Si alguien de tu equipo ya ha pegado el email de un cliente en ChatGPT para «contestarlo mejor», no es una excepción: es lo normal. La IA ahorra horas, pero todo lo que escribes en ella sale de tu empresa. Aquí tienes qué datos no deben entrar nunca, qué planes protegen tus datos, qué dice la ley y una plantilla de política de uso de IA de 10 puntos. Es una guía práctica, no asesoramiento legal: para tu caso concreto, consulta con tu asesor o con la APDA.
¿Qué datos no debes meter nunca en una IA?
Regla sencilla: si no lo mandarías por email a un desconocido, no lo pegues en una IA con una cuenta personal. En 2023 Samsung prohibió a su plantilla las IA generativas tras descubrir que habían subido código interno sensible a ChatGPT.
- Datos de salud: historiales o tratamientos de clínicas, fisios o centros de estética.
- Identidad y banca: pasaportes, números de cuenta, tarjetas o nóminas.
- Contraseñas y claves de la web, el TPV o la banca online.
- Clientes identificables: la lista de clientes en Excel no va a una IA gratuita.
- Secreto profesional: expedientes de un despacho u operaciones inmobiliarias sin firmar.
- Lo que vale dinero: márgenes, estrategia, contratos o código fuente.
Anonimiza antes de pegar: «Cliente A» en lugar del nombre, sin teléfonos ni direcciones.
¿ChatGPT, Claude o Gemini entrenan con tus datos? Planes gratis frente a planes de empresa
Lo que importa no es la marca, sino el plan. En los personales, tus chats pueden usarse para mejorar los modelos salvo que lo desactives; en los de empresa, las cuatro grandes se comprometen a no entrenar con tus datos por defecto. Según sus páginas oficiales, a octubre de 2026:
Ojo: aunque desactives el entrenamiento, valorar una respuesta con el pulgar puede hacer que OpenAI o Anthropic usen esa conversación. Y si ya pagas Microsoft 365 o Google Workspace para empresas, quizá ya tengas IA protegida sin coste extra: Copilot Chat va incluido en las licencias elegibles y Gemini, en los planes Business de Workspace desde enero de 2025. Si no, un puesto de Claude Team, por ejemplo, cuesta 25 $ al mes (20 $ con pago anual), a octubre de 2026.
| Herramienta | Planes personales | Planes de empresa | Dónde se desactiva |
|---|---|---|---|
| ChatGPT | Free, Go, Plus y Pro pueden entrenar con tus chats. Los chats temporales no, pero se guardan hasta 30 días. | Business, Enterprise y API: no entrenan por defecto y ofrecen DPA. | Configuración › Controles de datos › «Mejorar el modelo para todos» |
| Claude | Free, Pro y Max: tú eliges. Si lo permites, guardan los datos hasta 5 años; si no, 30 días. | Team, Enterprise y API: no entrenan por defecto. | Configuración › Privacidad |
| Gemini | Con la actividad activada, Google usa tus chats para mejorar sus modelos y una parte la leen revisores (hasta 3 años). | Google Workspace: sin revisión humana ni entrenamiento fuera de tu organización. | Actividad en las apps de Gemini |
| Copilot | La versión personal puede entrenar con tus conversaciones si no te excluyes. | Cuenta de trabajo de Microsoft 365: protección de datos empresarial, sin entrenar modelos. | Perfil › Privacidad |
Al contratar, pide el DPA (contrato de encargado del tratamiento) y guárdalo: es lo primero que te pediría la APDA.
¿Qué dicen la Llei 29/2021 y la APDA sobre usar IA en la empresa?
La Llei 29/2021 qualificada de protecció de dades personals no menciona ChatGPT, pero se aplica en cuanto introduces datos personales en una IA. Lo que más pesa:
- Art. 5: solo los datos necesarios, con seguridad y confidencialidad, y debes poder demostrar que cumples.
- Art. 9: el tratamiento de datos de salud o biométricos está prohibido salvo excepciones. Una clínica no debería pasar historiales por una IA sin analizarlo antes.
- Art. 31: si la IA trata datos personales por cuenta tuya, necesitas un contrato escrito con el proveedor (el DPA).
- Arts. 42 a 45: los datos que salen de Andorra deben ir a destinos con nivel adecuado reconocido por la UE (como empresas de EE. UU. adheridas al Data Privacy Framework) o con garantías como las cláusulas contractuales tipo.
- Art. 32: evaluación de impacto antes de tratamientos de alto riesgo, como perfilar personas o tratar datos de salud a gran escala.
- Art. 25: derecho a no quedar sometido a decisiones con efectos jurídicos tomadas solo de forma automatizada, salvo excepciones.
Las multas van de 500 € (leves) a 100.000 € (muy graves), según el art. 73. La APDA actúa: en 2025 amonestó a dos centros de psicología por intercambiar documentación clínica de forma irregular. Sobre IA, en noviembre de 2025 recordó que estos sistemas son «un model de llenguatge i no un model de fets» y pidió protección de datos desde el diseño y por defecto, al configurar la IA y al usarla.
