Inicio / Blog / Chatbots y asistentes

Seguridad de los datos al usar herramientas de IA: qué no debes pegar en un chatbot

Clasifica los datos por sensibilidad, aprende qué revisar en la política del proveedor y sigue reglas prácticas para que particulares y pequeñas empresas usen la IA con más seguridad.

Edición: PickYourToolActualizado: 2026-10-265 min de lectura

Pegar un contrato en un chatbot para que lo resuma es muy cómodo, y puede causar problemas con facilidad si no sabes adónde van esos datos. Este artículo no pretende asustarte para que dejes de usar IA, sino ayudarte a trazar límites claros: qué puede entrar, qué no, y qué revisar antes de confiar en una herramienta.

Adónde van tus datos cuando pulsas Enviar

Cuando escribes contenido en un servicio de IA en línea, ese contenido se envía a los servidores del proveedor para procesarlo. Según el servicio y el plan, el proveedor puede:

• guardar el historial de conversaciones en tu cuenta;
• permitir que revisores humanos vean algunas conversaciones para mejorar la calidad o investigar abusos;
• usar las conversaciones para entrenar modelos, salvo que desactives esta opción o uses un plan que se comprometa a no entrenar;
• pasar datos a subcontratistas de infraestructura (nube, almacenamiento).

Las condiciones concretas varían entre proveedores, entre planes gratuito, personal y empresarial, y entre la aplicación y la API. Por eso la respuesta exacta está siempre en la política de privacidad y en las condiciones de servicio vigentes del plan exacto que usas, no en un artículo como este.

Clasifica los datos en tres niveles

Nivel 1: públicos. Contenido ya publicado en un sitio web, notas de prensa, productos ya a la venta. Puedes usarlos libremente.

Nivel 2: internos. Planes de marketing, presupuestos aún sin enviar, flujos de trabajo, correos internos que no contienen datos personales. Úsalos después de leer la política, desactivar la opción de usar tus datos para entrenamiento si existe, y quitar los nombres propios cuando no hagan falta.

Nivel 3: sensibles. Incluyen datos personales de clientes y empleados (nombre completo junto con teléfono, dirección, número de documento de identidad, cuenta bancaria), información de salud, contratos con cláusulas de confidencialidad, código fuente propietario, claves de API y contraseñas. No los introduzcas en herramientas de IA públicas. Si de verdad es necesario, usa solo un plan empresarial o un servicio desplegado de forma privada que haya evaluado una persona cualificada.

Cinco cosas que revisar en la política

1. Entrenamiento: ¿se usan tus datos para entrenar modelos y puedes desactivarlo?
2. Conservación: ¿cuánto tiempo se guardan, cómo se eliminan, se borran de verdad de los sistemas?
3. Lectores: ¿alguna persona lee el contenido de las conversaciones y en qué casos?
4. Ubicación y transferencias: ¿dónde se procesan los datos, se transfieren al extranjero?
5. Certificaciones y compromisos contractuales: ¿existe un acuerdo de tratamiento de datos (DPA) y una certificación de seguridad independiente para el plan empresarial?

Si no encuentras una respuesta clara a los cinco puntos, considera que la herramienta aún no es segura para datos de nivel 2 o superior.

Riesgos más allá del almacenamiento

La seguridad al usar IA no se limita a lo que guarda el proveedor. OWASP, la organización especializada en seguridad de aplicaciones, enumera riesgos propios de las aplicaciones que usan modelos de lenguaje, entre ellos:

• Inyección de prompts (prompt injection): contenido oculto en una página web o un documento que hace que el modelo siga las instrucciones de un atacante. Es especialmente preocupante cuando el asistente tiene permiso para actuar, por ejemplo enviar correos o leer archivos.
• Filtración de información sensible a través de las respuestas.
• Permisos excesivos: dar a un agente de IA más acceso del necesario.
• Confianza excesiva en los resultados, por ejemplo ejecutar código escrito por IA sin leerlo.

Para herramientas con funciones de «agente» (navegar por la web, enviar correos, operar con archivos por sí mismas), el principio de seguridad es conceder los permisos mínimos, separar las cuentas de prueba de las reales y exigir confirmación antes de las acciones irreversibles.

Reglas prácticas para particulares y pequeñas empresas

• Anonimiza antes de pegar. Sustituye los nombres reales por «Cliente A» y las cantidades concretas por rangos.
• Separa las cuentas. Usa una cuenta de trabajo propia y activa la verificación en dos pasos.
• Desactiva el historial o el entrenamiento si el servicio lo permite y no necesitas el historial.
• Nunca introduzcas contraseñas, claves de API ni códigos OTP en ningún chatbot, ni siquiera «solo para pedir ayuda con un error». Si ya lo hiciste, cambia la clave de inmediato.
• Escribe una norma de una página para tu equipo: qué se permite, qué se prohíbe, qué herramientas están aprobadas.
• Revisa las extensiones y las aplicaciones de terceros. Muchas extensiones de «IA» para el navegador piden permiso para leer todas las páginas que abres.
• Vuelve a leer la política cuando recibas un aviso de cambios. Las condiciones pueden cambiar con el tiempo.

Cuando los datos afectan a otras personas

Si tratas datos personales de clientes o empleados, puedes tener obligaciones legales, por ejemplo contar con una base jurídica, informar a las personas afectadas o limitar las transferencias al extranjero. Las normas concretas dependen del país y del sector. En Vietnam, la nueva ley de protección de datos personales está en vigor desde 2026; en Europa existe el RGPD. Este artículo no es asesoramiento jurídico; si tu negocio trata grandes volúmenes de datos personales, consulta a un abogado o a un especialista en cumplimiento.

Si enviaste datos sensibles por error

1. Elimina la conversación y, si es posible, bórrala del historial o de la memoria de la herramienta.
2. Si era una contraseña, una clave de API o un token, revócalo y crea uno nuevo de inmediato.
3. Anota qué se envió y en qué momento.
4. Si eran datos de clientes, avisa al responsable y revisa las obligaciones de notificación.
5. Actualiza tus normas internas para que no se repita.

Conclusión

Usar la IA con seguridad no exige que seas un experto en seguridad. Clasifica los datos, lee la política del plan exacto, anonimiza lo que puedas y no metas secretos en un chatbot. Para los trabajos importantes, elige un plan empresarial con compromisos por escrito. Por último, recuerda que cualquier política puede cambiar, así que tu hábito de cautela importa más que cualquier promesa.

Este artículo es solo una referencia general y no sustituye el asesoramiento legal o profesional. Consulta también la política editorial, de afiliados y de reseñas.