¿Pueden los empleados introducir datos de clientes en ChatGPT?

La ley de protección de datos también se aplica a la IA

El Comisionado Federal suizo de Protección de Datos y Transparencia (EDÖB/FDPIC) lo deja claro: la ley de protección de datos es tecnológicamente neutra y se aplica directamente a las aplicaciones de inteligencia artificial. Quien introduce datos de clientes en un servicio de IA trata datos personales, con todas las obligaciones que ello conlleva.

Para las empresas en Suiza, estos puntos son los más importantes:

• Tratamiento por terceros (art. 9 DSG, ley suiza de protección de datos): si una empresa transmite datos personales a un proveedor, necesita un contrato o una base legal. La responsable sigue siendo la empresa.
• Comunicación al extranjero (art. 16 y 17 DSG): los grandes servicios de IA suelen tratar los datos fuera de Suiza. Esto solo está permitido con una protección adecuada o garantías apropiadas.
• Datos sensibles (art. 5 let. c DSG): los datos de salud y otros similares exigen especial cuidado.
• Secreto profesional y bancario: para profesiones como médicos, abogados o auditores rige además el secreto profesional (art. 321 StGB, Código Penal suizo); para los bancos, el secreto bancario (art. 47 BankG, ley suiza de bancos).

En la UE, el RGPD establece reglas comparables: un contrato de encargo del tratamiento (art. 28) y condiciones específicas para las transferencias a terceros países (art. 44 y ss.).

¿Cuenta personal o plan de empresa?

La diferencia es grande. Según OpenAI, el contenido de sus servicios para particulares, como ChatGPT con una cuenta personal, puede usarse para entrenar sus modelos; esto se puede desactivar en la configuración. En sus ofertas para empresas (ChatGPT Business o Team, Enterprise y la API), OpenAI afirma que, por defecto, no entrena con sus datos.

Así pues, si los empleados trabajan con cuentas personales, la empresa no tiene ni contrato ni control sobre lo que ocurre con lo que se introduce.

Qué pueden hacer ya las empresas

1. Fijar las reglas por escrito: qué servicios de IA están permitidos, con qué cuentas y qué datos nunca deben introducirse (p. ej., datos de clientes, datos bancarios, números de la seguridad social, contraseñas).
2. Cuentas de empresa en lugar de personales: elija un plan con contrato y compruebe dónde se tratan los datos.
3. Formar a la plantilla: de forma breve y concreta, con ejemplos de su propio día a día.
4. Detectar los descuidos técnicamente: la mayoría de los errores ocurren al pegar texto con prisas. Una extensión de navegador como AImori revisa localmente en el navegador lo que se escribe y avisa antes de que se envíe un IBAN, un número de la seguridad social o una contraseña. No sustituye las reglas, pero las hace eficaces en el día a día. Con reglas por cuenta, puede ser más estricta en la cuenta personal de una IA que en el espacio de trabajo de la empresa, y el semáforo de entrenamiento de IA en el icono muestra si, según el proveedor, un sitio de IA usa por defecto lo que se escribe para entrenar.

Si un texto concreto contiene datos delicados lo muestra la prueba gratuita «¿Es seguro este texto para ChatGPT?», directamente en su navegador.