Los empleados filtran datos corporativos en ChatGPT: el volumen creció 30 veces en un año

Empleados Filtran Datos Corporativos a ChatGPT: El Volumen Creció 30 Veces en un Año

El grupo empresarial "Solar" analizó el tráfico de 150 organizaciones rusas y constató: el volumen de datos corporativos que los empleados envían independientemente a servicios públicos de IA ha crecido aproximadamente 30 veces — mientras que aproximadamente el 60% de las empresas no tienen ninguna norma interna al respecto.

Qué exactamente se va a data centers extranjeros

El esquema es simple: necesitas hacer un resumen de un contrato — lo cargas en ChatGPT. Necesitas procesar una lista de clientes — lo insertas en una hoja de cálculo con funciones de IA. El resultado es bueno, se tarda menos tiempo. El problema es que junto con los documentos, lo siguiente va a un data center de terceros:

• Nombres de empleados y clientes
• Datos de pasaporte y números de identificación fiscal
• Detalles bancarios e importes de transacciones
• Términos comerciales y correspondencia interna
• Información que constituye secretos comerciales

Normalmente el servicio no muestra ninguna advertencia. Formalmente, el usuario aceptó los términos que establecen que los datos pueden usarse para entrenar el modelo — pero pocas personas los leen.

Dónde está el riesgo real y dónde es solo alarmismo

Los principales proveedores de IA declaran que no utilizan datos corporativos del modo API para entrenar modelos. Pero para las empresas rusas, esto no elimina el problema.

"Aproximadamente el 60% de las empresas no tienen ninguna norma interna al respecto: el proceso no se controla ni técnica ni formalmente", — del estudio de

Solar.

Los riesgos reales se dividen en tres direcciones.

Regulatorio. Conforme a la ley rusa 152-ФЗ "Sobre Datos Personales", transferir datos personales a terceros sin el consentimiento del titular y sin un contrato apropiado es una violación. A partir del 30 de mayo de 2025, las multas por infracciones repetidas para personas jurídicas alcanzan los 15 millones de rublos.

Comercial. Si un contrato con un cliente especifica confidencialidad, y un empleado envió un documento a ChatGPT — la empresa incumplió su obligación contractual. La contraparte tiene derecho a exigir compensación por daños y perjuicios.

Reputacional. Las fugas de datos de socios por uso negligente de IA se convierten en motivo para rescisión de contratos.

Qué deben hacer las empresas ahora mismo

La buena noticia: existen soluciones y no requieren prohibir la IA.

El primer paso es una política interna: un documento de una página enumerando qué datos pueden procesarse en servicios de IA externos y cuáles no. Sin esto, la empresa no tiene herramienta para acciones disciplinarias ni argumento en conversaciones con reguladores.

El segundo paso es capacitación de empleados. No prohibir, sino explicar: qué exactamente son datos personales y secretos comerciales, por qué no pueden cargarse en un servicio público y qué alternativas corporativas existen.

El tercer paso son medidas técnicas: sistemas DLP que bloqueen o registren la transferencia de ciertos tipos de datos fuera del perímetro; herramientas de IA corporativas en tu propia infraestructura o en nube rusa con un proveedor que ha firmado acuerdo de procesamiento de datos conforme a 152-ФЗ.

Qué significa esto

La transición masiva de empleados a herramientas de IA no puede detenerse — y no debería hacerlo. Pero un aumento de 30 veces en el volumen de transmisión de datos en un año indica que la mayoría de las empresas perdieron el momento en que esto dejó de ser una iniciativa privada y se convirtió en un riesgo corporativo sistémico. Las normas se necesitan no "en algún momento", sino ahora mismo.

Preguntas frecuentes

¿Corre riesgo la empresa de multa si un empleado cargó datos en

ChatGPT por su cuenta?

Sí, potencialmente. Conforme a 152-ФЗ, la responsabilidad por el procesamiento de datos personales recae en el operador — es decir, la empresa, no el empleado específico. Si se establece el hecho de transmisión de datos personales a tercero, el regulador tiene derecho a imponer multa a la persona jurídica. A partir del 30 de mayo de 2025, por infracciones repetidas alcanza los 15 millones de rublos.

¿Existe alternativa segura a servicios públicos de IA?

Sí: soluciones de IA corporativas implementadas en servidores propios o en nube rusa con un proveedor que ha suscrito acuerdo de procesamiento de datos. En este caso, los datos no salen del perímetro controlado.