Empleados usando ChatGPT con datos de la empresa: política de uso de IA y LGPD

En muchas pymes, la inteligencia artificial llegó sin que nadie lo decidiera. La persona de atención pega el reclamo del cliente en ChatGPT para escribir una respuesta amable. Finanzas sube la planilla de morosos para "ordenarla". Recursos humanos pide ayuda para resumir currículums. Todo con la cuenta personal, en el celular o en el navegador, sin que la dirección lo sepa. El mercado lo llama shadow AI: IA usada por fuera de TI y de las reglas de la empresa.

Este artículo muestra por qué prohibir no funciona, qué nunca debe ir a un chat de IA, la diferencia real entre cuenta personal, plan empresarial y API (verificada en las páginas oficiales de OpenAI, Google y Anthropic el 30/09/2026), un modelo de política de uso de IA en 1 página para copiar y adaptar, y lo que ya señalan la ley brasileña de protección de datos (LGPD), la autoridad de protección de datos (ANPD) y el proyecto de ley de IA PL 2338/2023. El texto es informativo y no sustituye un dictamen jurídico: para decisiones sobre tu empresa, habla con tu abogado o delegado de protección de datos (DPO).

Por qué prohibir no funciona

La reacción más común es un correo: "está prohibido usar ChatGPT". El problema es que la herramienta resuelve una necesidad real (escribir, resumir, traducir, armar una fórmula de planilla) y está a un toque en el celular personal del empleado. Prohibir sin alternativa no elimina el uso, solo elimina la visibilidad. La empresa sigue con el mismo riesgo y sin ninguna información sobre él.

Lo que funciona es lo contrario: ofrecer la herramienta correcta, con cuenta de la empresa y configuración conocida, y escribir reglas cortas sobre qué se puede y qué no. Cuando existe una opción oficial tan práctica como la personal, la mayoría prefiere la oficial, porque nadie quiere ser responsable de una filtración.

Prohibir sigue teniendo sentido en casos específicos: datos de salud, datos de niños, información bajo confidencialidad contractual. Pero la prohibición pasa a ser una línea de la política, no la política entera.

Qué no debe ir a un chat de IA

La regla práctica: si no lo mandarías por correo a un desconocido, no lo pegues en un chat de IA personal. En cualquier herramienta, incluso la empresarial, cuida especialmente:

• Datos personales de clientes, empleados o proveedores: nombre, CPF (número de contribuyente en Brasil), teléfono, correo, dirección, historial de compras, sueldo, evaluación de desempeño. La LGPD define dato personal como cualquier información relacionada con una persona natural identificada o identificable (art. 5, I).
• Datos personales sensibles: salud, origen racial o étnico, religión, opinión política, afiliación sindical, vida sexual, datos genéticos o biométricos (art. 5, II). Certificados médicos, informes y exámenes nunca van a un chat de IA personal.
• Secretos comerciales: tabla de costos, margen, propuesta de licitación, contrato con cliente, estrategia, lista de clientes, código fuente propio.
• Credenciales: contraseñas, tokens de API, claves de acceso, datos de conexión a base de datos. Una captura de pantalla con una contraseña visible cuenta.
• Documentos de terceros bajo confidencialidad: material recibido con NDA, datos que el cliente confió a tu empresa para un servicio específico.

En la mayoría de las tareas se puede quitar el dato y mantener la utilidad. En lugar de "responde al cliente João Silva, CPF tal, que reclamó por la factura 4521", escribe "responde a un cliente que reclamó por una factura con vencimiento equivocado, en tono cordial". La IA no necesita saber quién es el cliente para escribir una buena respuesta.

Cuenta personal, plan empresarial o API: qué cambia en tus datos

La misma marca ofrece productos con reglas de datos muy distintas. El resumen siguiente se verificó en las páginas oficiales de los proveedores el 30/09/2026. Los términos cambian, así que reléelos antes de contratar.

