Caso hipotético. La empresa, las personas y las cifras de este ejemplo son inventadas y no corresponden a ninguna situación real. Sirve para ordenar las ideas: qué hacer, en qué orden y con qué ánimo cuando alguien avisa de que ha subido datos personales a una herramienta que la empresa no había autorizado.
Un viernes a las cuatro y veinte de la tarde, una administrativa de una gestoría de doce personas se acerca a su responsable con cara de preocupación. Esa mañana, para ir más rápido, había pegado en una herramienta de IA gratuita una hoja con datos de treinta y cuatro clientes (nombres, teléfonos, correos y los importes de sus últimas facturas) para que le preparase un resumen. Ahora duda de si ha hecho algo que no debía. Lo primero que ha hecho bien es avisar, y esa decisión marca todo lo que viene después.
Lo primero: agradecer el aviso y no improvisar
El reflejo más humano es enfadarse. El más útil es agradecer. Si quien avisa recibe una bronca, la próxima vez nadie avisará y la empresa se enterará tarde, o no se enterará. La responsable respira, le da las gracias y le pide que no toque nada más, ni siquiera para «arreglarlo». Después convoca, en privado y sin alarma, a las dos personas que decidirán: la dirección y quien se ocupa de la protección de datos, sea el delegado o el asesor externo.
Ese primer cuarto de hora es para ordenar. No se trata de buscar un culpable, sino de reducir el daño y de entender qué ha pasado. Estas son las cinco fases en las que se organiza la respuesta:
| Fase | Qué se hace | Quién lo hace |
|---|---|---|
| 1. Contener | Parar el uso, pedir el borrado a la herramienta, cambiar claves si procede | Responsable de la empleada y quien lleva la protección de datos |
| 2. Documentar | Anotar qué, cuándo, cómo y quién | Quien lleva la protección de datos, con la empleada |
| 3. Valorar | Decidir si es una brecha de seguridad y si hay que notificar | Dirección con el delegado o asesor |
| 4. Actuar | Notificar o informar a quien proceda; avisar al equipo | Dirección y asesor |
| 5. Aprender | Corregir la causa y formar | Dirección y equipo |
Contener: parar la fuga y pedir el borrado
La empleada deja de usar esa herramienta para trabajo y se anota la hora exacta del aviso, porque más adelante será relevante. Antes de borrar nada por iniciativa propia, hace capturas de pantalla de la conversación y del historial; esas capturas se guardan en un lugar interno y no se reenvían a nadie ni se vuelven a pegar en ninguna herramienta.
Después se revisa qué opciones ofrece la herramienta: si permite borrar la conversación, cerrar la cuenta o indicar que los datos no se usen para mejorar el servicio, y si hay un canal de privacidad del proveedor al que escribir. Se hace lo que esté en mano de la empresa, pero con honestidad: borrar un historial en pantalla no equivale a saber qué ha hecho el proveedor con la información. Eso depende de sus condiciones de uso y de lo que conteste.
Si la cuenta era personal, también se pregunta a la empleada si pegó algo más en otras ocasiones. Conviene hacerlo con calma y sin amenaza, porque un aviso incompleto puede ocultar un problema mayor.
Documentar: qué ha pasado, con hechos
Mientras esperan al asesor, la persona que lleva la protección de datos abre un registro interno del incidente. Lo importante es que sean hechos y no opiniones:
- Qué datos: categorías (nombres, teléfonos, correos, importes) y si había algo más delicado, como datos de salud o documentos de identidad. En este caso hipotético, no.
- De cuántas personas: treinta y cuatro clientes.
- Cuándo y cómo: la mañana del mismo día, desde un ordenador de la oficina, con una cuenta personal.
- Qué herramienta: nombre, país del proveedor si se conoce y condiciones aplicables.
- Qué se ha hecho ya: acciones de contención y hora de cada una.
- Quién lo sabe: personas que han intervenido, para no extender el asunto más de lo necesario.
Este registro no es burocracia. Es lo que permitirá decidir con criterio y, llegado el caso, explicar a una autoridad qué se hizo y por qué.
Valorar si hay que notificar
Aquí es donde la empresa no debe decidir sola. El RGPD establece que, cuando hay una violación de la seguridad de los datos personales que puede suponer un riesgo para las personas, hay que comunicarla a la autoridad de control en un plazo corto desde que se tiene conocimiento, y en ciertos casos informar también a las personas afectadas. Por eso el reloj empieza a contar desde el momento en que la empleada avisó, no desde el lunes.
