La inteligencia artificial generativa ha entrado en las oficinas en cuestión de meses: resumir documentos, redactar emails, analizar datos. Sin embargo, a menudo se usa sin reglas, introduciendo información de la empresa o datos personales en sistemas sin saber adónde van a parar.
En esta guía vemos los principales riesgos de privacidad y confidencialidad, una lista de 10 controles que hacer antes de adoptar una IA empresarial, un índice de ejemplo para una política interna y cómo aborda ThorIA estos puntos.
Los riesgos de la IA generativa con datos de la empresa
Datos enviados a un proveedor externo
Cuando un empleado pega un texto en una herramienta de IA online, esos datos salen de la empresa y los procesan los sistemas del proveedor. Si contienen datos personales de clientes o empleados, o información confidencial, la empresa está confiando de hecho un tratamiento a un tercero.
Condiciones contractuales
Lo que el proveedor puede hacer con los datos depende de las condiciones del servicio y del contrato. Las versiones gratuitas o personales y las versiones empresariales pueden tener reglas muy distintas. Sin un contrato adecuado es difícil saber qué garantías se tienen.
Uso para entrenamiento
Algunos servicios pueden usar los datos introducidos para mejorar o entrenar sus modelos. Para una empresa es un punto esencial que aclarar: la información confidencial usada para entrenamiento escapa a su control.
Ubicación
Saber dónde se guardan y procesan los datos importa tanto para la seguridad como para las obligaciones de privacidad, sobre todo cuando los datos podrían transferirse fuera de la Unión Europea.
A estos riesgos se suma el uso «en la sombra»: herramientas adoptadas por empleados concretos sin que la empresa lo sepa. Por eso, el primer paso para gestionar el riesgo es saber qué herramientas se usan y para qué.
Calidad y revisión de los resultados
Por último, hay un riesgo menos ligado a la privacidad pero igual de real: los contenidos generados por la IA pueden contener errores. Usarlos sin revisar en documentos, comunicaciones con clientes o decisiones internas puede causar problemas. Por eso una persona debería revisar cada resultado antes de usarlo.
Lista de comprobación: 10 controles antes de adoptar la IA
Usa esta tabla para evaluar cualquier herramienta de IA antes de introducirla en tu empresa.
| # | Control | Pregunta que hacer |
|---|---|---|
| 1 | Contrato y contrato de encargado | ¿Hay un contrato claro y un contrato de encargado del tratamiento (DPA)? |
| 2 | Dónde están los datos | ¿En qué país se guardan y procesan los datos? |
| 3 | Uso para entrenamiento | ¿Se usan los datos introducidos para entrenar modelos? |
| 4 | Conservación | ¿Cuánto tiempo se conservan los datos y cómo se eliminan? |
| 5 | Accesos y roles | ¿Quién puede usar la herramienta y a qué información puede acceder? |
| 6 | Política interna | ¿Hay reglas escritas sobre lo que se puede y no se puede hacer? |
| 7 | Registros | ¿Se registran las actividades y se pueden consultar? |
| 8 | Formación de los empleados | ¿Saben las personas que usan la IA utilizarla correctamente? |
| 9 | Soporte | ¿Qué soporte ofrece el proveedor, al principio y a lo largo del tiempo? |
| 10 | Certificaciones | ¿Tiene el proveedor certificaciones de seguridad verificables? |
Ningún control basta por sí solo: es el conjunto de las respuestas lo que indica si una herramienta es adecuada para el uso que tienes en mente. Una herramienta aceptable para redactar textos públicos puede no serlo para tratar datos del personal. Si la IA se usa para gestionar personal en Italia, ten en cuenta también las obligaciones de información de la Ley 132/2025 sobre IA.
Es útil documentar el resultado de los controles para cada herramienta: así, si un compañero pregunta si puede usar un determinado servicio, la respuesta ya está disponible y, en caso de auditoría, puedes mostrar las evaluaciones realizadas.
