Cómo usar IA sin filtrar datos de clientes

La escena se repite en cualquier oficina: alguien copia el correo de un cliente entero —nombre, teléfono, número de pedido, la queja y de paso la firma con el cargo— y lo pega en un chat de IA para que le ayude a redactar la respuesta. Tarda quince segundos y sale bien. El problema no es que salga mal; es que sale bien y por eso se repite mil veces.

Esta guía no va de si la inteligencia artificial es legal. Lo es. Va de la única decisión que toma de verdad cada persona de tu equipo varias veces al día: qué escribe en esa caja de texto.

La pregunta no es «¿es legal usar IA?»

El RGPD no menciona la inteligencia artificial y no le hace falta. Lo que regula es el tratamiento de datos personales, y da igual que lo haga una hoja de cálculo, un becario o un modelo de lenguaje. Los principios son los mismos de siempre: necesitas una base jurídica, tratas solo los datos imprescindibles, informas a quien corresponde y proteges lo que guardas.

Lo que sí cambia con la IA es la facilidad. Enviar la base de datos de clientes a un tercero antes requería una decisión consciente y probablemente un correo con adjunto. Ahora requiere Ctrl+V. Cuando el coste de hacer algo baja a cero, la política deja de ser un documento y pasa a ser un hábito: si no está claro qué se puede pegar, se pegará todo.

El artículo 24 del RGPD pone la obligación en el sitio incómodo: el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas apropiadas y poder demostrarlo, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento. Demostrarlo, no tener buenas intenciones.

Qué pasa con lo que escribes en el prompt

Hay tres destinos posibles para lo que escribes, y conviene saber en cuál estás:

• Se procesa y se descarta. El proveedor genera la respuesta y no conserva el contenido más allá de un periodo corto de retención por abuso o seguridad. Es lo habitual en los planes de empresa y de API.
• Se conserva en el historial. Queda en tu cuenta, accesible para quien entre en ella, e incluido en cualquier copia de seguridad. No es una fuga, pero sí es una copia más de un dato que quizá no deberías tener duplicado.
• Se usa para mejorar el modelo. Es lo que más asusta y lo que suele estar desactivado por contrato en los planes de pago para empresas. En las versiones gratuitas o de consumo, muchas veces está activado por defecto.

La diferencia entre el primer caso y el tercero no la decide la tecnología: la decide el contrato que has firmado y la casilla que nadie ha ido a mirar en la configuración. Es la primera media hora de trabajo que merece la pena hacer.

Para el uso individual, la Agencia Española de Protección de Datos publicó un decálogo con una recomendación tajante: no compartir con herramientas de IA datos como el nombre completo, la dirección, el teléfono, el DNI o el NIE, ni imágenes de personas, ni información sensible de tipo médico, financiero o contractual, ni la geolocalización. Es un buen punto de partida para redactar la norma interna, porque está escrito en un idioma que se entiende sin abogado.

Clasifica antes de pegar: cuatro cajones

Toda la política de uso cabe en cuatro categorías. Si tu equipo interioriza estas cuatro, has resuelto el noventa por ciento del riesgo:

El cajón 3 es donde está el trabajo real, porque es el que la gente cree que necesita para que la respuesta sea buena. Casi nunca lo necesita. Prueba a comparar estos dos prompts:

Mal:
Responde a esta queja de María Jiménez Ortega (maria.jimenez@ejemplo.es,
612 345 678), pedido 45-9912 del 14 de agosto: dice que el sofá llegó
con la tela rasgada y que ya llamó dos veces.

Bien:
Responde a esta queja de un cliente: recibió un sofá con la tela
rasgada y ya ha contactado dos veces sin respuesta. Tono: disculpa
directa, solución concreta, sin excusas. Deja [NOMBRE] y [PEDIDO]
como marcadores para rellenar.

La segunda versión da una respuesta igual de buena o mejor, porque el modelo se centra en lo que importa en vez de repetir un número de pedido. Y el dato personal no ha salido de tu equipo. Esto es el principio de minimización del RGPD aplicado a la práctica: no es una traba burocrática, es que la mayoría de las veces el dato sobraba.

La Regla de 2: el umbral de la AEPD para agentes

Todo lo anterior vale mientras la IA solo responde. Cuando pasa a actuar —leer tu correo, consultar el CRM, enviar respuestas— el análisis cambia, y aquí la AEPD ha dado la referencia más concreta que existe en español: sus orientaciones sobre inteligencia artificial agéntica desde la perspectiva de protección de datos, publicadas en febrero de 2026.

De ese documento, lo más útil para decidir rápido es lo que llaman la Regla de 2. Viene de una regla de ciberseguridad de navegadores formulada en 2021 y reformulada después para agentes. Se apoya en tres capacidades:

1. Procesar automáticamente información que no controlas. Correos que entran de fuera, páginas web, documentos que envía un tercero.
2. Acceder a información sensible. Los sistemas internos, el CRM, los archivos del usuario, datos personales.
3. Ejecutar acciones automáticas. Enviar, escribir, publicar, modificar registros, dentro o fuera de la organización.

