- El 'Shadow AI' se ha convertido en un riesgo legal creciente para las pymes españolas.
- Las conversaciones con chatbots pueden terminar en procedimientos judiciales como prueba.
- La diferencia entre cuenta personal y corporativa condiciona el nivel de privacidad.
- Adoptar protocolos de uso y formación en ciberseguridad son claves para minimizar riesgos.
La inteligencia artificial generativa se ha colado en el día a día de las empresas y de los usuarios particulares. Herramientas como ChatGPT permiten redactar correos, analizar documentos o resolver dudas en cuestión de segundos, lo que ha disparado su uso tanto en el ámbito laboral como en el personal. Sin embargo, esa comodidad tiene una cara oscura: las conversaciones con estos chatbots no gozan del mismo nivel de privacidad que, por ejemplo, un mensaje cifrado de extremo a extremo en Signal, y pueden acabar en manos de terceros o incluso en un juzgado.
En España, la consultora PymeLegal ha detectado un incremento de consultas relacionadas con el uso de estas herramientas en el entorno corporativo. Su fundador, Jaume Feliu, advierte de que muchos empleados suben información confidencial a ChatGPT sin ser conscientes de que están realizando una transferencia internacional de datos a Estados Unidos. Esta práctica, conocida como Shadow AI o IA en la sombra, expone a las organizaciones a sanciones económicas considerables, tanto por el Reglamento General de Protección de Datos (RGPD) como por la nueva normativa europea de inteligencia artificial.
Cuando una conversación se convierte en prueba judicial
Una investigación del Washington Post, recogida también por Infobae, ha identificado al menos una docena de casos en los últimos dos años en los que conversaciones mantenidas con chatbots de inteligencia artificial han sido utilizadas en procedimientos judiciales en Estados Unidos. El ejemplo más llamativo es el de Darren Zhou, un joven de Florida que fue condenado a ocho años de libertad condicional después de que OpenAI detectara amenazas contra su expareja y alertara al FBI. Este caso demuestra que las plataformas de IA pueden colaborar con las autoridades cuando existen riesgos graves.
Pero la colaboración no termina ahí. Los chats también pueden aparecer en los dispositivos de los investigados durante registros policiales, o ser aportados por una de las partes en un litigio civil. En un caso en Michigan, un antiguo empleador presentó conversaciones de un trabajador con ChatGPT para demostrar un supuesto intento de ocultar pruebas relacionadas con la captación de clientes. El juez admitió los mensajes como parte del proceso y ordenó al demandado pagar los honorarios legales. Este escenario pone de relieve que lo que escribimos en un chatbot no está protegido por el secreto profesional y puede volverse en nuestra contra.
Cuentas personales vs. cuentas corporativas: un abismo de privacidad
Uno de los aspectos más delicados es la diferencia entre usar ChatGPT con una cuenta personal o con una cuenta corporativa. Cuando una empresa facilita a sus empleados una cuenta de pago, la organización puede establecer políticas de uso y acceder a la actividad de los trabajadores. Anthropic, la compañía detrás de Claude, ofrece a los administradores empresariales la posibilidad de revisar conversaciones y archivos según la configuración del servicio. No significa que las empresas lean todo de forma indiscriminada, pero sí que una cuenta corporativa no debe utilizarse bajo la presunción de privacidad absoluta.
OpenAI, por su parte, guarda las conversaciones de los usuarios particulares hasta que estos deciden eliminarlas, aunque también ofrece un modo de conversación temporal que se borra automáticamente en un plazo máximo de 30 días. Sin embargo, conviene tener claro que eliminar un chat de nuestro historial no garantiza que la información no haya sido almacenada en servidores de la empresa. Las políticas de retención y las obligaciones legales de cada jurisdicción pueden hacer que los datos persistan durante más tiempo del que el usuario espera.
Empresas españolas: el reto de regular el uso de la IA
Para hacer frente a estos riesgos, PymeLegal ha desarrollado un protocolo específico que incluye un diagnóstico inicial para conocer qué herramientas se utilizan y cómo, seguido de la creación de un plan a medida consensuado con la dirección. Este plan se complementa con una parte técnica, desarrollada en colaboración con la empresa Impuls, que se encarga de configurar los programas para que los datos no se usen para entrenar a los modelos de IA. La formación de los empleados es otro pilar fundamental: la concienciación se convierte en la primera barrera de defensa contra el uso indebido de estas herramientas.
La firma, que cuenta con 14 profesionales y una red de más de 500 asesorías que utilizan su plataforma en formato de marca blanca, ha recibido incluso ofertas de compra por parte de grandes grupos empresariales. Su decisión de continuar creciendo de forma independiente refleja la confianza en un modelo de negocio que no deja de evolucionar, añadiendo servicios como consultoría en IA y formaciones de ciberseguridad a su cartera de productos.
Qué no deberías contarle nunca a una IA
Aunque no existe una lista universal de información prohibida, los expertos recomiendan evitar compartir con los chatbots datos como contraseñas, números de identificación, información médica extremadamente sensible, secretos empresariales o datos personales de terceros. En muchos casos, se puede pedir ayuda a la IA sin necesidad de facilitar todos los detalles: eliminar nombres, direcciones y otros datos irrelevantes es suficiente para obtener una respuesta útil.
La psicóloga de la privacidad, por así decirlo, juega en nuestra contra. La interfaz de los chatbots está diseñada para parecerse cada vez más a una conversación humana, lo que nos lleva a confiarles información que jamás pondríamos por escrito en un formulario online. Sin embargo, una conversación puede sentirse privada sin serlo completamente. Esa es la trampa.
Por todo ello, la recomendación principal es adoptar una actitud preventiva. Antes de compartir cualquier dato sensible con ChatGPT o Claude, conviene revisar las opciones de privacidad de la plataforma, conocer la política de retención de datos y valorar si la información que vamos a proporcionar podría causarnos problemas si saliera a la luz. La inteligencia artificial es una herramienta extraordinaria, pero no es un confesor ni un abogado. Saber dónde acaba la utilidad y empieza el riesgo se ha convertido en un ejercicio imprescindible en la era digital.
Editor profesional de Tecnología y Software