Los detalles por proveedor, según lo que dice cada página oficial:

• OpenAI (ChatGPT): en las cuentas Free, Plus y Pro, OpenAI puede usar las conversaciones para entrenar modelos si la opción "Improve the model for everyone" está activada; se desactiva en Configuración, Controles de datos. Los chats temporales no entrenan y se borran en 30 días. En ChatGPT Business, Enterprise, Edu y en la API, OpenAI declara que no usa los datos para entrenamiento por defecto. En la API, los datos enviados no entrenan modelos desde el 1 de marzo de 2023, y los registros de monitoreo de abuso se guardan hasta 30 días; los clientes aprobados pueden tener retención cero (Zero Data Retention). OpenAI ofrece contrato de tratamiento de datos (DPA) para Business, Enterprise y API.
• Google (Gemini): en Gemini con cuenta personal, parte de las conversaciones la leen revisores humanos, las conversaciones revisadas se guardan hasta 3 años, y el propio Google pide no ingresar información confidencial. El historial por defecto se borra a los 18 meses. En la cuenta de trabajo de Google Workspace, Google declara que el contenido no es revisado por humanos ni usado para entrenar modelos fuera de tu dominio sin permiso. En la API de Gemini, atención: en el nivel gratuito Google puede usar el contenido para mejorar productos, con revisión humana; en el nivel pago, no (términos actualizados el 28/04/2026).
• Anthropic (Claude): en los planes Free, Pro y Max, las conversaciones se usan para entrenar modelos cuando la configuración de mejora está activada, con retención de hasta 5 años; desactivada, la retención es de 30 días. Claude for Work (Team y Enterprise), Claude for Education, Claude for Government y la API están bajo términos comerciales, y Anthropic declara que no usa las entradas y salidas de esos productos para entrenamiento por defecto.

Dos puntos que poca gente revisa. Primero, el botón de valoración (pulgar arriba o abajo) puede enviar la conversación entera al proveedor para mejora, incluso en plan empresarial; el administrador puede desactivarlo. Segundo, los servidores de estos proveedores están fuera de Brasil. La lista de regiones de almacenamiento de datos de la API de OpenAI, por ejemplo, no incluye Brasil. Eso es transferencia internacional de datos personales, que la LGPD solo permite en los supuestos del art. 33, reglamentados por la Resolución CD/ANPD nº 19/2024 (que trata, entre otros mecanismos, las cláusulas contractuales tipo). Con datos personales de por medio, el contrato con el proveedor debe leerlo alguien que conozca el tema.

Modelo de política de uso de IA en 1 página

Una política que nadie lee no protege nada. El modelo siguiente cabe en una página y usa frases que el empleado entiende. Cambia los nombres entre corchetes y ajústalo a tu sector.

El punto 9 es el más importante. La LGPD obliga al controlador a comunicar a la ANPD y a los titulares los incidentes de seguridad que puedan generar riesgo o daño relevante (art. 48), y la Resolución CD/ANPD nº 15/2024 fijó el plazo de 3 días hábiles desde que se conoce el incidente. Si el empleado tiene miedo de contarlo, la empresa se entera demasiado tarde. Para el resto de la rutina de seguridad, mira nuestro checklist de ciberseguridad para pymes.

Lo que ya señalan la LGPD, la ANPD y el PL 2338/2023

Hoy no existe en Brasil una ley específica de IA en vigor. Pero la LGPD (Ley 13.709/2018) ya se aplica a cualquier dato personal que pase por una herramienta de IA, igual que a una planilla o a un correo. En la práctica, pesan cuatro puntos:

• Seguridad (art. 46): quien trata datos personales debe adoptar medidas técnicas y administrativas para protegerlos de accesos no autorizados y de tratamientos inadecuados. Una política de uso de IA y cuentas empresariales controladas son justamente ese tipo de medida administrativa.
• Responsabilidad (art. 42): el controlador o el operador que cause daño al titular en violación de la legislación de protección de datos está obligado a repararlo. Para el cliente cuyo dato fue expuesto, quien trató el dato fue tu empresa, no el empleado aislado.
• Transferencia internacional (art. 33): solo se permite en los supuestos de la ley, que incluyen las cláusulas tipo de la Resolución CD/ANPD nº 19/2024.
• Sanciones (art. 52): entre ellas, multa simple de hasta el 2% de la facturación en Brasil en el último ejercicio, limitada a R$ 50 millones por infracción, además de advertencia, publicación de la infracción y bloqueo o eliminación de los datos.