La regla dice: un agente no debería tener las tres a la vez. Con dos se puede trabajar; con tres tienes una configuración que no debería permitirse. El ejemplo que usa la propia Agencia es un agente que responde correos automáticamente: si recibe correo sin garantías de que no traiga un ataque o una manipulación, además puede acceder sin restricciones a información sensible del usuario, y además puede iniciar acciones por su cuenta, tienes las tres.

Lo práctico de la regla es que te dice qué quitar, no solo que hay riesgo. Si tu agente lee correo externo y accede a datos sensibles, quítale la acción automática y mete revisión humana. Si accede a datos sensibles y actúa, entonces asegura la integridad de lo que entra. Si lee de fuera y actúa, córtale el acceso a los datos personales.

La fuga que no parece una fuga

Hay un patrón que las mismas orientaciones describen y que casi nadie tiene en el radar: la exfiltración por goteo, o shadow leak. No hay un incidente, no salta ninguna alarma y ninguna respuesta concreta parece problemática. Lo que pasa es que a base de consultas fragmentadas y aparentemente inocuas, cada una autorizada, alguien va reconstruyendo información confidencial pieza a pieza.

Es un riesgo específico de los sistemas con memoria y con acceso amplio, y explica por qué la respuesta correcta no es solo «que no diga cosas secretas». Las medidas que apunta la AEPD van por otro lado: compartimentar la memoria del agente para que un tratamiento no vea el de al lado, fijar plazos de retención estrictos, poder desactivar el almacenamiento en memoria y aplicar una política selectiva de no registrar según qué.

Medidas que sí caben en una empresa pequeña

El catálogo completo de la Agencia es largo y está pensado también para organizaciones grandes. Estas son las que dan más protección por hora invertida si eres pequeño:

• Lectura amplia, escritura estrecha. Que el agente consulte lo que necesite, pero que enviar, borrar, publicar o pagar pase por una persona.
• Cortacircuitos y límites de pasos. Mecanismos que paran la ejecución al detectar anomalías: bucles, desviación del objetivo, acceso masivo a datos. Un tope duro de pasos es la versión pobre y funciona.
• El principio de los cuatro ojos. Para procesos automáticos con impacto real sobre personas, doble verificación por dos personas distintas. Cuesta poco y evita el sesgo de automatización, que es la tendencia a validar sin mirar.
• Golden testing. Un juego fijo de casos con la respuesta correcta ya escrita, que se pasa cada vez que cambias el modelo o el prompt. Es la única forma de enterarte de que algo ha empeorado antes de que lo note un cliente.
• Reversibilidad. Antes de dar una capacidad nueva al agente, pregunta cómo se deshace lo que haga. Si no hay respuesta, esa capacidad va con revisión humana.

Qué mirar en el contrato del proveedor

Cuatro cosas, y se comprueban en una tarde:

1. Contrato de encargado de tratamiento. El artículo 28 del RGPD lo exige cuando el proveedor trata datos personales por tu cuenta. Si no te lo ofrecen, esa herramienta no es para datos de clientes.
2. Uso para entrenamiento. Que esté excluido por escrito, no solo desactivado en un menú que cualquiera puede volver a activar.
3. Dónde se procesa. Si hay transferencia internacional, qué mecanismo la ampara.
4. Retención y borrado. Cuánto tiempo se conserva el contenido de las conversaciones y cómo se solicita su eliminación, que es lo que necesitarás el día que alguien ejerza su derecho de supresión.

Lista de comprobación antes de abrir el chat

Cinco preguntas. Si alguna se responde «no lo sé», ahí está el trabajo pendiente:

1. ¿En qué cajón de los cuatro está lo que voy a pegar?
2. ¿Necesito de verdad ese dato para que la respuesta sea útil, o va por inercia?
3. ¿La herramienta tiene contrato de empresa y el entrenamiento desactivado por escrito?
4. Si esto es un agente y no un chat: ¿tiene las tres capacidades de la Regla de 2 a la vez?
5. ¿Podría explicar esta decisión en una inspección sin ponerme rojo?

Cuando estas cinco están escritas y todo el mundo las conoce, la conversación deja de ser «la IA es peligrosa» y pasa a ser un procedimiento más. Que es exactamente lo que debería haber sido desde el principio.

La vía por la que esto se rompe más veces no es el prompt escrito a mano, sino el archivo que se sube sin pensarlo: un expediente de personal, la documentación de un cliente que no autorizó ese tratamiento, una propuesta ajena bajo confidencialidad. Qué comprobar antes de subir un documento —y qué exigirle al resumen— está en la guía sobre resumir documentos largos con IA. El mismo riesgo aparece en el WhatsApp de atención al cliente cuando alguien reenvía mensajes al asistente integrado; lo tratamos en Meta AI en WhatsApp.

El paso siguiente es ponerlo por escrito para el equipo: en política de uso de IA en la empresa está la plantilla y lo que exige la norma europea. Y si lo que tienes delante no es un chat sino algo que actúa por su cuenta, conviene entender antes qué es exactamente un agente de IA.

Esta guía resume normativa y orientaciones públicas a fecha de 1 de septiembre de 2026. No es asesoramiento jurídico: para un tratamiento concreto, la validación corresponde a un profesional.