RGPD y Reglamento europeo de IA (AI Act): ¿afectan a una empresa andorrana?
Andorra no está en la UE, pero el RGPD se aplica a empresas de fuera que ofrecen bienes o servicios a personas en la UE (art. 3.2): el hotel que capta clientes en Francia o la tienda online que vende a España. La Llei 29/2021 sigue su modelo y la UE reconoce a Andorra un nivel adecuado de protección desde 2010: si cumples aquí, tienes buena parte del camino hecho.
El Reglamento europeo de IA (Reglamento (UE) 2024/1689) también alcanza a empresas de fuera de la UE cuando el resultado de la IA se usa en la UE (art. 2.1.c). La reforma «Digital Omnibus» (Reglamento (UE) 2026/1744), en vigor desde el 27 de julio de 2026, retrasó el alto riesgo. Este es el calendario:
Para una pyme que usa la IA para escribir y resumir, tres cosas ya aplican: fomentar la formación de quien la usa, avisar si un chatbot atiende a clientes de la UE y etiquetar las imágenes o vídeos que simulen personas reales. Filtrar currículums con IA es alto riesgo.
¿Y en Andorra? A octubre de 2026 no hay una ley específica de IA. El Govern sí tiene un Código ético de IA: adherirse a él es requisito para pedir las ayudas Andorra Digital, aunque no obliga de forma general a todas las empresas. Andorra sí firmó el 5 de septiembre de 2024 el Convenio Marco del Consejo de Europa sobre IA.
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y formación en IA del personal. |
| 2 de agosto de 2025 | Normas para los modelos de uso general (OpenAI, Anthropic, Google…). |
| 2 de agosto de 2026 | Transparencia: avisar de que se habla con una IA y etiquetar los deepfakes. |
| 2 de diciembre de 2026 | Nuevas prohibiciones (contenido sexual no consentido). |
| 2 de diciembre de 2027 | Alto riesgo del anexo III, como la IA en selección de personal o educación. |
| 2 de agosto de 2028 | Alto riesgo en productos regulados, como juguetes o ascensores. |
Alucinaciones: por qué siempre tiene que revisar una persona
La IA generativa no busca la verdad: predice palabras. Por eso a veces se inventa, con total seguridad, un artículo de ley, un horario o un precio. Es la alucinación, y ningún proveedor la ha eliminado.
La responsabilidad es tuya. En 2024, un tribunal de Columbia Británica (Canadá) obligó a Air Canada a indemnizar a un cliente al que su chatbot prometió un descuento que la política de la aerolínea no permitía: la empresa responde de toda la información de su web. Si quieres un asistente que solo responda con tu información y con límites claros, es lo que montamos con los agentes IA.
La IA hace el borrador y una persona firma, sobre todo en presupuestos, cifras, normas, traducciones de contratos y respuestas a clientes.
¿De quién es lo que crea la IA? Derechos de autor
OpenAI, por ejemplo, indica que los resultados son tuyos «en la medida en que lo permita la ley». Ahí está el matiz: la Oficina de Derechos de Autor de EE. UU. concluyó en enero de 2025 que lo generado puede protegerse cuando una persona determina los elementos creativos, pero que los prompts por sí solos difícilmente bastan. En Andorra, la ley de derechos de autor es de 1999, muy anterior a la IA generativa.
En la práctica, un logo hecho solo con IA puede ser difícil de defender si te lo copian. En marca y campañas, añade trabajo humano real y no pidas nada «al estilo de» artistas o marcas concretas.
Shadow AI: cuando el equipo usa sus cuentas personales
Shadow AI es usar herramientas de IA que la empresa no ha aprobado, casi siempre con cuentas personales. Según el Work Trend Index 2024 de Microsoft, el 78 % de quienes usan IA en el trabajo llevan sus propias herramientas; en las pymes, el 80 %.
Prohibirla no funciona: se sigue usando, a escondidas y desde el móvil. Lo que funciona es dar una alternativa oficial, normas claras y una formación corta. En nuestros talleres de IA in company trabajamos justo eso con casos de tu sector, y el paso natural después es automatizar tareas con IA con control.
Pregunta al equipo, sin buscar culpables, qué IA usa y para qué: esa lista es el punto de partida de tu política.
Plantilla de política de uso de IA en la empresa (10 puntos)
Cópiala, completa los corchetes y que cada persona la firme.
- Herramientas aprobadas: solo [ChatGPT Business / Claude Team / Copilot / Gemini], con la cuenta de la empresa.
- Nada en cuentas personales: la información de la empresa no entra en cuentas personales ni gratuitas.
- Datos prohibidos: salud, documentos de identidad, datos bancarios, contraseñas e información con secreto profesional.
- Anonimizar: los datos de clientes y empleados se anonimizan, salvo en herramientas aprobadas para tratarlos.
- Revisión humana: lo que sale hacia clientes, proveedores o el público lo revisa y firma una persona.