Política interna de uso: un índice de ejemplo
Una política escrita convierte las decisiones de la empresa en reglas que todos pueden entender. Este es un posible índice que adaptar a tu organización:
- Finalidad y ámbito: a quién se aplica la política y para qué herramientas.
- Herramientas autorizadas: lista de herramientas de IA aprobadas y procedimiento para solicitar otras nuevas.
- Datos utilizables: qué información se puede introducir y cuál queda excluida, por ejemplo los datos personales o confidenciales.
- Usos permitidos y prohibidos: ejemplos concretos para los distintos departamentos.
- Revisión de los resultados: una persona debe revisar siempre los contenidos generados antes de usarlos.
- Transparencia: cuándo y cómo informar a clientes, usuarios y trabajadores sobre el uso de la IA.
- Funciones y responsabilidades: quién aprueba las herramientas, quién controla y a quién dirigirse con dudas.
- Seguridad: credenciales, accesos, comunicación de incidentes.
- Formación: itinerarios formativos para quienes usan la IA.
- Revisión: con qué frecuencia se actualiza la política.
La política es también el punto de partida para cumplir el Reglamento de IA: para los plazos actualizados, lee nuestro artículo sobre el Reglamento de IA y el Ómnibus Digital. Para los términos técnicos, consulta nuestro glosario.
Una política eficaz es breve y concreta. Unas pocas reglas claras, con ejemplos prácticos para los distintos departamentos, valen más que un documento largo que nadie lee. Debe comunicarse a todos los empleados, incluirse en la formación y actualizarse cuando cambian las herramientas en uso.
Cómo aborda ThorIA estos puntos
ThorIA, la IA empresarial de Thorsoft, cumple varios de los controles de la lista:
- Dónde están los datos: los datos se alojan en la UE (Milán, Italia).
- Uso para entrenamiento: los datos nunca se utilizan para entrenar modelos.
- Accesos: usuarios ilimitados, con acceso para todas las personas autorizadas.
- Personalización: el equipo de Thorsoft configura ThorIA sobre los procesos de la empresa.
- EIPD: disponible bajo petición.
- Certificaciones: ISO 27001, ISO 27017 e ISO 27018.
Thorsoft clasifica ThorIA en la categoría de riesgo limitado del Reglamento de IA. La política interna, la formación del personal y la evaluación de sus propios tratamientos siguen siendo responsabilidad de la empresa.
Adoptar la IA con seguridad no significa renunciar a sus ventajas, sino usarla con reglas claras: saber qué datos se introducen, adónde van y quién puede acceder a ellos es la condición para que trabaje a favor de la empresa.
F.A.Q. - Preguntas frecuentes
¿Puedo usar ChatGPT en la empresa?
Depende de los datos tratados, del contrato y de la configuración del servicio: valora el contrato de encargado, la ubicación de los datos y su uso para entrenamiento antes de introducir información de la empresa.
¿Cuáles son los principales riesgos?
Datos enviados a un proveedor externo, condiciones contractuales poco claras, posible uso de los datos para entrenamiento y ubicación de los datos fuera del control de la empresa.
¿Qué debo comprobar antes de adoptar una IA empresarial?
Contrato y contrato de encargado, dónde están los datos, uso para entrenamiento, conservación, accesos y roles, política interna, registros, formación de los empleados, soporte y certificaciones.
¿Necesitamos una política interna sobre IA?
Es muy recomendable: fija qué herramientas están permitidas, qué datos se pueden usar, cómo revisar los resultados y quién es responsable.
¿Usa ThorIA mis datos para entrenamiento?
No. Con ThorIA, los datos se alojan en la UE (AWS Milán, Italia) y nunca se utilizan para entrenar modelos.
Solicita una demo
Descubre cómo usar la IA en la empresa con datos en la UE, nunca utilizados para entrenamiento.
Información general, no asesoramiento jurídico: consulta siempre la normativa vigente.