Si algú del teu equip ja ha enganxat el correu d'un client a ChatGPT per «respondre'l millor», no és cap excepció: és el més habitual. La IA estalvia hores, però tot el que hi escrius surt de la teva empresa. Aquí tens quines dades no hi han d'entrar mai, quins plans protegeixen les teves dades, què diu la llei i una plantilla de política d'ús de la IA de 10 punts. És una guia pràctica, no assessorament legal: per al teu cas concret, consulta el teu assessor o l'APDA.
Quines dades no has de posar mai en una IA?
Regla senzilla: si no ho enviaries per correu a un desconegut, no ho enganxis en una IA amb un compte personal. El 2023 Samsung va prohibir a la plantilla les IA generatives després de descobrir que havien pujat codi intern sensible a ChatGPT.
- Dades de salut: historials o tractaments de clíniques, fisios o centres d'estètica.
- Identitat i banca: passaports, números de compte, targetes o nòmines.
- Contrasenyes i claus de la web, el TPV o la banca en línia.
- Clients identificables: la llista de clients en Excel no va a una IA gratuïta.
- Secret professional: expedients d'un despatx o operacions immobiliàries sense signar.
- El que val diners: marges, estratègia, contractes o codi font.
Anonimitza abans d'enganxar: «Client A» en lloc del nom, sense telèfons ni adreces.
ChatGPT, Claude o Gemini entrenen amb les teves dades? Plans gratuïts davant plans d'empresa
El que importa no és la marca, sinó el pla. En els personals, els teus xats es poden fer servir per millorar els models si no ho desactives; en els d'empresa, les quatre grans es comprometen a no entrenar amb les teves dades per defecte. Segons les seves pàgines oficials, a l'octubre del 2026:
Compte: encara que desactivis l'entrenament, valorar una resposta amb el polze pot fer que OpenAI o Anthropic facin servir aquella conversa. I si ja pagues Microsoft 365 o Google Workspace per a empreses, potser ja tens IA protegida sense cost addicional: Copilot Chat va inclòs a les llicències elegibles i Gemini, als plans Business de Workspace des del gener del 2025. Si no, un lloc de Claude Team, per exemple, costa 25 $ al mes (20 $ amb pagament anual), a l'octubre del 2026.
| Eina | Plans personals | Plans d'empresa | On es desactiva |
|---|---|---|---|
| ChatGPT | Free, Go, Plus i Pro poden entrenar amb els teus xats. Els xats temporals no, però es conserven fins a 30 dies. | Business, Enterprise i API: no entrenen per defecte i ofereixen DPA. | Configuració › Controls de dades › millorar el model per a tothom |
| Claude | Free, Pro i Max: tu tries. Si ho permets, conserven les dades fins a 5 anys; si no, 30 dies. | Team, Enterprise i API: no entrenen per defecte. | Configuració › Privacitat |
| Gemini | Amb l'activitat activada, Google fa servir els teus xats per millorar els seus models i una part la llegeixen revisors (fins a 3 anys). | Google Workspace: sense revisió humana ni entrenament fora de la teva organització. | Activitat a les aplicacions de Gemini |
| Copilot | La versió personal pot entrenar amb les teves converses si no te n'exclous. | Compte de feina de Microsoft 365: protecció de dades empresarial, sense entrenar models. | Perfil › Privacitat |
Quan contractis, demana el DPA (contracte d'encarregat del tractament) i desa'l: és el primer que et demanaria l'APDA.
Què diuen la Llei 29/2021 i l'APDA sobre fer servir la IA a l'empresa?
La Llei 29/2021 qualificada de protecció de dades personals no esmenta ChatGPT, però s'aplica tan bon punt introdueixes dades personals en una IA. El que pesa més:
- Art. 5: només les dades necessàries, amb seguretat i confidencialitat, i has de poder demostrar que compleixes.
- Art. 9: les dades de salut o biomètriques tenen el tractament prohibit llevat d'excepcions. Una clínica no hauria de passar historials per una IA sense analitzar-ho abans.
- Art. 31: si la IA tracta dades personals per compte teu, necessites un contracte escrit amb el proveïdor (el DPA).
- Arts. 42 a 45: les dades que surten d'Andorra han d'anar a destinacions amb nivell adequat reconegut per la UE (com les empreses dels EUA adherides al Data Privacy Framework) o amb garanties com les clàusules contractuals tipus.
- Art. 32: avaluació d'impacte abans de tractaments d'alt risc, com fer perfils de persones o tractar dades de salut a gran escala.
- Art. 25: dret a no quedar sotmès a decisions amb efectes jurídics preses només de manera automatitzada, llevat d'excepcions.
Les multes van de 500 € (lleus) a 100.000 € (molt greus), segons l'art. 73. L'APDA actua: el 2025 va amonestar dos centres de psicologia per intercanviar documentació clínica de manera irregular. Sobre IA, el novembre del 2025 va recordar que aquests sistemes són «un model de llenguatge i no un model de fets» i va demanar protecció de dades des del disseny i per defecte, en configurar la IA i en fer-la servir.
