Adopción de IA: cómo ChatGPT recibe los datos corporativos de los empleados

Al adoptar servicios de IA, los empleados envían datos corporativos a ChatGPT y otras plataformas públicas, con el consiguiente riesgo de filtraciones. El análisis de Solar Group mostró que el volumen de esos datos se multiplicó por 30 en un año.

Qué acaba exactamente en centros de datos ajenos

El esquema es sencillo: hace falta un resumen de un contrato, así que se sube a ChatGPT. Hay que procesar una lista de clientes, así que se pega en una hoja de cálculo con funciones de IA. El resultado es bueno y se tarda menos. El problema es que, junto con los documentos, llegan a un centro de datos de terceros:

• Nombres completos de empleados y clientes
• Datos de pasaporte e INN (identificador fiscal)
• Datos bancarios e importes de operaciones
• Condiciones comerciales y correspondencia interna
• Información que constituye secreto comercial

Normalmente el servicio no muestra ninguna advertencia. Formalmente, el usuario aceptó unas condiciones que indican que los datos pueden usarse para entrenar el modelo, pero pocos las leen.

Dónde está el riesgo real y dónde la exageración

Los grandes proveedores de IA declaran que no usan para entrenar sus modelos los datos corporativos enviados mediante la API. Pero para las empresas rusas eso no resuelve el problema.

«Alrededor del 60% de las empresas no tiene ninguna norma interna al respecto: el proceso no se controla ni técnicamente ni sobre el papel», según el estudio de

Solar Group.

Los riesgos reales se reparten en tres frentes.

Regulatorio. Según la ley rusa 152-FZ «De datos personales», transferir datos personales a terceros sin el consentimiento del titular y sin un contrato adecuado es una infracción. Desde el 30 de mayo de 2025, las multas por infracciones reiteradas para personas jurídicas llegan a 15 millones de rublos.

Comercial. Si el contrato con un cliente incluye confidencialidad y un empleado envía el documento a ChatGPT, la empresa ha incumplido una obligación contractual. La contraparte puede exigir una indemnización por daños.

Reputacional. La filtración de datos de socios por un uso negligente de la IA se convierte en motivo para rescindir contratos.

Qué deben hacer las empresas ahora mismo

La buena noticia: hay soluciones y no requieren prohibir la IA.

El primer paso es una política interna: un documento de una página con la lista de datos que pueden procesarse en servicios de IA externos y los que no. Sin ella, la empresa carece de herramienta para sancionar disciplinariamente y de argumentos ante el regulador.

El segundo paso es la formación de los empleados. No prohibir, sino explicar: qué son exactamente los datos personales y el secreto comercial, por qué no deben subirse a un servicio público y qué alternativas corporativas existen.

El tercer paso son las medidas técnicas: sistemas DLP que bloquean o registran la salida de ciertas categorías de datos fuera del perímetro; y herramientas de IA corporativas en infraestructura propia o en una nube rusa con un proveedor que haya firmado un contrato de encargo de tratamiento conforme a la 152-FZ.

Qué significa esto

No se puede detener el paso masivo de los empleados a las herramientas de IA, ni hace falta. Pero un aumento de 30 veces en el volumen de datos transferidos en un solo año indica que la mayoría de las empresas dejó pasar el momento en que esto dejó de ser una iniciativa individual y se convirtió en un riesgo corporativo sistémico. Las normas hacen falta no «algún día», sino ahora mismo.

Preguntas frecuentes

¿Puede multarse a la empresa si un empleado subió datos a

ChatGPT por su cuenta?

Sí, potencialmente. Según la 152-FZ, la responsabilidad por el tratamiento de datos personales recae en el operador, es decir, la empresa, no en el empleado concreto. Si se establece que se transfirieron datos personales a un tercero, el regulador puede multar a la persona jurídica. Desde el 30 de mayo de 2025, por infracciones reiteradas la multa llega a 15 millones de rublos.

¿Existe una alternativa segura a los servicios públicos de IA?

Sí: soluciones corporativas de IA desplegadas en servidores propios o en una nube rusa con un proveedor que haya firmado un contrato de encargo de tratamiento de datos personales. En ese caso, los datos no salen del perímetro controlado.

¿Qué datos envían los empleados a ChatGPT?

Según el estudio, nombres completos de empleados, información de contratos corporativos, datos de clientes y otros documentos confidenciales que los empleados suben para que los procesen servicios de IA.

¿Por qué las empresas arriesgan al enviar datos a la IA?

El estudio mostró que cerca del 60% de las empresas rusas no tiene normas internas al respecto. Los empleados envían datos a ChatGPT porque agiliza el trabajo: pueden resumir un contrato, procesar una lista de clientes o hacer otras tareas más rápido que a mano.