10 reglas para usar IA con criterio
sin poner en riesgo tu empresa

Cuando alguien de tu equipo abre una cuenta gratuita o personal de ChatGPT, Gemini, Claude o Copilot, no hay ningún contrato firmado entre tu empresa y esa herramienta. El RGPD exige que cualquier proveedor que procese datos personales de tus clientes — un nombre, un email, un DNI, un historial de pedidos — esté bajo un acuerdo de tratamiento de datos (DPA). Sin ese contrato, tú no estás autorizado a meter esa información ahí, da igual si la herramienta es buena o mala.

El problema no es solo lo que la herramienta haga con esos datos hoy: es que no tienes ninguna garantía contractual sobre dónde acaban, quién los puede ver, cuánto tiempo se guardan ni si se usan para entrenar futuros modelos. Y si un cliente te pone una reclamación porque su información apareció en una conversación de IA, no tienes nada que enseñar para defenderte.

Datos de clientes no son lo único sensible que circula en una empresa. Márgenes, proyecciones financieras, planes de negocio, propuestas comerciales, contratos, documentación técnica propietaria — todo eso es información estratégica que no debería entrar en una herramienta de IA personal, ni siquiera "solo para resumirla" o "solo para traducirla".

La razón principal es que las herramientas personales pueden usar lo que introduces para mejorar sus modelos. En sectores con poca información pública disponible — industria, servicios B2B especializados, nichos técnicos — el modelo aprende de datos escasos: tu información puede aflorar cuando otra persona del mismo sector le hace preguntas similares. Y aunque la herramienta diga que "no usa tus datos para entrenar", lo que sí queda almacenado es el registro completo de lo que tu equipo ha escrito — accesible ante un incidente de seguridad, una orden judicial o un cambio de política de la herramienta.

La mayoría de herramientas de IA tienen activado por defecto que tus conversaciones se usen para entrenar sus modelos. No es algo que hayas decidido — es la configuración que viene de serie cuando te registras con una cuenta personal. La buena noticia es que casi todas permiten desactivarlo, y hacerlo lleva menos de dos minutos por herramienta.

Esto no sustituye tener un plan corporativo con DPA — sin ese acuerdo no tienes protección contractual ni garantías sobre dónde van tus datos. Pero si todavía estás en la fase de herramientas personales, deshabilitar el entrenamiento es el mínimo que puedes hacer mientras ordenas el resto.

La IA no es la solución a todo. Antes de introducirla en cualquier proceso, hay que tener muy claro cómo se hace esa tarea normalmente — a mano, paso a paso. Sin eso, lo que haces es automatizar el caos.

Una vez entiendes bien la tarea, la pregunta es qué tipo de solución necesita. Si el proceso es muy repetitivo y siempre sigue los mismos pasos — enviar un email cuando llega un formulario, mover un archivo a una carpeta, generar un informe con los mismos datos cada semana — lo que necesitas es automatización, no IA. La automatización te garantiza que el resultado va a ser siempre el mismo. La IA es un modelo de probabilidades: puede equivocarse, puede dar resultados distintos ante la misma entrada. Meter IA donde basta con automatización es añadir variabilidad donde no la necesitas.

La IA tiene sentido donde el proceso no es totalmente repetitivo y requiere interpretar contexto, tomar una decisión o generar algo diferente cada vez — redactar una respuesta a un cliente, resumir un documento distinto, preparar una propuesta adaptada a cada caso.

La IA no tiene criterio propio — genera respuestas que suenan bien basándose en patrones, no en conocimiento verificado. No duda, no avisa, no distingue entre lo que sabe y lo que está inventando. Eso no la hace inútil: la hace dependiente de que tú pongas el criterio — qué preguntar, cómo interpretar la respuesta y qué validar antes de usar el resultado.

Esto explica por qué los documentos del tipo "los 1000 mejores prompts para X" funcionan tan limitadamente. Sirven cuando no tienes criterio sobre la tarea — al menos te dan un punto de partida razonable. Pero usar bien la IA no es encontrar el prompt mágico: es saber qué quieres, reconocer cuándo el resultado no encaja, entender por qué falla y darle el contexto que le faltaba para que la siguiente respuesta sea mejor. Eso no te lo da ningún prompt enlatado — solo te lo da el criterio profesional sobre la tarea que estás haciendo.

