Tu tarifa de precios con descuentos, la lista de clientes con sus condiciones, la receta o el método con el que trabajas, el presupuesto de un proyecto grande. Seguramente ninguno de esos documentos tiene una etiqueta de "confidencial". Están en una carpeta compartida, en algún correo o en el ordenador de alguien, y medio equipo tiene acceso. Hasta el día en que una persona se marcha a la competencia con una copia, o un enlace abierto termina donde no debía.
Las multinacionales no confían en que todo el mundo sea discreto por naturaleza. Hacen dos cosas: saben qué información es sensible y limitan quién puede verla. Suena muy corporativo, pero el principio sirve para una empresa de cinco personas, y la parte más pesada, que es localizar y revisar, puede hacerla un agente de IA.
Por qué importa que lo hayas protegido de verdad
Para que una información se considere secreto empresarial y pueda defenderse ante un juez, no basta con que tú la consideres valiosa. La ley de secretos empresariales pide, en esencia, que sea realmente reservada, que tenga valor por serlo y, sobre todo, que hayas tomado medidas razonables para mantenerla en secreto.
Esa última parte es la que las pymes suelen tener floja. Si cualquier empleado puede llevarse la lista de clientes en un pendrive y nadie firmó nada, resulta difícil sostener después que era un secreto. Qué medidas concretas se consideran razonables en tu caso es una cuestión para tu abogado; aquí hablamos de lo que puedes ordenar tú antes de llegar a él.
Paso 1: saber qué tienes
No puedes proteger lo que no has identificado. El primer trabajo es un inventario, y aquí el agente es útil porque revisar carpetas y correos a mano es eterno.
Con los permisos que tú le concedas, el agente puede:
- Recorrer las carpetas y aplicaciones que indiques y proponer una lista de documentos que parecen sensibles: tarifas, contratos, listados de clientes, planos, fórmulas, manuales internos, datos financieros.
- Detectar documentos con datos personales de clientes o empleados, que además tienen obligaciones propias por el RGPD.
- Agruparlos por tipo y ubicación, para que veas de un vistazo dónde está concentrado lo importante.
- Marcar lo que no sabe clasificar y preguntarte.
Es una propuesta. Tú tienes la última palabra sobre qué es sensible, porque solo tú sabes qué daño haría que saliera de la empresa.
Paso 2: clasificar en pocos niveles
Las grandes empresas usan niveles y tú puedes usar los mismos, más sencillos. Tres bastan:
- Abierto: lo que puede ver cualquiera, como un catálogo público.
- Interno: lo que solo debe conocer el equipo, como los procedimientos de trabajo.
- Restringido: lo que solo deben ver personas concretas, como los costes, los márgenes, las condiciones de cada cliente o la documentación de personal.
La dirección decide a qué nivel va cada cosa y quién entra en cada uno. El agente aplica esa decisión al inventario y la mantiene al día cuando aparecen documentos nuevos. No es una decisión técnica: es una decisión de negocio sobre qué te haría daño perder.
Paso 3: revisar quién accede a qué
Este es el paso donde más sorpresas aparecen. Con las reglas claras, el agente contrasta la lista de personas que tienen acceso a cada carpeta o herramienta con lo que tú has decidido. Y te señala, por ejemplo:
- Carpetas restringidas a las que tiene acceso mucha más gente de la necesaria.
- Personas que ya no trabajan contigo y conservan acceso.
- Enlaces compartidos que cualquiera con el enlace puede abrir.
- Colaboradores externos con acceso a más información de la que requiere su trabajo.
- Cuentas compartidas entre varias personas, en las que no se sabe quién hizo qué.
Un ejemplo hipotético: una pyme de consultoría revisa sus carpetas y descubre que la de ofertas a clientes, con todos los precios, está abierta a todo el equipo y a un colaborador externo que dejó de trabajar con ellos hace tiempo. Nadie lo hizo con mala intención. Simplemente nunca se revisó. El agente lo señala, el gerente decide y quien administre los sistemas ajusta los permisos.
Quién hace qué
El agente: inventaría, propone clasificaciones, cruza permisos con tus reglas, avisa de lo que no encaja y repite la revisión cada cierto tiempo para que no se quede vieja.
La dirección: decide qué es secreto, quién puede acceder y qué se hace con cada incidencia.
El abogado: redacta y revisa las cláusulas de confidencialidad de los contratos de empleados, colaboradores y proveedores, y cualquier pacto que restrinja la actividad posterior de alguien. Esto incluye los acuerdos de confidencialidad con terceros; si quieres ver cómo se gestionan en la práctica, tienes cómo automatizar la gestión de acuerdos de confidencialidad. El agente no redacta cláusulas ni interpreta qué protege la ley en tu caso.
Quien administre tus sistemas: ajusta los permisos y las copias de seguridad. Para el resto de la seguridad informática puedes seguir cómo planificar la ciberseguridad de una pyme.
Dos advertencias importantes sobre el propio agente
Lo que le das al agente también es sensible. Un agente que inventaría tu información sensible tiene que estar construido y configurado con cuidado: acceso solo a lo necesario, sin enviar tus documentos a servicios donde no controlas qué se hace con ellos y con un contrato que regule el tratamiento de los datos. No pegues documentos confidenciales en herramientas generales de IA que no hayas revisado. Si el agente va a tratar datos personales, hace falta cumplir lo que exige el RGPD, y en ese punto conviene que lo valide tu asesor de protección de datos.
Revisar accesos no es vigilar a las personas. El objetivo es saber quién puede ver qué, no controlar lo que hace cada empleado día a día. Si se llegase a registrar actividad individual, hay límites legales y hay que informar al equipo; consúltalo antes con un profesional.
Por dónde empezar
- Elige un solo tipo de información, el que más daño haría que se filtrara: por ejemplo, tarifas y condiciones de clientes.
- Pide al agente que localice dónde está y quién accede.
- Decide los tres niveles y colócalo todo.
- Corrige los accesos que sobran.
- Habla con tu abogado para revisar que los contratos de quienes acceden recogen la obligación de confidencialidad.
- Repite la revisión cada cierto tiempo y cuando alguien entre o salga del equipo.
Conclusión
Proteger los secretos de tu empresa empieza por saber cuáles son y quién accede a ellos, que es justo lo que hacen las multinacionales con sus niveles de confidencialidad. Un agente de IA puede inventariar, proponer una clasificación y señalar los accesos que no deberían estar; la dirección decide qué es secreto y el abogado redacta las cláusulas que lo respaldan. Y para revisar cómo se documenta el uso de la IA frente a la normativa de datos, puedes consultar cómo documentar el uso de IA para una auditoría de protección de datos.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.