Qué pasa con tus datos si tu equipo usa ChatGPT sin autorización

"Total, es solo para resumir un documento." Esa frase, dicha sin mala intención, es el punto de partida de casi todos los incidentes de datos con IA que conocemos. Nadie decide exponer información de la empresa. Simplemente nadie se pregunta qué pasa con el texto después de pegarlo. Aquí va la respuesta, con datos reales.

¿Qué le pasa a un dato cuando entra en una IA sin autorización?

El camino tiene tres tramos, y el problema casi siempre está en el último. Primero, el dato se escribe en un chat. Segundo, según el plan y la política del proveedor, ese texto puede quedar almacenado y, en algunos casos, usarse para entrenar el modelo. Tercero, y esto es lo que casi nadie considera: si la cuenta es personal, no de empresa, tu organización no tiene ninguna visibilidad ni control sobre ese dato. No puede borrarlo, no puede auditarlo, no sabe ni que existe.

¿Qué encontró el análisis de Cyberhaven sobre datos legales y shadow AI?

Cyberhaven, empresa especializada en seguridad de datos, analizó el comportamiento de 3 millones de trabajadores entre marzo de 2023 y marzo de 2024 (dato actualizado en marzo de 2025). Dos cifras de ese análisis resumen el problema mejor que cualquier argumento abstracto:

El informe no declara un alcance geográfico concreto, así que no lo extrapolamos a España ni a ningún país en particular: es una muestra global de 3 millones de trabajadores. Pero la mecánica que describe es universal y no depende del país: cuando el dato sensible entra por una cuenta personal, la empresa pierde el control sobre él, sea cual sea la jurisdicción.

¿Qué pasó en el caso Samsung? El ejemplo real que ya conocemos

El caso más citado de este problema no es una hipótesis, es un hecho ya conocido: empleados de Samsung pegaron información confidencial de la empresa, incluido código fuente, en ChatGPT para resolver tareas de trabajo. Cuando la compañía detectó el riesgo, reaccionó limitando el uso de IA generativa dentro de la organización. Lo cuenta con detalle este análisis de Xataka, que además explica qué se puede hacer para evitarlo.

Lo relevante del caso no es Samsung en concreto: es que ninguno de esos empleados actuó con mala intención. Cada uno resolvía una tarea real, de la forma más rápida que tenía a mano. El mismo patrón que describe el informe de Cyberhaven a escala.

¿Cuentas gratuitas frente a cuentas de empresa? Dónde está la diferencia real

La diferencia no es cosmética. En la versión gratuita o personal de muchas IA, el texto que escribes puede usarse por defecto para entrenar el modelo, y la empresa no tiene ningún control sobre ese dato una vez ha salido de sus sistemas. En los planes Enterprise o Business, por defecto, esto no ocurre: el proveedor se compromete contractualmente a no usar esos datos para entrenar. La cuenta con la que se usa la IA, no la herramienta en sí, es lo que marca la diferencia.

¿Qué puedes hacer hoy mismo con esto?

No hace falta una plataforma cara ni un proyecto de meses para reducir este riesgo. Tres pasos concretos, en orden. Primero, decide qué cuenta de IA es la oficial de la empresa (Enterprise o Business, no la personal de cada uno) y facilita que todo el mundo pueda usarla sin fricción. Segundo, deja por escrito, en una frase, qué tipo de dato no se pega nunca en ninguna IA, sea cual sea la cuenta: lo desarrollamos en qué no pegar nunca en una IA con datos de clientes. Tercero, explica el porqué, no solo la norma: un equipo que entiende que una cuenta personal deja el dato fuera de control coopera mucho más que uno al que solo se le prohíbe algo sin explicación.

En la práctica: el patrón se repite en cuanto se mira

Cuando ayudamos a una empresa a descubrir qué IA usa realmente su equipo, lo habitual es encontrar cuentas personales conectadas a trabajo real: contratos, presupuestos, datos de clientes. Nadie lo hizo con mala intención. Nadie tampoco se preguntó, en el momento de pegar el texto, qué pasaba con ese dato después.

Encontrar cuentas personales conectadas a trabajo real no es un argumento para prohibir la IA. Es un argumento para saber, con la misma naturalidad con la que sabes quién tiene acceso a tu ERP, quién está usando qué IA y con qué cuenta. Repasa también el problema del shadow AI que ya está en tu empresa y, si tu empresa usa IA de terceros en su actividad, qué te obliga el AI Act como empresa usuaria. Antes de decidir qué política aplicar, conviene entender, con la calma que da la información concreta, exactamente qué está en juego.