Una comercial de tu empresa pega el correo de un cliente en una herramienta de IA para que le ayude a redactar la respuesta. Lo hace con buena intención y ahorra veinte minutos. Medio año después, esa conversación sigue guardada en el historial, con el nombre del cliente, su teléfono y el detalle de lo que pidió. Nadie decidió conservarla: simplemente nadie decidió borrarla.
Esto ocurre en muchas pymes y casi nunca figura en ninguna política. Aquí respondemos, en formato de preguntas y respuestas, qué conviene guardar, qué borrar y cuándo, y cómo hacerlo con el principio de minimización de datos del RGPD como guía. Aviso importante: es orientación práctica y no asesoramiento jurídico; los plazos concretos los debe confirmar tu asesor o tu delegado de protección de datos.
¿Por qué importa lo que queda guardado?
Porque un historial de chats es, en la práctica, un archivo. Contiene lo que se pegó, lo que se preguntó y lo que respondió la herramienta. Si en esas conversaciones hay datos de clientes, de empleados o información interna de la empresa, el historial pasa a ser un almacén de datos que alguien tiene que gestionar.
Hay tres problemas habituales. El primero es que nadie sabe qué hay guardado ni dónde. El segundo es que, si una persona ejerce sus derechos y pide saber qué datos tuyos tienes o que los borres, tendrás que poder encontrarlos en esas conversaciones. El tercero es el más sencillo de olvidar: cuanto más tiempo se conserva algo, más tiempo está expuesto a un acceso indebido.
¿Qué dice el principio de minimización de datos?
El RGPD pide, en términos generales, tratar solo los datos personales necesarios para una finalidad concreta y no conservarlos más tiempo del necesario para esa finalidad. Aplicado a los chats con IA, se traduce en dos ideas:
- Mete en la herramienta solo lo imprescindible. Si basta con describir la situación sin nombres, hazlo así.
- Conserva solo lo que sirve y solo mientras sirva.
La primera regla pesa más que la segunda, porque lo que nunca entra en la herramienta no hay que borrarlo después. La AEPD, en el decálogo «Cuidado con lo que le confIAs» que publicó el 27 de enero de 2026, destaca en el ámbito laboral la importancia de seguir las políticas de información y seguridad de cada organización y de no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, de su personal o de sus clientes. Son recomendaciones, no obligaciones legales por sí mismas, pero encajan con la minimización.
¿Qué conviene guardar?
Guarda lo que tiene valor para el negocio, pero no dentro del chat. Un historial de conversaciones es un cuaderno de trabajo, no el expediente oficial. Lo importante debe vivir en el sitio que corresponda:
- El resultado final (el correo enviado, el informe terminado, la propuesta) en el sistema donde ya guardas la documentación: el gestor de clientes, la carpeta del proyecto o el expediente.
- Las instrucciones que funcionan, siempre sin datos personales, en una biblioteca compartida. Aquí tienes cómo montar y mantener una biblioteca de instrucciones del equipo.
- La constancia de decisiones importantes, cuando una persona revisó y aprobó algo preparado con ayuda de la IA: quién lo revisó, cuándo y qué decidió.
- El registro de la formación que has dado a tu plantilla en IA. Según la Comisión Europea (2026), para acreditar el cumplimiento del artículo 4 del Reglamento de IA no hace falta ningún certificado: las organizaciones pueden llevar un registro interno de las formaciones y de otras iniciativas de orientación. Aquí sí conviene conservar, aunque es otra cosa distinta de los chats. Tienes más detalle en cómo acreditar la alfabetización en IA de tu plantilla.
¿Qué conviene borrar, y cuándo?
Una regla sencilla, que puedes adaptar:
- Chats con datos personales de clientes o empleados: bórralos cuando termine la tarea para la que se usaron. Si el resultado merece la pena, ya está guardado donde corresponde.
- Borradores y pruebas: bórralos al terminar o en una revisión periódica, por ejemplo trimestral.
- Conversaciones de personas que se marchan de la empresa: revisa y elimina antes de dar de baja la cuenta.
- Cualquier chat en el que se pegó algo que no debía: bórralo cuanto antes y avisa a quien lleve la protección de datos.
El plazo concreto lo marca la finalidad. No existe un número de meses válido para todos los casos, y quien te diga uno sin conocer tu actividad está improvisando. Cuando una conversación forma parte de un expediente, ese expediente tiene sus propios plazos de conservación. Para entenderlos, puedes consultar plazos de conservación: cuándo borrar datos de clientes y candidatos.
¿Basta con desactivar el historial?
Es un buen primer paso, pero no cierra el tema. Revisa en cada herramienta, con calma:
- Si guarda el historial por defecto y si puedes desactivarlo.
- Si el proveedor conserva copias durante un tiempo aunque tú borres la conversación.
- Si utiliza las conversaciones para mejorar sus sistemas y si puedes oponerte.
- Dónde se almacenan los datos y quién tiene acceso.
- Si la cuenta es de la empresa o personal. Los chats de una cuenta personal escapan a cualquier control interno.
- Cómo se exporta o elimina la información cuando alguien se va.
Esto debe constar en la política interna de uso de IA. Si todavía no tienes una, empieza por cómo redactar una política interna de uso de IA.
¿Y si el historial ya contiene datos de clientes?
Sin dramatizar, pero sin dejarlo estar. Una secuencia razonable:
- Localiza las cuentas y las herramientas que usa el equipo, incluidas las que nadie te ha comunicado.
- Revisa qué hay en los historiales, empezando por los de las personas que trabajan con clientes.
- Borra lo que no tenga motivo para seguir ahí y guarda en su sitio lo que sí lo tenga.
- Avisa a tu asesor o a tu delegado de protección de datos si encuentras datos sensibles o un volumen importante.
- Fija una norma para el futuro: qué se puede pegar y qué no, y cuándo se borra.
No se trata de asustar. Según Your Europe, portal de la Unión Europea (2026), el incumplimiento del RGPD puede dar lugar a multas de hasta 20 millones de euros o del 4 % del volumen de negocios mundial de la empresa, en determinadas infracciones. Es el techo de las sanciones, no lo habitual, pero explica por qué conviene hacer los deberes antes de que aparezca una reclamación.
¿Quién se encarga y cómo se deja constancia?
En una pyme pequeña, normalmente la persona que ya lleva la protección de datos o, si no la hay, el gerente con el apoyo de su asesor. Lo importante es que sea una persona concreta, no "el equipo". Deja por escrito una hoja breve con tres cosas: qué herramientas se usan, qué datos no pueden entrar en ellas y cuándo se revisan y borran los historiales. Y haz que cada incorporación nueva la lea el primer día.
Si dudas con un caso concreto, por ejemplo un chat con datos de salud o de menores, no lo resuelvas tú solo: consulta antes con tu asesor.
Fuentes
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- Comisión Europea, Oficina de IA (2026): AI Literacy - Questions & Answers | Shaping Europe's digital future
- Your Europe, portal de la Unión Europea (2026): Protección de Datos conforme al reglamento RGPD - Your Europe
Conclusión
Un historial de chats no es un archivo que se mantenga solo. Meter lo mínimo en la herramienta, guardar el resultado en el sistema que corresponde y borrar el resto cuando termine la tarea resuelve la mayor parte del problema. El plazo exacto depende de la finalidad y lo debe confirmar un profesional.
En MG Solutions formamos a equipos de empresa en IA, por puesto y con casos reales de tu negocio, y también implantamos agentes de IA a medida.
Puedes ver cómo lo hacemos en nuestra formación en IA para empresas.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.