Las reglas anteriores se centraban en usar herramientas personales solo cuando no hay alternativa corporativa. Pero si tu equipo usa IA de forma habitual — y probablemente ya lo hace — eso no puede ser la situación permanente. No se construye un negocio sobre herramientas que no garantizan dónde van tus datos. Las personales son útiles para salir del paso; no son una base sobre la que operar.

La pregunta, sin embargo, no es solo "¿cuál es nuestra herramienta corporativa?", sino ¿está conectada al sitio donde viven los datos reales de la empresa? Una IA potente vive sobre datos estructurados — tus correos, tus documentos, tu CRM, tus carpetas compartidas. ChatGPT Enterprise sin acceso a tus datos es un asistente genérico; Copilot dentro de Microsoft 365, o Gemini dentro de Google Workspace, trabaja sobre lo que tu equipo ya tiene. Ahí es donde la IA pasa de ser un truco que va más rápido a ser productividad real.

Esto se nota incluso a escala personal. Yo, por ejemplo, uso Claude conectado a Notion para organizar todas mis investigaciones, notas y bases de datos. Cada nueva petición construye sobre lo que ya tengo estructurado, no parte de cero. Si solo tienes conversaciones sueltas con la IA, sin un sistema que las acumule, estás perdiendo la mayor parte de su potencial — la IA sin contexto persistente es solo un chat ingenioso.

La IA puede ayudarte a organizar, filtrar o resumir información. Pero si antes tomabas decisiones sobre una persona solo mirando un CV, un perfil o un historial, la IA va a hacer eso mismo — más rápido y con más confianza aparente. La pregunta es si eso es lo que quieres.

Esto no aplica solo a contratación. Elegir un proveedor, decidir si seguir trabajando con un cliente, evaluar a alguien del equipo — en todos estos casos hay información que no cabe en un documento: cómo trabaja alguien bajo presión, si un proveedor cumple cuando las cosas se complican, si una relación comercial tiene recorrido más allá de los números. Ese criterio no lo tiene ningún modelo.

Además, los modelos pueden reproducir sesgos sin que nadie lo haya decidido. Si la IA filtra candidatos y alguien del equipo nota que sistemáticamente descarta perfiles con ciertos nombres, cierta formación o cierta procedencia — eso hay que decirlo, no guardárselo. Parte de trabajar bien con IA es detectar cuando algo no cuadra y reportarlo.

Usar IA para trabajar mejor no es señal de menor calidad — al contrario. Un documento redactado con IA y revisado en profundidad por alguien con criterio combina lo mejor de los dos: la velocidad y la estructura que da la herramienta, más el juicio y el conocimiento que pones tú. Eso no es algo que tengas que ocultar.

Donde sí importa ser explícito es cuando el contenido se genera de forma automática y no pasa por una revisión individual cada vez — un reporte mensual de estado de servicio, un resumen automático de métricas, un informe periódico que se crea sin que nadie lo revise específicamente antes de enviarlo. El EU AI Act distingue entre contenido "asistido por IA" — con supervisión humana y responsabilidad editorial — y contenido "generado por IA" sin esa revisión.

La tentación cuando aparece una nueva normativa es redactar un documento que diga que estás en regla. El problema es que ese documento no impide que mañana alguien del equipo pegue datos de un cliente en una herramienta sin DPA, ni que una automatización esté moviendo información a un servidor fuera de la UE sin que nadie lo sepa. Un papel no protege — una infraestructura bien configurada sí. Cuando los datos son seguros por defecto, estar en regla es una consecuencia de cómo está montado todo, no algo que tengas que demostrar cada vez.

Las herramientas de IA actualizan sus condiciones, aparecen opciones nuevas, y el equipo va descubriendo usos que nadie había anticipado al principio. Lo que tenías montado en enero puede quedarse obsoleto en marzo sin que nadie lo haya decidido. No porque alguien lo haya hecho mal — sino porque el ritmo al que evoluciona todo esto es alto, y nadie tiene la foto cerrada.

Esto no significa que tengas que estar pendiente de cada novedad. Significa que necesitas un hábito de revisión periódica: ¿sigue siendo válido lo que tienes montado? ¿hay herramientas nuevas que el equipo esté usando fuera del inventario? ¿alguna ha cambiado sus términos?