Riesgos de usar ChatGPT en la empresa: cuatro preguntas

Qué hace ChatGPT con lo que escribes

La pregunta «¿ChatGPT guarda mis datos?» tiene una respuesta corta: sí, guarda las conversaciones en tu cuenta hasta que las borras. Y otra más larga, que depende del tipo de cuenta. Esto es lo que dice OpenAI:

• Las conversaciones se guardan. Siguen en la cuenta hasta que las eliminas. Al eliminarlas desaparecen de tu vista al momento y OpenAI programa su borrado definitivo en un plazo de 30 días, salvo que deba conservarlas más tiempo por seguridad o por obligación legal (ayuda de OpenAI sobre conservación).
• En las cuentas personales se usan para mejorar el modelo, salvo que lo apagues. En Free, Plus y Pro, compartir datos viene activado. Se desactiva en Ajustes, en los controles de datos, con la opción que en inglés se llama «Improve the model for everyone», y el historial se conserva (ayuda de OpenAI sobre controles de datos).
• Un pulgar arriba o abajo también cuenta. Según esa misma página, si valoras una respuesta, la conversación entera puede usarse para entrenar aunque tengas la opción apagada.
• Los chats temporales no aparecen en el historial ni se usan para mejorar los modelos, pero OpenAI puede conservar una copia hasta 30 días por seguridad.
• En las cuentas de empresa, por defecto no. De Business, Enterprise y Edu, OpenAI dice que por defecto no entrena sus modelos con los datos de la empresa, y que firma un anexo de tratamiento de datos con los clientes de Business, Enterprise y de su API que lo pidan (privacidad empresarial de OpenAI).

La política de privacidad de OpenAI para la UE añade dos datos que conviene tener a mano: quien responde del tratamiento para quien vive en el Espacio Económico Europeo es OpenAI Ireland Limited, y el contenido que le das puede usarse para mejorar sus servicios, con derecho a oponerte.

Resumido: «¿ChatGPT usa mis datos?» no se contesta sin saber antes con qué cuenta entra cada persona de tu equipo.

Cuatro riesgos reales

En Rumbo Sur, una agencia de viajes de ocho personas, nadie decidió usar ChatGPT. Empezó una compañera para ordenar un itinerario, y al mes lo usaban seis, cada una con su cuenta. Estos son los riesgos, de más a menos frecuente:

1. Datos personales de terceros

Pegar la lista de un grupo con nombres, fechas de nacimiento y números de pasaporte para que «la ponga bonita». Esos datos son de los viajeros y la agencia responde de ellos. Qué exige eso en tu caso te lo dirá tu asesor o tu delegado de protección de datos; la precaución práctica es no pegarlos.

2. Información de clientes

El contrato con un hotel, las tarifas netas de un proveedor, el plan de viaje de incentivos de una empresa. No son datos personales, pero son de otro y suelen ir con una cláusula de confidencialidad.

3. Respuestas inventadas dadas por buenas

Preguntarle qué visado hace falta para un destino y reenviar la respuesta sin comprobarla. Estos programas pueden inventar un dato con total naturalidad; se llama alucinación. Aquí el riesgo no es lo que entra, es lo que sale con tu firma.

4. Nadie sabe quién usa qué

Con cuentas personales, la empresa no puede ver qué se ha compartido, ni apagarlo cuando alguien se va, ni cambiar la configuración de todos a la vez. Es el riesgo que hace posibles los otros tres.

¿Se puede usar ChatGPT en el trabajo?

Depende de dos cosas: de lo que diga la norma de tu empresa y de qué datos se le den. No hay una regla general que lo prohíba, y tampoco una que lo permita todo. Sobre «ChatGPT y RGPD» no vas a leer aquí un sí o un no: depende del plan, de la configuración y del uso, y eso se mira con la documentación de OpenAI delante y con tu asesor.

Lo que sí está en tu mano es que exista esa norma. Si no la hay, cada persona ya ha escrito la suya sin decírtelo.

La Agencia Española de Protección de Datos reúne en su web guías sobre inteligencia artificial, entre ellas unas recomendaciones para quien usa chatbots (AEPD, innovación y tecnología). Es un buen punto de partida antes de escribir la vuestra.

Cuatro normas para el equipo

1. Una cuenta de la empresa, no la de cada uno. Con alguien que la administre y que sepa cómo está configurada.
2. Datos personales y de clientes, fuera. Si hacen falta para la tarea, se quitan los nombres antes o se usa otra vía.
3. Lo que sale hacia un cliente lo lee una persona. Fechas, importes, requisitos y nombres propios se comprueban en la fuente.
4. Una persona a quien preguntar. Las dudas llegan igual; mejor que tengan dónde ir.

Prohibirlo sin más suele acabar en lo mismo que no decir nada: se sigue usando, pero a escondidas.

Qué preguntar a cualquier proveedor de IA

Valen para ChatGPT, para Copilot, para nosotros y para el que venga después. Pídelas por escrito:

• ¿Dónde están los datos? En qué país y en servidores de quién.
• ¿Se usan para entrenar modelos? Por defecto, y qué hay que hacer para cambiarlo.
• ¿Hay contrato de encargo de tratamiento? El documento que regula qué hace el proveedor con los datos personales que le confías.
• ¿Cómo se borra? Quién puede pedirlo, cuánto tarda y qué queda en las copias.
• ¿Quién ve qué? Dentro de tu empresa y dentro del proveedor.

Si usar estas herramientas te lleva a preguntarte por la norma europea de IA, la explicamos en la guía sobre cómo afecta la ley de IA a una pyme.

Cuándo es mejor no usarlo

• Con datos de salud, de menores o documentos de identidad. No hay tarea de oficina que justifique pegarlos.
• Para decidir sobre una persona: a quién se contrata, a quién se le da crédito.
• Cuando no puedes comprobar la respuesta y un error tiene consecuencias.
• Cuando tu cliente te ha pedido por contrato que su información no salga de tus sistemas.

Lista de comprobación

1. Sabes quién usa ChatGPT en tu empresa y con qué cuenta.
2. Alguien ha mirado cómo está configurado el uso de las conversaciones.
3. Las cuatro normas están escritas y el equipo las ha leído.
4. Hay una persona a quien preguntar.
5. Has hecho las cinco preguntas a tu proveedor y tienes las respuestas por escrito.