RGPD i Reglament europeu d'IA (AI Act): afecten una empresa andorrana?
Andorra no és a la UE, però el RGPD s'aplica a empreses de fora que ofereixen béns o serveis a persones a la UE (art. 3.2): l'hotel que capta clients a França o la botiga en línia que ven a Espanya. La Llei 29/2021 en segueix el model i la UE reconeix a Andorra un nivell adequat de protecció des del 2010: si compleixes aquí, tens bona part del camí fet.
El Reglament europeu d'IA (Reglament (UE) 2024/1689) també arriba a empreses de fora de la UE quan el resultat de la IA es fa servir a la UE (art. 2.1.c). La reforma «Digital Omnibus» (Reglament (UE) 2026/1744), en vigor des del 27 de juliol del 2026, va endarrerir l'alt risc. Aquest és el calendari:
Per a una pime que fa servir la IA per escriure i resumir, tres coses ja s'apliquen: fomentar la formació de qui la fa servir, avisar si un xatbot atén clients de la UE i etiquetar les imatges o vídeos que simulin persones reals. Filtrar currículums amb IA és alt risc.
I a Andorra? A l'octubre del 2026 no hi ha cap llei específica d'IA. El Govern sí que té un Codi ètic d'IA: adherir-s'hi és requisit per demanar els ajuts Andorra Digital, tot i que no obliga de manera general totes les empreses. Andorra sí que va signar el 5 de setembre del 2024 el Conveni Marc del Consell d'Europa sobre IA.
| Data | Què s'aplica |
|---|---|
| 2 de febrer del 2025 | Pràctiques prohibides i formació en IA del personal. |
| 2 d'agost del 2025 | Normes per als models d'ús general (OpenAI, Anthropic, Google…). |
| 2 d'agost del 2026 | Transparència: avisar que es parla amb una IA i etiquetar els deepfakes. |
| 2 de desembre del 2026 | Noves prohibicions (contingut sexual no consentit). |
| 2 de desembre del 2027 | Alt risc de l'annex III, com la IA en selecció de personal o educació. |
| 2 d'agost del 2028 | Alt risc en productes regulats, com joguines o ascensors. |
Al·lucinacions: per què sempre hi ha de revisar una persona
La IA generativa no busca la veritat: prediu paraules. Per això de vegades s'inventa, amb tota seguretat, un article de llei, un horari o un preu. És l'al·lucinació, i cap proveïdor no l'ha eliminada.
La responsabilitat és teva. El 2024, un tribunal de la Colúmbia Britànica (Canadà) va obligar Air Canada a indemnitzar un client a qui el seu xatbot va prometre un descompte que la política de l'aerolínia no permetia: l'empresa respon de tota la informació de la seva web. Si vols un assistent que només respongui amb la teva informació i amb límits clars, és el que muntem amb els agents IA.
La IA fa l'esborrany i una persona signa, sobretot en pressupostos, xifres, normes, traduccions de contractes i respostes a clients.
De qui és el que crea la IA? Drets d'autor
OpenAI, per exemple, indica que els resultats són teus «en la mesura que ho permeti la llei». Aquí hi ha el matís: l'Oficina de Drets d'Autor dels EUA va concloure el gener del 2025 que el que es genera es pot protegir quan una persona determina els elements creatius, però que difícilment n'hi ha prou amb les instruccions (prompts) per si soles. A Andorra, la llei de drets d'autor és del 1999, molt anterior a la IA generativa.
A la pràctica, un logotip fet només amb IA pot ser difícil de defensar si te'l copien. En marca i campanyes, afegeix-hi feina humana real i no demanis res «a l'estil de» artistes o marques concrets.
Shadow AI: quan l'equip fa servir comptes personals
Shadow AI és fer servir eines d'IA que l'empresa no ha aprovat, gairebé sempre amb comptes personals. Segons el Work Trend Index 2024 de Microsoft, el 78 % dels qui fan servir IA a la feina hi porten les seves pròpies eines; a les pimes, el 80 %.
Prohibir-la no funciona: es continua fent servir, d'amagat i des del mòbil. El que funciona és donar una alternativa oficial, normes clares i una formació curta. Als nostres tallers d'IA in company treballem justament això amb casos del teu sector, i el pas natural després és automatitzar tasques amb IA amb control.
Pregunta a l'equip, sense buscar culpables, quina IA fa servir i per a què: aquesta llista és el punt de partida de la teva política.
Plantilla de política d'ús de la IA a l'empresa (10 punts)
Copia-la, completa els claudàtors i fes que cada persona la signi.
- Eines aprovades: només [ChatGPT Business / Claude Team / Copilot / Gemini], amb el compte de l'empresa.
- Res en comptes personals: la informació de l'empresa no entra en comptes personals ni gratuïts.
- Dades prohibides: salut, documents d'identitat, dades bancàries, contrasenyes i informació amb secret professional.
- Anonimitzar: les dades de clients i treballadors s'anonimitzen, llevat de les eines aprovades per tractar-les.
