¿Es seguro usar ChatGPT con los datos de tu empresa?

¿Qué pasa cuando pegas datos en un chat?

Todo lo que pegas viaja a la empresa que da el servicio. Si copias una hoja de cálculo entera porque querías saber qué tres clientes han bajado más, la IA recibe la hoja entera, con nombres, teléfonos, importes y lo que hubiera en las columnas que no mirabas.

• Decide una persona sola, en el momento, qué se envía y qué no.
• A menudo se usa una cuenta personal o gratuita, con condiciones distintas a las de una cuenta de empresa.
• En tu empresa no queda registro de qué se envió, cuándo ni por quién.
• La conversación puede quedar guardada en el historial de esa cuenta.
• La respuesta se basa en lo que se pegó, que puede estar desactualizado o incompleto.

¿Qué riesgos hay en la práctica?

Los problemas habituales tienen poco que ver con ataques sofisticados. Son cosas del día a día: datos de clientes o empleados enviados a un servicio sin haberlo revisado, información que la persona no debería haber tenido a mano, respuestas que parecen buenas pero se basan en una exportación de hace tres meses y, sobre todo, ninguna forma de saber después qué pasó.

¿Qué cambia con un sistema que prepara y limita lo que se envía?

La IA es la misma; lo que cambia es todo lo que ocurre antes y después. Con un sistema como el que instalamos:

• Nadie copia ni pega: la persona pregunta con sus palabras y el sistema busca los datos en una copia de tus programas hecha para consultar.
• El sistema elige solo las filas y los campos necesarios para esa pregunta.
• Se aplican los permisos de quien pregunta antes de enviar nada.
• Lo que no hace falta se quita, y los nombres se pueden cambiar por códigos.
• Se usa la cuenta de tu empresa, con tus claves, no la de cada empleado.
• Queda registrado quién preguntó, qué datos se usaron y qué se envió.
• La respuesta dice de dónde sale y, si faltan datos, lo dice.

Eso sí, con un proveedor externo la información autorizada para cada pregunta viaja a ese proveedor. La diferencia está en que sale solo lo que una regla permite y queda constancia.

¿Qué mirar en las condiciones del proveedor?

Las cuentas de empresa y el acceso que usan los programas suelen tener condiciones distintas a las del chat gratuito. Antes de elegir, revisa al menos esto:

• Si usa lo que le envías para entrenar sus modelos.
• Cuánto tiempo conserva lo que recibe.
• En qué países procesa la información.
• Si ofrece un contrato de encargo del tratamiento para los datos personales.
• Quién, dentro del proveedor, puede llegar a ver lo que envías y en qué casos.

La seguridad depende más de cómo se use y de las condiciones del servicio contratado que del nombre de la IA, así que revísalo para el servicio concreto que vas a contratar.

Mientras tanto, normas sencillas para tu equipo

Prohibir la IA rara vez funciona: la gente la usa igual, solo que a escondidas. Es más útil dar unas pocas normas claras:

• No pegar datos de personas: nombres, DNI, teléfonos, salarios, datos de salud.
• No pegar contraseñas, claves ni datos bancarios.
• Usar la cuenta de empresa, nunca la personal, para cualquier cosa de trabajo.
• Quitar columnas y filas que no hacen falta antes de pegar nada.
• Comprobar cifras importantes antes de usarlas en una decisión o enviarlas a un cliente.