En resumen, ¿es seguro usar ChatGPT con datos de la empresa?
Depende de tres cosas: qué cuenta o plan se utiliza, qué dicen las condiciones sobre datos de ese plan y qué información introducen las personas. La misma herramienta puede ser aceptable con un plan empresarial aprobado para elaborar un borrador basado en datos públicos, e inaceptable con una cuenta personal para trabajar con un contrato de un cliente.
El Centro Nacional de Ciberseguridad del Reino Unido señaló el punto fundamental en March 2023: la organización que proporciona el modelo puede ver las consultas, y recomendó no incluir información sensible en las consultas a modelos públicos. Las condiciones de los proveedores han evolucionado desde entonces, pero sigue siendo válido el principio de que debe saber adónde van los datos. Esta página ofrece información general, no asesoramiento jurídico.
Elija el plan
Decida qué tipo de cuenta está autorizado para el trabajo. Las cuentas personales suelen quedar sin regular.
Lea las condiciones
Consulte en las páginas del propio proveedor el uso de los datos para entrenamiento, los plazos de conservación, los controles de administración y dónde se procesan los datos.
Clasificar información
Acuerde qué información es pública, interna, confidencial y personal, con ejemplos sencillos.
Establezca la regla
Redacte una lista breve de lo que nunca debe introducirse, sea cual sea el plan.
Formar y comprobar
Practique con datos ficticios y compruebe que el uso real respete la norma.
¿El tipo de plan cambia lo que ocurre con sus datos?
Sí, los proveedores suelen publicar condiciones distintas sobre los datos para sus productos de consumo y empresariales, así que revise el plan concreto que utiliza. El centro de privacidad de Anthropic, con fecha 18 August 2026, indica que, de forma predeterminada, no utilizará las entradas ni las salidas de sus productos comerciales para entrenar sus modelos, y remite a un artículo aparte para los planes de consumo. El centro de privacidad de Google Workspace indica que Workspace no utiliza los datos de los clientes para entrenar modelos sin el permiso o la instrucción previa del cliente.
La documentación de la API de OpenAI indica que los datos enviados a la API no se utilizan para entrenar ni mejorar sus modelos salvo que usted lo autorice, y que los registros de supervisión de usos indebidos se conservan hasta 30 días de forma predeterminada. No pudimos abrir las páginas de privacidad de ChatGPT de OpenAI para empresas y particulares cuando las comprobamos el 16 October 2026, por lo que debe consultar directamente las correspondientes al plan de ChatGPT que utiliza su equipo, en lugar de basarse en un resumen de esta página.
¿Qué no deben pegar nunca los empleados en ChatGPT?
Hay información que no es adecuada para ninguna herramienta de IA de uso general, salvo que exista un proceso específico y aprobado que contemple su uso. Una pauta de formación que funciona para la mayoría de los equipos pequeños es una lista breve de datos que nunca deben introducirse, con una persona responsable de resolver los casos dudosos.
Contraseñas y claves
Credenciales, claves de API, códigos de acceso y datos de seguridad.
Categorías especiales de datos personales
Datos de salud, biométricos y otros datos sensibles similares de cualquier persona.
Material confidencial del cliente
Cualquier información restringida por un contrato o acuerdo de confidencialidad, salvo que el cliente haya dado su consentimiento.
Información financiera no publicada
Resultados, condiciones de acuerdos o precios que aún no son públicos.
Asuntos de personal
Detalles sobre medidas disciplinarias, reclamaciones o desempeño de empleados identificados por su nombre.
¿Quiere ver cómo se relaciona esto con un puesto?
Explore la prueba prevista para equipos ↗¿Cómo es una instrucción más segura para la IA?
En Copperfield Consulting, una empresa ficticia de 20 personas, un consultor quiere ayuda para resumir una entrevista con un cliente. En la versión arriesgada, pega la transcripción completa en una cuenta personal, incluidos el nombre del cliente, la queja de un empleado identificado por su nombre y cifras de ingresos aún no publicadas.
La versión más segura utiliza el plan empresarial aprobado por la firma, elimina los nombres y las cifras, y pide: "Resuma los temas principales de estas notas anonimizadas en cinco viñetas. No infiera nada que no esté indicado." Después, el consultor contrasta cada viñeta con las notas. La política de la firma indica qué plan está aprobado y establece que el uso de datos de clientes requiere el consentimiento de la persona responsable del encargo.
¿Qué ocurre con los datos personales y la legislación de protección de datos?
Si el personal introduce datos personales, sus obligaciones de protección de datos se aplican como de costumbre y la IA no las elimina. El Perfil de IA generativa de NIST incluye la privacidad de los datos, incluidas las filtraciones y la divulgación no autorizada de datos personales o sensibles, entre los riesgos de la IA generativa. En el Reino Unido, el ICO publica orientaciones sobre IA y protección de datos; su página de resumen, con fecha del 15 de marzo de 2023, indica que está en revisión a raíz de la Ley de Datos (Uso y Acceso). Solicite asesoramiento para cualquier actividad de alto riesgo.
¿Qué lugar ocupa Tosheo.ai?
Tosheo.ai se está diseñando para enseñar los límites de uso de la información como parte de lecciones prácticas, utilizando material ficticio o autorizado, de modo que las personas practiquen la decisión antes de enfrentarse a ella con datos reales. Los compromisos previstos para el producto son mantener los documentos de los clientes separados por empresa, eliminarlos al cerrar la cuenta y no utilizarlos nunca para entrenar modelos. Son compromisos para un producto que aún no se ha desarrollado, no controles auditados.
¿Cuándo no es Tosheo.ai la solución?
La formación no elige su plan de IA, no negocia un acuerdo de tratamiento de datos ni realiza una evaluación de riesgos. Si necesita una revisión de seguridad, una evaluación de impacto en la protección de datos o condiciones contractuales, trabaje con su responsable de informática, asesoría jurídica o protección de datos. Tosheo.ai no ofrece inicio de sesión único ni contratos empresariales en su lanzamiento.
Fuentes y alcance
Documentación de la API de OpenAI, sus datos, verificada el 16 October 2026 ↗
NIST AI 600-1, Perfil de IA generativa, julio de 2024 ↗
ICO, Guía sobre IA y protección de datos, 15 de marzo de 2023, en revisión ↗