En el trabajo, no debes pegar en una herramienta de IA información que revele datos confidenciales de la empresa, ni datos de su personal ni de sus clientes. Es la recomendación central que la Agencia Española de Protección de Datos (AEPD) destaca para el ámbito laboral en su decálogo «Cuidado con lo que le confIAs», publicado el 27 de enero de 2026. Son recomendaciones, no obligaciones legales por sí mismas, pero te dan una base muy clara para escribir la norma interna de tu pyme.
La situación es cotidiana. Alguien del equipo tiene prisa, abre una herramienta de IA y pega un correo entero de un cliente para que le ayude a contestar, o una hoja con las nóminas para que le resuma las cifras. No lo hace con mala intención: lo hace porque funciona y porque nadie le ha dicho dónde está el límite. Una gran empresa tiene una política de uso y personal que la hace cumplir. Una pyme puede tener lo mismo en una página.
¿Qué datos no deberían entrar nunca en una herramienta de IA?
Según la AEPD, en el entorno de trabajo hay que seguir las políticas de información y seguridad de cada organización y no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, ni de su personal o de sus clientes. Traducido a la vida de una pyme, son tres grupos que conviene distinguir.
Confidencial de la empresa. Contratos, tarifas y márgenes, ofertas en curso, listas de clientes, planes comerciales, claves de acceso, documentos internos que no son públicos. Todo lo que, si saliera de la empresa, te perjudicaría.
Datos del personal. Nóminas, bajas, informes médicos, evaluaciones, datos de candidatos, conflictos internos, expedientes. Son datos de personas concretas y, a menudo, especialmente delicados.
Datos de clientes. Nombres con datos de contacto, historiales de compra, reclamaciones, correos y mensajes con información personal, documentos de identidad, cualquier cosa que identifique a una persona o revele algo sobre ella.
La AEPD recuerda además que la infancia y la adolescencia pueden no ser plenamente conscientes de los riesgos de compartir información con una herramienta de IA. Si tu negocio trabaja con menores (academias, actividades infantiles, ropa o ocio para niños), extrema el cuidado con cualquier dato suyo y consulta con tu asesor antes de usar herramientas de este tipo.
Qué sí se puede pegar sin problema
El decálogo no pide dejar de usar la IA. Hay mucho trabajo útil que no necesita ningún dato delicado:
- Textos generales. Pedir ayuda para redactar un correo tipo, una descripción de producto o un anuncio, sin nombres ni datos reales.
- Datos anonimizados. Sustituir nombres y detalles por etiquetas («Cliente A», «Proveedor 2»), de manera que no se pueda saber de quién se habla.
- Preguntas de método. Cómo organizar un calendario, cómo estructurar una presentación, cómo explicar un proceso.
- Información que ya es pública, como el contenido de tu web.
Una regla práctica para el equipo: antes de pegar nada, pregúntate si te daría igual verlo en un cartel en la calle. Si no te da igual, no lo pegues.
Cómo convertirlo en una norma interna de una página
La mejor norma es la corta, que se pueda leer en dos minutos y recordar. Puedes montarla en cinco pasos:
- Pon por escrito qué herramientas están autorizadas y cuáles no, y quién decide añadir una nueva. Cuenta cómo empieza la mayoría de usos no controlados en por qué tus empleados usan la IA sin decírtelo.
- Lista las tres categorías de datos que no se pegan (empresa, personal, clientes) con ejemplos de tu propio negocio, no genéricos.
- Explica qué se puede hacer en su lugar: anonimizar, resumir sin nombres, usar una versión del texto sin datos.
- Indica a quién preguntar cuando haya duda, con nombre y forma de contacto.
- Di qué hacer si alguien se equivoca: avisar enseguida, sin culpas.
Después, repásala con el equipo en una reunión breve y con un par de casos reales. La norma que se explica con ejemplos de la propia empresa se recuerda; la que llega por correo, se archiva. Si quieres un siguiente paso, está cómo documentar el uso de IA para una auditoría de protección de datos.
¿Qué hacer si alguien ya ha pegado algo que no debía?
Lo primero es que la persona lo cuente pronto y sin miedo, porque el tiempo importa y el silencio es lo que agrava un error. Después, anota qué información fue, en qué herramienta y cuándo, y comprueba si la herramienta conserva o reutiliza lo que se escribe, según sus condiciones. Si el dato es personal, consulta cuanto antes con quien se ocupe de protección de datos en tu empresa o con tu asesor, que valorará si hay que hacer algo más, como avisar a los afectados o a la autoridad.
No dejes de registrar el hecho aunque parezca menor. Un registro sencillo de incidencias te permite ver si un mismo fallo se repite y ajustar la norma o la formación. Y evita convertirlo en una caza de culpables: si el equipo cree que contar un error le va a costar caro, la próxima vez no lo contará, y te enterarás tarde.
Qué hace el agente y qué sigue haciendo una persona
Un agente de IA montado a medida para tu empresa puede ayudarte a cumplir esta norma en lugar de depender solo de la memoria de cada uno:
- Trabajar con tus datos dentro de un entorno que tú controlas, con accesos limitados a lo necesario.
- Detectar y avisar cuando alguien intenta enviarle un documento con datos que la norma excluye.
- Dejar un registro de qué información usa cada tarea.
Lo que no hace es decidir qué es confidencial por ti ni resolver una duda legal. Esas decisiones son de la dirección y, en materia de protección de datos, de tu asesor. La herramienta ayuda; la responsabilidad sigue siendo de la empresa. Para ver el marco general, lee IA y RGPD: implanta inteligencia artificial cumpliendo la ley.
Fuentes
- AEPD, nota de prensa «La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA»: aepd.es.
Lo que va más allá de lo recogido en esa nota, como las categorías con ejemplos y los pasos de la norma interna, es orientación práctica nuestra y no texto de la AEPD.
Conclusión
El decálogo de la AEPD se resume, para el trabajo, en una idea: no metas en una herramienta de IA datos confidenciales de la empresa, de su personal ni de sus clientes, y sigue las políticas de seguridad de tu organización. Convertirla en una norma de una página, con ejemplos de tu negocio y una persona a quien preguntar, es el paso más útil que puedes dar esta semana.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica. Así, tu equipo puede aprovechar la IA con los datos bajo control.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.