Para valorar el riesgo, el delegado o el asesor se hará preguntas como estas: qué tipo de datos eran, cuántas personas afecta, si los datos pueden volver a manos de terceros, si el proveedor ofrece garantías de borrado y si podría haber consecuencias para los clientes (suplantación, correos fraudulentos, perjuicio económico). La conclusión puede ser notificar o no notificar. Ambas decisiones se razonan por escrito, porque «lo consideramos de bajo riesgo por estos motivos» también debe poder explicarse.
Dos advertencias. La primera: este artículo no es asesoramiento legal y los plazos exactos y el procedimiento los confirma tu asesor o tu delegado de protección de datos. La segunda: si hay contratos con clientes que obliguen a avisarles de incidentes, eso se revisa también.
Actuar y comunicar
Con la valoración hecha, la dirección decide qué comunicar y a quién. Si hay que informar a los clientes afectados, se hace con un mensaje claro y sin dramatismos: qué ha ocurrido, qué datos estaban implicados, qué se ha hecho y qué pueden hacer ellos. Es mejor que se enteren por la empresa que por otra vía.
Al equipo se le cuenta lo imprescindible, sin nombres. Un mensaje breve del tipo «hemos tenido un incidente por usar una herramienta no autorizada; no hay reproches; vamos a ordenar cómo usar la IA» es más eficaz que el silencio, y evita rumores. Si la empresa tiene representación de la plantilla, conviene consultar con el asesor laboral cuándo y cómo informarla.
Las cuestiones disciplinarias, si las hubiera, se tratan después y con asesor laboral. En las primeras veinticuatro horas, la prioridad es contener, documentar y valorar.
Aprender sin buscar culpables
El lunes por la mañana, la empresa se hace la pregunta importante: no «quién ha sido», sino «por qué era tan fácil que pasara». Las causas suelen ser tres: no había una herramienta autorizada, no había una norma clara y nadie había explicado los riesgos. Medidas razonables:
- Una herramienta autorizada que sirva para el mismo trabajo, de forma que nadie tenga que buscarse la vida con cuentas gratuitas.
- Una norma de una página: qué se puede pegar, qué no y a quién preguntar. En lugar de una lista de prohibiciones, tres ejemplos reales de la propia oficina.
- Formación por puesto, corta y práctica, con casos de su trabajo diario.
- Un registro de las formaciones realizadas. Según la Comisión Europea (2026), para acreditar el cumplimiento de la obligación de alfabetización en IA del Reglamento europeo no hace falta ningún certificado y las organizaciones pueden llevar un registro interno de las formaciones y otras iniciativas de orientación.
- Una revisión a los tres meses para comprobar que la norma se entiende y se cumple.
Qué recomiendan las autoridades
La AEPD publicó el 27 de enero de 2026 un decálogo titulado «Cuidado con lo que le confIAs». En el ámbito laboral, destaca la importancia de seguir las políticas de información y seguridad de cada organización y de no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, ni de su personal o clientes. Son recomendaciones de la AEPD, no obligaciones legales por sí mismas, pero marcan un criterio claro que cualquier empresa puede adoptar como norma interna.
Qué hace la IA y qué hacen las personas en un caso así
Una herramienta de IA aprobada por la empresa puede ayudarte después a redactar una plantilla de registro de incidentes o a preparar una guía interna sencilla. Lo que no debe hacer nunca es recibir los datos del propio incidente: no se pega la hoja afectada para «ver qué dice». Y la decisión de notificar, informar o sancionar es de personas, con el asesor, no de una herramienta.
Si quieres profundizar, mira qué hacer si tu proveedor de IA sufre una brecha de seguridad, cómo implantar IA cumpliendo el RGPD y el checklist para acreditar la alfabetización en IA de tu plantilla.
Fuentes
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- Comisión Europea (2026): AI Literacy - Questions & Answers | Shaping Europe's digital future
Conclusión
Cuando alguien avisa de que ha pegado datos de clientes en una herramienta no autorizada, el orden importa: agradecer el aviso, contener, documentar con hechos, valorar con el delegado o el asesor si hay que notificar, comunicar con claridad y, al final, corregir la causa en lugar de señalar a una persona. Una empresa donde avisar es seguro se entera a tiempo; una donde avisar se castiga, no.
En MG Solutions formamos a equipos de empresa en IA, por puesto y con casos reales de tu negocio, y también implantamos agentes de IA a medida. Trabajamos para que tu equipo tenga una herramienta adecuada, una norma clara y formación antes de que ocurra un incidente como este.
Puedes ver cómo lo planteamos en nuestra formación en IA para empresas.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.