¿Puede tu equipo usar ChatGPT o Copilot con datos de clientes? Una decisión de compliance

Alguien del equipo pregunta: “¿Puedo copiar este contrato, ticket, CV o listado de clientes en ChatGPT o Copilot?”. La respuesta útil no es un sí o un no general. Compliance debe entender qué dato se utilizará, para qué tarea, quién verá el resultado y qué ocurriría si la herramienta se equivoca o expone información. Al terminar esta guía podrás decidir si el caso se autoriza, se autoriza con condiciones o debe detenerse.

La decisión correcta no es aprobar una herramienta en abstracto. Es aprobar un caso de uso concreto: una persona determinada, con una cuenta autorizada, para una tarea definida, usando solo los datos necesarios y bajo controles que puedan demostrarse.

Para qué sirve esta guía

Este no es un manual de ciberseguridad ni una comparación técnica de productos. Su objetivo es convertir una petición cotidiana —“quiero usar IA para trabajar más rápido”— en una decisión de compliance comprensible, documentada y revisable. Esa evaluación no debería terminar en un simple “sí” o “no”. Según los datos involucrados, la finalidad, los controles disponibles y las consecuencias del uso, el caso puede terminar en una de cuatro decisiones:

• Autorizar: el uso es de bajo riesgo y puede realizarse con reglas simples.
• Autorizar con condiciones: antes de avanzar deben reducirse datos, usarse una cuenta empresarial, limitarse accesos o exigirse revisión humana.
• Escalar: legal, privacidad o seguridad deben evaluar el caso porque involucra datos sensibles, decisiones sobre personas o información protegida.
• Rechazar: el beneficio no justifica el riesgo o la empresa no puede controlar ni demostrar cómo se utilizarán los datos.

La pregunta no es solo si ChatGPT o Copilot son seguros

Los proveedores pueden ofrecer cifrado, controles administrativos, reglas de retención o compromisos sobre el uso de la información. La documentación oficial de OpenAI↗ (abre en una pestaña nueva) y la documentación de Microsoft 365 Copilot↗ (abre en una pestaña nueva) describen protecciones empresariales que varían según el servicio y el plan. Esto ayuda a evaluar al proveedor, pero no decide si tu empresa podía usar ese dato, si necesitaba introducirlo completo o si puede actuar basándose en la respuesta. Esa parte sigue en manos de la empresa, como ocurre en el modelo de responsabilidad compartida.

Evalúa el caso de uso con cinco preguntas

1. ¿Qué información entrará? Distingue entre información pública, datos internos, datos personales, información sensible, secretos y material sujeto a confidencialidad.
2. ¿Para qué tarea concreta? No basta decir “usar IA”. Define si se resumirá un documento, redactará un correo, clasificará un ticket o apoyará una decisión.
3. ¿Es necesario usar esos datos? Reduce el contenido, sustituye datos reales por ejemplos o elimina identificadores cuando la tarea pueda cumplirse sin ellos.
4. ¿Qué se hará con la respuesta? El riesgo cambia si la salida solo inspira un borrador o si decidirá sobre una persona, se enviará a un cliente o quedará incorporada a un expediente.
5. ¿Quién controla el proceso? Debe existir una persona responsable de aprobar el uso, comprobar la respuesta, atender errores y conservar la evidencia.

Así se aterriza en situaciones reales

Las mismas preguntas pueden llevar a decisiones distintas según la información involucrada y el uso previsto:

• Ticket de soporte: puede contener nombre, correo e historial del cliente. Decisión: retirar identificadores innecesarios y usar la cuenta autorizada. Evidencia: caso de uso aprobado y regla de minimización aplicada.
• Contrato: puede incluir cláusulas confidenciales, firmas y datos de contacto. Decisión: cargar solo el fragmento necesario y exigir revisión jurídica. Evidencia: proveedor evaluado y responsable revisor identificado.
• CV: contiene datos personales y la salida puede influir en una contratación. Decisión: no automatizar el descarte; escalar el caso cuando corresponda y definir criterios y supervisión humana. Evidencia: evaluación del caso y registro de la decisión humana.
• Base de clientes o leads: existe riesgo de utilizar información para una finalidad distinta de aquella para la que fue obtenida. Decisión: no cargar la base completa por defecto; revisar finalidad, transparencia y campos realmente necesarios. Evidencia: autorización del caso y origen de los datos.
• Código o registro técnico: puede contener credenciales, secretos o datos de producción aunque parezca exclusivamente técnico. Decisión: sanear el contenido y confirmar que la cuenta y el entorno están autorizados. Evidencia: control aplicado y responsable técnico identificado.

Quién responde por cada parte

• El área solicitante explica la necesidad, el beneficio y cómo usará el resultado. No traslada su responsabilidad por llamar a la tarea “prueba”.
• Legal o privacidad determina las condiciones aplicables a los datos y a la finalidad, y señala cuándo hace falta una evaluación más profunda.
• Seguridad o tecnología comprueba la cuenta, los permisos, la configuración y las integraciones cuando el riesgo lo exige; traduce esos controles a consecuencias comprensibles.
• La persona usuaria emplea la herramienta aprobada, introduce solo la información permitida, revisa la salida y comunica errores o incidentes.
• La empresa conserva la decisión final. El proveedor responde por sus compromisos, pero no puede conocer ni autorizar cada uso interno que la empresa decida realizar.

Qué debe quedar documentado

1. El caso de uso: quién utiliza la herramienta, para qué tarea y con qué categorías de información.
2. La decisión: autorizado, autorizado con condiciones, escalado o rechazado, junto con su responsable.
3. Los controles: cuenta permitida, datos excluidos, minimización, permisos y revisión humana.
4. La evaluación del proveedor: contrato, tratamiento de datos, retención, subproveedores y medidas relevantes para el caso.
5. La revisión posterior: fecha o evento que obliga a reevaluar, como un cambio de plan, función, finalidad o tipo de información.

Si la empresa no puede mostrar qué uso aprobó, bajo qué condiciones y quién debía supervisarlo, no tiene un proceso controlado: solo tiene una herramienta disponible.