Privacidad y datos: qué revisar antes de subir información a una herramienta de IA

Cuando pegas el correo de un cliente en un asistente de IA, estás enviando datos de un tercero a un proveedor que no eliges tú solo. Esta guía enumera qué comprobar antes, con fuentes oficiales, y qué hacer cuando no hay documentación clara.

Esta página describe comprobaciones prácticas y enlaza documentación de proveedor. No es asesoramiento jurídico ni una interpretación del RGPD: para eso, consulta con un profesional.

1. ¿Se usan tus datos para entrenar modelos?

Es la pregunta central y la única que tiene respuesta documentada en la mayoría de proveedores serios. OpenAI explica los controles disponibles y cómo desactivar el uso del contenido para mejorar sus modelos en su documentación de controles de datos (consultada el 7 de agosto de 2026). GitHub documenta las políticas equivalentes para suscriptores individuales de Copilot en su guía de gestión de políticas (consultada el 7 de agosto de 2026).

Si un proveedor no publica esta información en una página estable, trátalo como si la respuesta fuera "sí" y no le des información de clientes.

2. ¿Cuánto tiempo se conserva lo que envías?

Busca en la política de privacidad el plazo de retención y si existe borrado manual. La diferencia entre "se conserva mientras la cuenta esté activa" y "se elimina a los treinta días" es relevante si trabajas con documentación de terceros.

3. ¿Dónde se procesan los datos?

Comprueba si el proveedor indica la ubicación de procesamiento y si ofrece condiciones específicas para clientes de la Unión Europea. Muchos proveedores lo detallan solo en sus planes de empresa.

4. ¿Existe un acuerdo de tratamiento de datos?

Si tratas datos personales de clientes, necesitas la figura del encargado del tratamiento. Los proveedores que la ofrecen suelen tener una página dedicada en su sección legal. Si no la encuentras, no la asumas.

5. ¿Qué pasa con lo que ya subiste?

Antes de cambiar de herramienta, revisa si puedes exportar y eliminar el histórico. Es el paso que más se olvida y el único que no se puede resolver después.

Regla práctica para el día a día

Divide la información en tres cajones y aplícalos siempre:

• Verde. Material público o propio sin datos personales: notas, borradores, textos ya publicados. Adelante.
• Ámbar. Material interno sin datos de terceros: procesos, plantillas, documentación de producto. Solo con proveedores cuyo tratamiento de datos hayas comprobado y anotado.
• Rojo. Datos personales, documentación de clientes, información bajo acuerdo de confidencialidad, credenciales. Nunca, salvo que exista un acuerdo de tratamiento firmado.

Anonimiza antes de pegar siempre que puedas: sustituir nombres, direcciones y números de contrato por marcadores resuelve buena parte de los casos ámbar.

Cuando no hay fuente, lo decimos

En nuestras fichas verás con frecuencia el aviso "No verificado" en el apartado de privacidad. Significa exactamente eso: no hemos localizado una página oficial del proveedor que podamos enlazar. Preferimos dejar el hueco a rellenarlo con una suposición. El criterio completo está en la política editorial, y si detectas un dato desactualizado puedes avisarnos según la política de correcciones.