Uso seguro de ChatGPT en empresas: reglas, datos y revisión humana

Respuesta directa: los siete controles que necesitas

No hace falta prohibir ChatGPT ni aprobar cada consulta. La empresa debe delimitar los usos normales, reservar los casos sensibles para revisión y poder demostrar que las reglas se aplican.

• Inventario de las tareas en las que se utiliza ChatGPT y de las personas responsables.
• Cuentas y espacios de trabajo autorizados, con propietarios y permisos definidos.
• Reglas sobre datos personales, información confidencial y documentos de terceros.
• Revisión humana proporcional antes de enviar, publicar o tomar una decisión.
• Formación breve basada en los errores y riesgos de las tareas reales.
• Canal para comunicar alucinaciones, filtraciones, accesos indebidos o resultados dañinos.
• Registro de configuraciones, formación, incidencias y revisiones posteriores.

1. Decide para qué se puede usar ChatGPT

La autorización debe describir tareas, no limitarse a decir «se puede usar ChatGPT». Redactar un primer borrador de correo no tiene el mismo impacto que resumir historiales clínicos, puntuar candidatos o responder automáticamente a una reclamación.

Clasifica cada tarea como autorizada, autorizada con revisión, sujeta a aprobación previa o prohibida. Añade quién revisa el resultado y qué versión o cuenta se utiliza. Así el empleado no tiene que interpretar una norma abstracta cada vez que trabaja.

2. Limita los datos antes de escribir el prompt

Cuando el prompt contiene datos personales siguen siendo aplicables los principios del RGPD, como finalidad, minimización y seguridad. Copiar un documento completo «por si acaso» no es una medida prudente: utiliza únicamente la información necesaria, anonimiza cuando sea viable y confirma si la herramienta y el contrato son adecuados para la tarea.

• No introduzcas contraseñas, claves, tokens, credenciales ni códigos de acceso.
• Evita datos de salud, nóminas, evaluaciones laborales, documentos de identidad y categorías especialmente sensibles sin análisis específico.
• No pegues contratos, bases de clientes, propuestas, código o información estratégica si no está autorizado.
• Sustituye nombres y detalles identificativos por datos ficticios cuando la tarea pueda resolverse sin ellos.
• Revisa también los archivos adjuntos, imágenes, transcripciones y datos obtenidos mediante conectores.

Fuente oficial: EUR-Lex · Reglamento General de Protección de Datos

3. Separa cuentas personales, cuentas de empresa e integraciones

Una cuenta personal utilizada por varios empleados impide saber quién accedió y dificulta retirar permisos. Para usos de empresa conviene identificar al titular, controlar las altas y bajas y revisar qué funciones, archivos, conectores o agentes puede activar cada persona.

OpenAI indica que, por defecto, no utiliza los datos de ChatGPT Business, Enterprise y la API para entrenar sus modelos. Esa condición del producto es relevante, pero no convierte por sí sola cualquier uso en adecuado: la empresa debe revisar el plan contratado, el tratamiento, la conservación, los accesos y la finalidad concreta.

Fuente oficial: OpenAI · privacidad de los datos empresariales

4. Aplica permisos que coincidan con cada función

• Asigna un propietario del espacio de trabajo y al menos una persona de respaldo.
• Da acceso solo a quienes lo necesiten y retíralo cuando cambien de puesto o salgan de la empresa.
• Aprueba por separado la carga de archivos, los conectores, los agentes y las acciones sobre otras aplicaciones.
• Limita la creación y compartición pública de asistentes configurados con información interna.
• Revisa periódicamente miembros, roles, enlaces compartidos, integraciones y funciones nuevas.

5. Define la revisión humana según la consecuencia

Revisar no significa leer rápidamente. La persona debe conocer el tema, disponer de la fuente original y tener autoridad para corregir o descartar la respuesta. Cuanto mayor sea el impacto, más independiente y documentada debe ser la comprobación.

6. Forma al equipo sobre la herramienta que realmente utiliza

La Comisión Europea confirma que una empresa cuyos empleados utilizan ChatGPT para redactar publicidad o traducir debe informarles de riesgos específicos, como las alucinaciones. El artículo 4 no exige un certificado universal, pero sí medidas de alfabetización ajustadas a las personas, herramientas y contexto.

Una sesión útil debería practicar con ejemplos autorizados y prohibidos, enseñar a contrastar resultados y terminar con una regla clara para pedir ayuda. Dirección, marketing, administración y recursos humanos no necesitan exactamente el mismo contenido.

Fuente oficial: Comisión Europea · preguntas sobre alfabetización en IA

7. Conserva evidencias ligeras y conectadas con la realidad

La evidencia útil permite reconstruir qué se decidió y comprobar si sigue funcionando. No es necesario guardar todos los prompts ni vigilar de forma indiscriminada a la plantilla.

• Inventario de tareas, cuentas, responsables, datos y destinatarios del resultado.
• Versión vigente de la política y fecha de comunicación al equipo.
• Relación de miembros, roles, permisos, conectores y configuraciones relevantes.
• Contenido de la formación, perfiles cubiertos y dudas resueltas.
• Muestras de revisiones para tareas de mayor impacto, sin conservar datos innecesarios.
• Incidencias, medidas correctoras, cambios de herramienta y próxima fecha de revisión.

Ejemplo: una agencia prepara propuestas con ChatGPT

La agencia autoriza a ventas a crear estructuras y mejorar redacción, pero prohíbe copiar bases de clientes y contratos completos. Utiliza cuentas corporativas, asigna un responsable, exige comprobar precios y compromisos contra la propuesta original y registra cualquier error que llegue a un cliente.

Marketing puede generar variantes de contenido, pero debe verificar afirmaciones y derechos antes de publicar. Recursos humanos queda fuera de este uso autorizado hasta realizar una revisión específica. El resultado es una regla comprensible y controles que pueden comprobarse.

Qué implanta Control 72 y qué queda fuera

Control 72 convierte estas decisiones en inventario, reglas, configuración guiada, formación por perfiles y carpeta de evidencias para hasta tres herramientas y diez personas. Antes de contratar confirmamos el alcance exacto.

El servicio estándar no incluye desarrollos, integraciones complejas, auditoría jurídica, evaluación de impacto completa, certificación ni defensa ante una autoridad. Si aparece un uso sensible o de alto riesgo, se separa y se delimita la revisión especializada necesaria.