- Revisió humana: el que surt cap a clients, proveïdors o el públic ho revisa i signa una persona.
- Verificar: les xifres, normes, preus i dates que doni la IA es comproven en una font fiable.
- Sense decisions automàtiques: la IA no decideix sola contractacions, acomiadaments, crèdits ni res amb efectes jurídics.
- Transparència: s'avisa quan un client parla amb un xatbot i s'etiqueten els continguts que simulin persones reals.
- Drets d'autor: res «a l'estil de» artistes o marques; feina humana en logotips i campanyes.
- Responsable i formació: [nom] aprova les eines i rep els incidents el mateix dia; formació i revisió cada sis mesos.
Llista de control: fer servir la IA a la teva empresa de manera segura
Preguntes freqüents
ChatGPT fa servir les meves dades per entrenar?
En els plans personals (Free, Go, Plus i Pro), sí, tret que desactivis l'opció de millorar el model per a tothom. A Business, Enterprise i l'API, OpenAI no entrena amb les teves dades per defecte.
És segur fer servir ChatGPT a l'empresa?
Sí, amb un pla d'empresa, sense dades sensibles innecessàries i revisant el que genera. El risc és als comptes personals gratuïts i a publicar sense revisar.
Puc posar dades de clients a ChatGPT o Claude?
Només en un pla d'empresa amb DPA, amb una finalitat clara i les dades mínimes. En un compte personal, anonimitza-les sempre.
És obligatori tenir una política d'ús de la IA a l'empresa?
La llei andorrana no exigeix un document amb aquest nom, però sí que demostris que tractes les dades amb seguretat i que el teu personal segueix les teves instruccions. Una política escrita és la manera més senzilla de fer-ho.
El Reglament europeu d'IA s'aplica a empreses d'Andorra?
Sí, quan el resultat de la IA es fa servir a la UE, per exemple amb clients francesos o espanyols. Per a una pime, el que és pràctic és formar el personal i ser transparent amb els xatbots i els continguts generats.
La teva política d'ús de la IA, adaptada al teu sector i gratuïta
Explica'ns a què es dedica la teva empresa i quines eines feu servir. Una persona de l'equip adapta la plantilla al teu sector i te l'envia per correu en 3 dies laborables, amb una proposta de formació per al teu equip.
- Política d'ús de la IA adaptada al teu sector: clínica, despatx, comerç, hotel, immobiliària…
- Llista de dades que el teu equip no ha de posar mai en una IA.
- Proposta de taller pràctic de mig dia, sense compromís.
Fundador de Visualtec (2005). Consultor d'IA, automatització i SEO, amb més de 20 anys en màrqueting digital.
Fonts consultades (32)
- Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (BOPA núm. 119, 17/11/2021)
- APDA – Monogràfic Transformació Digital: De les calculadores a la intel·ligència artificial (27/11/2025)
- APDA – L'APDA sanciona dos centres de psicologia per intercanvi irregular de documentació clínica (03/09/2025)
- OpenAI – How your data is used to improve model performance
- OpenAI – Temporary Chat FAQ
- OpenAI – Enterprise privacy at OpenAI
- Anthropic – Updates to Consumer Terms and Privacy Policy
- Anthropic Privacy Center – Is my data used for model training? (plans personals)
- Anthropic Privacy Center – Is my data used for model training? (productes comercials)
- Claude – Plans i preus
- Google – Gemini Apps Privacy Hub
- Google Workspace – Generative AI in Google Workspace Privacy Hub
- Google Workspace Updates – Expanding Google AI to more of Google Workspace (gener 2025)
- Microsoft – Privacy FAQ for Microsoft Copilot
- Microsoft – Microsoft Copilot privacy controls
- Microsoft Learn – Enterprise data protection in Microsoft Copilot and Copilot Chat
- Microsoft Learn – Microsoft Copilot overview
- Microsoft WorkLab – 2024 Work Trend Index: AI at work is here
- Reglament (UE) 2016/679 (RGPD)
- RGPD – Article 3, àmbit territorial
- Reglament (UE) 2024/1689 d'intel·ligència artificial (AI Act)
- Reglament (UE) 2026/1744 – Digital Omnibus sobre IA
- Comissió Europea – AI Act: marc regulador i calendari
- White & Case – EU AI Omnibus enters into force, amending the AI Act
- AI Act – Article 2, àmbit d'aplicació
- AI Act – Article 50, obligacions de transparència
- Comissió Europea – Transferències de dades UE-EUA (Data Privacy Framework)
- Consell d'Europa – Signatura del Conveni Marc sobre IA (05/09/2024)
- American Bar Association – BC Tribunal Confirms Companies Remain Liable for Information Provided by AI Chatbot
- Bloomberg – Samsung Bans Staff's AI Use After Spotting ChatGPT Data Leak (2023)
- U.S. Copyright Office – Copyright and Artificial Intelligence, Part 2: Copyrightability (gener 2025)
- WIPO Lex – Andorra, Llei 23/2011 (i referència a la Llei de drets d'autor i drets veïns de 1999)
