Qué datos puedes poner en ChatGPT o Copilot y cuáles no

¿Puedo poner datos de mis clientes en ChatGPT o Copilot?

Depende de tres cosas. Qué tipo de dato es, con qué tipo de cuenta lo usas y si tienes autorización para ese uso. Con una cuenta personal y datos de clientes o empleados, la respuesta prudente es no.

Este artículo explica el panorama técnico y remite a la ley. No es asesoría jurídica. Para tu caso concreto, la Ley 1581 de 2012 y un abogado de confianza son la fuente.

¿Qué datos son personales y cuáles no?

Personal es cualquier dato que identifique a una persona o permita identificarla. Un nombre con un correo, una cédula, una foto, un historial de compras asociado a un cliente. Y hay datos que no son personales pero igual no deben salir, como tus contratos o tus precios.

Una advertencia sobre «quitarle el nombre». No siempre basta. Un cargo, una fecha y una ciudad juntos pueden identificar a alguien en una empresa pequeña. Si el dato todavía apunta a una persona concreta, sigue siendo personal.

¿Importa si la cuenta es personal o de empresa?

Mucho. Los proveedores publican condiciones distintas para cada tipo.

• Microsoft. Según su documentación, con una cuenta de trabajo los mensajes y las respuestas de Copilot están cubiertos por el contrato de empresa y no se usan para entrenar los modelos de base. Las consultas web que Copilot envía a Bing tienen reglas propias, y los agentes de terceros dependen de la política de cada agente.
• Google. En la página de IA en Workspace, Google indica que los datos de la organización no se usan para entrenar ni mejorar los modelos de Gemini.
• OpenAI. Su página de datos para empresas indica que, por defecto, no usa los datos de ChatGPT Business, Enterprise ni de su API para entrenar modelos.

Con una cuenta personal las condiciones son otras. Antes de usarla para trabajo, revisa en su configuración si tus conversaciones se usan para mejorar el modelo y si puedes desactivarlo. Aun así, una cuenta personal no tiene el contrato ni los controles de administración de una de empresa.

Un punto más sobre Copilot. Respeta los permisos que ya existen en tu empresa, según Microsoft. Eso significa que no abre puertas nuevas, pero encuentra con facilidad lo que ya estaba mal protegido. Si una carpeta de sueldos está abierta a todo el mundo, Copilot la va a mostrar a quien la pregunte. Ordena permisos antes de activarlo.

¿Qué dice la ley que aplique a estas herramientas?

La Ley 1581 no habla de ChatGPT. Habla de tratamiento de datos personales, y pegar un dato en una herramienta es una forma de tratarlo. De ahí salen tres ideas que conviene tener presentes, siempre con la salvedad de que un abogado debe aplicarlas a tu caso.

• Finalidad. El tratamiento debe obedecer a una finalidad legítima, que se informa al titular. Si recogiste un teléfono para confirmar una cita, usarlo para otro propósito es otra conversación.
• Autorización. Por regla general se requiere la autorización previa e informada del titular, en una forma que se pueda verificar después.
• Transferencia internacional. El artículo 26 prohíbe transferir datos personales a países que no ofrezcan niveles adecuados de protección, con excepciones, como la autorización expresa e inequívoca del titular. Si tu herramienta procesa datos en servidores fuera de Colombia, esa pregunta es para tu abogado.

La Superintendencia de Industria y Comercio ya se pronunció sobre IA. En 2023 abrió una investigación a ChatGPT para determinar si cumple la ley colombiana, y recomendó a los usuarios consultar la política de privacidad y pensar si compartir datos vale la pena. En agosto de 2024 expidió la Circular Externa 002, con lineamientos sobre datos personales en sistemas de IA. Pide, entre otras cosas, tratar los datos con criterios de necesidad y proporcionalidad, y poder demostrar que se cumple.

Una consecuencia práctica. Los datos de tus clientes son tu responsabilidad como empresa, no la de cada empleado por separado. Por eso la regla de uso debe ser de la empresa y estar escrita.

¿Qué sí y qué no, con ejemplos?

• Sí. Pedirle a una IA que redacte una política de teletrabajo genérica, un correo de cobro con campos vacíos o un guion de llamada. No hay datos de nadie.
• Sí, con cuenta de empresa y reglas. Resumir un acta de reunión que menciona a empleados, siempre que la herramienta tenga condiciones de empresa y que no incluya datos sensibles.
• Con cuidado. Pegar una lista de clientes con teléfonos para que la IA redacte mensajes. Aquí pesan la autorización para ese uso y el proveedor. Casi siempre es mejor que lo haga tu CRM, con un contrato claro, y no una conversación suelta.
• No. Pegar la historia médica de un empleado para que la IA «ayude a redactar» una respuesta, o subir hojas de vida completas a una cuenta personal.

¿Qué debe decir la regla interna de la empresa?

• Qué herramientas están permitidas y con qué tipo de cuenta.
• Qué datos no se pegan nunca, con la lista concreta de tu empresa.
• Quién aprueba un uso nuevo, sobre todo si toca una base de clientes.
• A quién se avisa si alguien pegó algo que no debía, sin castigo a quien avisa.

Con eso ya hay una base. Cómo encaja con el plan de arranque está en cómo empezar con IA en tu empresa, y el marco general de la ley para pymes en la guía de la Ley 1581.

¿Cuándo hay que hablar con un abogado?

Si manejas datos de salud, biométricos o de menores. Si tus proveedores de IA procesan en otros países. Si vas a conectar una IA a tu base de clientes. O si ya recibiste un requerimiento de la SIC. Nuestro lado es el técnico. Te ayudamos a ver dónde están los datos, quién accede y qué falla, y el lado jurídico lo resuelve quien puede asesorarte.

Preguntas frecuentes