- Verificar: las cifras, normas, precios y fechas que dé la IA se comprueban en una fuente fiable.
- Sin decisiones automáticas: la IA no decide sola contrataciones, despidos, créditos ni nada con efectos jurídicos.
- Transparencia: se avisa cuando un cliente habla con un chatbot y se etiquetan los contenidos que simulen personas reales.
- Derechos de autor: nada «al estilo de» artistas o marcas; trabajo humano en logos y campañas.
- Responsable y formación: [nombre] aprueba herramientas y recibe los incidentes el mismo día; formación y revisión cada seis meses.
Checklist: usar la IA en tu empresa de forma segura
Preguntas frecuentes
¿ChatGPT usa mis datos para entrenar?
En los planes personales (Free, Go, Plus y Pro), sí, salvo que desactives «Mejorar el modelo para todos». En Business, Enterprise y la API, OpenAI no entrena con tus datos por defecto.
¿Es seguro usar ChatGPT en la empresa?
Sí, con un plan de empresa, sin datos sensibles innecesarios y revisando lo que genera. El riesgo está en las cuentas personales gratuitas y en publicar sin revisar.
¿Puedo meter datos de clientes en ChatGPT o Claude?
Solo en un plan de empresa con DPA, con una finalidad clara y los datos mínimos. En una cuenta personal, anonimízalos siempre.
¿Es obligatorio tener una política de uso de IA en la empresa?
La ley andorrana no exige un documento con ese nombre, pero sí que demuestres que tratas los datos con seguridad y que tu personal sigue tus instrucciones. Una política escrita es la forma más sencilla de hacerlo.
¿El Reglamento europeo de IA se aplica a empresas de Andorra?
Sí, cuando el resultado de la IA se usa en la UE, por ejemplo con clientes franceses o españoles. Para una pyme, lo práctico es formar al personal y ser transparente con chatbots y contenidos generados.
Tu política de uso de IA, adaptada a tu sector y gratis
Cuéntanos a qué se dedica tu empresa y qué herramientas usáis. Una persona del equipo adapta la plantilla a tu sector y te la envía por email en 3 días laborables, con una propuesta de formación para tu equipo.
- Política de uso de IA adaptada a tu sector: clínica, despacho, comercio, hotel, inmobiliaria…
- Lista de datos que tu equipo no debe meter nunca en una IA.
- Propuesta de taller práctico de medio día, sin compromiso.
Fundador de Visualtec (2005). Consultor de IA, automatización y SEO, con más de 20 años en marketing digital.
Fuentes consultadas (32)
- Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals (BOPA núm. 119, 17/11/2021)
- APDA – Monogràfic Transformació Digital: De les calculadores a la intel·ligència artificial (27/11/2025)
- APDA – L'APDA sanciona dos centres de psicologia per intercanvi irregular de documentació clínica (03/09/2025)
- OpenAI – How your data is used to improve model performance
- OpenAI – Temporary Chat FAQ
- OpenAI – Enterprise privacy at OpenAI
- Anthropic – Updates to Consumer Terms and Privacy Policy
- Anthropic Privacy Center – Is my data used for model training? (planes personales)
- Anthropic Privacy Center – Is my data used for model training? (productos comerciales)
- Claude – Planes y precios
- Google – Gemini Apps Privacy Hub
- Google Workspace – Generative AI in Google Workspace Privacy Hub
- Google Workspace Updates – Expanding Google AI to more of Google Workspace (enero 2025)
- Microsoft – Privacy FAQ for Microsoft Copilot
- Microsoft – Microsoft Copilot privacy controls
- Microsoft Learn – Enterprise data protection in Microsoft Copilot and Copilot Chat
- Microsoft Learn – Microsoft Copilot overview
- Microsoft WorkLab – 2024 Work Trend Index: AI at work is here
- Reglamento (UE) 2016/679 (RGPD)
- RGPD – Artículo 3, ámbito territorial
- Reglamento (UE) 2024/1689 de inteligencia artificial (AI Act)
- Reglamento (UE) 2026/1744 – Digital Omnibus sobre IA
- Comisión Europea – AI Act: marco regulador y calendario
- White & Case – EU AI Omnibus enters into force, amending the AI Act
- AI Act – Artículo 2, ámbito de aplicación
- AI Act – Artículo 50, obligaciones de transparencia
- Comisión Europea – Transferencias de datos UE-EE. UU. (Data Privacy Framework)
- Consejo de Europa – Firma del Convenio Marco sobre IA (05/09/2024)
- American Bar Association – BC Tribunal Confirms Companies Remain Liable for Information Provided by AI Chatbot
- Bloomberg – Samsung Bans Staff's AI Use After Spotting ChatGPT Data Leak (2023)
- U.S. Copyright Office – Copyright and Artificial Intelligence, Part 2: Copyrightability (enero 2025)
- WIPO Lex – Andorra, Llei 23/2011 (y referencia a la Llei de drets d'autor i drets veïns de 1999)
