Pregunta a cualquier equipo cómo redacta hoy los correos, resume contratos o analiza una hoja de cálculo y la respuesta es la misma: con ChatGPT, Microsoft Copilot, Claude o Gemini. La ganancia de productividad es real. El problema también: un prompt útil lleva muy a menudo datos personales — el nombre de un cliente, un DNI, un IBAN, el salario de un empleado.
Qué exige realmente el RGPD
Cuando un empleado pega datos personales en una herramienta de IA pública, la empresa está comunicando esos datos a otra organización. El RGPD no lo prohíbe, pero le asocia obligaciones:
- Una base legal y una finalidad clara para enviar esos datos.
- Minimización de datos: solo los datos necesarios para la tarea.
- Un contrato de encargado del tratamiento con el proveedor de IA y la revisión de las transferencias internacionales si los datos salen de la UE.
- Seguridad y responsabilidad proactiva: poder demostrar qué se compartió, quién y por qué.
En la práctica, casi nada de esto ocurre cuando la gente usa la IA por su cuenta. Nadie minimiza un prompt a mano, y nadie puede demostrar después qué se envió.
Por qué una política escrita no basta
La mayoría de las empresas empieza con una política de uso aceptable: «no introduzcas datos personales ni confidenciales en herramientas de IA». Es necesaria, pero no cambia lo que ocurre en el momento de uso. La gente tiene prisa, los datos ya están en el texto con el que trabaja y la IA responde mejor con contexto.
Prohibir la IA tampoco funciona. El uso se traslada a los móviles y a las cuentas personales, donde IT no tiene ninguna visibilidad.
Lo que funciona: control en el momento de uso
El enfoque eficaz es aplicar la política donde los datos realmente salen — en el navegador, antes de enviar el mensaje:
- Bloquear lo que nunca debe salir. Contraseñas, claves API, documentos de identidad y datos de salud se detienen, y el empleado ve por qué.
- Ocultar los datos personales en vez de bloquear el trabajo. Nombres, DNI, emails y datos bancarios se sustituyen por códigos como
[PERSONA_1]. La IA sigue entendiendo la petición; el empleado lee la respuesta con los valores reales.
- Guiar en vez de castigar. El uso personal puede permitirse con una breve nota de la empresa.
- Registrar decisiones, no conversaciones. Qué IA se usó, para qué y qué se protegió — nunca el contenido de los mensajes.
Es minimización de datos hecha automáticamente, en cada mensaje, con un registro que puedes enseñar a tu DPO o a un auditor.
Cómo lo hace WALLIOO
WALLIOO Browser Guard es una extensión para Chrome y Edge que funciona con ChatGPT, Claude, Gemini y Microsoft Copilot. Cada mensaje se inspecciona en el navegador antes de enviarse: los secretos se bloquean, los datos personales nunca llegan a la IA y la respuesta vuelve con los nombres reales. Cada decisión queda registrada en WALLIOO Control, donde IT y cumplimiento ven qué IA se usa y para qué — sin leer las conversaciones de nadie.
Tus equipos mantienen la IA que les gusta. Tú mantienes el control de los datos. Ver el caso de uso →
Este artículo es información general, no asesoramiento jurídico. Revisa tus obligaciones con tu DPO o asesor legal.
Preguntas frecuentes
¿Es legal usar ChatGPT en el trabajo según el RGPD?
Sí, el RGPD no prohíbe las herramientas de IA. Lo que exige es una base legal, minimización de datos, un contrato con el proveedor y poder demostrar qué se compartió. El riesgo está en enviar datos personales sin nada de eso.
¿Basta con la versión empresarial de ChatGPT o Copilot?
Los planes empresariales suelen mejorar el contrato y la retención de datos, y eso ayuda. Pero no impiden que un empleado pegue una contraseña, un listado de clientes o datos de salud — y solo cubren esa herramienta.
¿WALLIOO lee las conversaciones de los empleados?
No. WALLIOO registra decisiones y metadatos — qué IA, qué tipo de uso, qué se protegió — nunca el contenido de los mensajes ni de las respuestas.
