si es necesario para corregir errores y malos hábitos”.
Un autónomo sin empleados también debería fijar sus propias reglas: qué tipo de documentos nunca se introducen en una IA y para qué tareas sí se puede usar.
Elegir herramientas de IA con garantías y revisar condiciones
La AEPD recomienda revisar las condiciones del servicio antes de utilizar una herramienta de IA y optar por las versiones más seguras. No solo se envía el texto de la instrucción dada, sino también metadatos, direcciones IP, cookies, información del dispositivo o datos de uso.
Albors advirtió de que esta revisión, aunque “tediosa, es muy importante para conocer a dónde se están enviando nuestros datos y la información que compartimos con la IA y qué se hace con ella”.
Además, alertó de que “no pocas empresas desconocen que la información compartida puede ser usada por la competencia o incluso suponer un serio inconveniente si tenemos negocios o licitaciones tanto en España como, especialmente, en el extranjero”.
Por defecto, recomendó “cuidarnos de enviar a la IA cualquier información que proporcione demasiados datos acerca de nuestro negocio, patentes o personal”.
IA como apoyo, no como sustituta del criterio profesional
El decálogo insiste en no creer todo lo que dice una IA y mantener una postura crítica ante sus respuestas, ya que puede generar contenidos erróneos o inventados.
En palabras de Albors, “siempre debemos contrastar las respuestas que nos proporciona por fuentes fiables y nunca asumir que la respuesta va a ser correcta, ya que la IA es propensa a sufrir alucinaciones”. Y añadió: “Obviamente, nunca debemos delegar al 100% en una IA la toma de decisiones y solo la debemos usar como un consejero adicional”.
Esto resulta especialmente relevante en ámbitos como:
- Fiscalidad y contabilidad.
- Contratación laboral.
- Redacción de contratos.
- Asesoramiento legal.
El documento de la AEPD también aconseja que, si se necesita asesoramiento profesional especializado, apoyo emocional o psicológico, se acuda a un profesional antes que a la IA. Albors lo resumió de forma clara: “Nunca debemos dejar nuestra salud mental en manos de la IA y siempre debemos acudir a un especialista cualificado para tratar temas de esta índole”.
Cuentas separadas, borrado de historial y perfilado
Otra recomendación práctica es utilizar distintas cuentas para diferentes servicios y, siempre que sea posible, borrar el historial de conversaciones.
Albors explicó que “la utilización de diferentes cuentas en base al servicio que vayamos a usar (no solo la IA) es una recomendación sensata puesto que evita que nos asocien las consultas que realizamos a nosotros como individuos o como empleados de una empresa”.
Sobre el historial, matizó que “en según qué interacciones con la IA puede ser recomendable mantenerlo para obtener respuestas más concretas, pero la mayoría de las veces será preferible eliminarlo”.
El decálogo añade una advertencia adicional: las preguntas que se formulan pueden contribuir a crear un perfil personal y profesional del usuario. En este sentido, Albors señaló que “debemos asumir que las cuestiones que planteemos a la IA permitirán crear un perfil personal y profesional por lo que siempre es importante plantear correctamente las preguntas para no ofrecer más información de la necesaria”.
Menores y uso responsable en entornos ligados al negocio
La AEPD recuerda que los menores pueden no ser plenamente conscientes de los riesgos de compartir información con herramientas de IA y recomienda asesorarles y guiarles.
Esto cobra especial importancia en negocios relacionados con formación, academias, actividades extraescolares o servicios para menores, donde conviene establecer normas claras sobre el uso de estas herramientas y los datos que nunca deben compartirse.
Qué puede hacer un autónomo desde hoy para cumplir sin volverse loco
A partir del decálogo de la AEPD y de las recomendaciones de los expertos, los autónomos y pymes pueden adoptar medidas básicas y asumibles para reducir riesgos en el uso cotidiano de herramientas de inteligencia artificial:
- Definir una norma interna sencilla sobre qué datos nunca se introducen en una IA.
- Informar y recordar periódicamente a empleados estas pautas.
- Usar ejemplos ficticios cuando se pidan ayudas, modelos de texto o explicaciones.
- Separar cuentas personales y profesionales.
- Revisar las condiciones de las herramientas que se utilicen con más frecuencia.
- Tratar la IA como apoyo, no como elemento decisorio.
Desde el ámbito jurídico, el abogado laboralista Jaume Barcons advirtió de que el problema “es que no sabemos donde va esa información, de ahí que sea mejor tener precaución y ser prudentes”, en referencia al destino final que pueden tener los datos introducidos en sistemas de inteligencia artificial.
Ignorar estas precauciones puede tener consecuencias. Albors recordó que “la normativa española referente a la protección de datos contempla importantes multas para aquellas organizaciones que no realicen el correcto tratamiento de los datos personales a su cargo”. Esto afecta especialmente, explicó, “a aquellas empresas que usen la IA para realizar tareas con datos personales y no tomen las debidas medidas para garantizar que estos datos no se comparten, ni se filtran a terceros que no deberían tener acceso a ellos”.