La ANPD también dejó claro que la IA está en su radar. El Mapa de Temas Prioritarios para el bienio 2026-2027, aprobado por la Resolución CD/ANPD nº 30, del 23/12/2025, enumera cuatro temas prioritarios de fiscalización, y uno de ellos es "inteligencia artificial y tecnologías emergentes" en el contexto del tratamiento de datos personales. La Agenda Regulatoria 2025-2026 mantiene un punto sobre IA, que trata del derecho a la revisión de decisiones automatizadas (art. 20 de la LGPD), y la autoridad publicó un volumen de la serie Radar Tecnológico dedicado a la IA generativa. Para lo básico de la LGPD en el día a día, mira nuestro artículo LGPD en la práctica en sistemas y apps.

Sobre el PL 2338/2023, el llamado marco legal de la IA: el texto fue aprobado por el Senado el 10/12/2024 y pasó a la Cámara de Diputados. En la consulta al portal de la Cámara el 30/09/2026, la situación era "a la espera del dictamen del relator en la Comisión Especial", con trámite de prioridad y el diputado Aguinaldo Ribeiro como relator. Es decir: es un proyecto de ley, no está vigente y el texto todavía puede cambiar. Quien se organiza ahora bajo la LGPD no pierde ese trabajo cuando llegue la ley de IA.

Asistente interno con datos bajo control

Para muchas empresas, el plan empresarial de un gran proveedor resuelve el uso del día a día. Hay casos en que tiene sentido ir más allá y tener un asistente interno, conectado a los sistemas de la empresa por API:

• El equipo necesita preguntar sobre documentos de la empresa (manuales, contratos tipo, procedimientos) y quieres controlar qué documentos ve cada área.
• El trabajo involucra datos de clientes y quieres enmascarar documentos, nombres y teléfonos antes de cualquier envío al modelo, de forma automática, sin depender de la buena voluntad de cada persona.
• Necesitas registro: quién preguntó qué, cuándo y con qué respuesta, para auditoría y para responder al titular.
• La tarea se repite: clasificar tickets, resumir atenciones, extraer datos de documentos. Ahí la IA deja de ser un chat y pasa a ser parte del sistema.

Ese es el tipo de proyecto que hacemos en nuestro servicio de inteligencia artificial: asistentes y automatizaciones que usan modelos de mercado por API, con control de acceso, enmascaramiento de datos y registro de uso. Si la duda todavía es por dónde empezar y cuánto cuesta por mes la IA de terceros, el artículo IA generativa para pymes ayuda a dimensionar.

"Prohibir la IA solo saca su uso de la vista de la empresa. Dar la herramienta correcta, con una regla corta, saca el riesgo."

Conclusión

La IA ya está dentro de tu empresa, con o sin autorización. La pregunta útil no es si el equipo la va a usar, sino en qué cuenta, con qué datos y bajo qué reglas. Una cuenta personal para asuntos de la empresa es lo peor de los dos mundos: la empresa responde por el dato y no tiene ningún control sobre él.

El camino es corto: listar lo que el equipo ya usa, elegir la herramienta oficial, publicar la política de 1 página, capacitar en media hora con ejemplos del propio sector y revisar cada semestre. Cuando crezca el volumen o la sensibilidad de los datos, entra el asistente interno.

Preguntas frecuentes

¿Usar ChatGPT infringe la LGPD?

Usar la herramienta, por sí solo, no. Lo que puede infringir la LGPD es tratar datos personales sin finalidad ni base legal, sin medidas de seguridad o con transferencia internacional fuera de los supuestos del art. 33. Un texto sin datos personales (un correo genérico, una fórmula de planilla) no es tratamiento de datos personales. Pegar la ficha de un cliente en una cuenta personal es otra historia.

¿La empresa responde por lo que pegó el empleado?

Frente al titular de los datos, por regla general quien trata el dato es la empresa, como controladora, y la LGPD obliga a reparar el daño causado en violación de la ley (art. 42). Por eso importan la política escrita, la capacitación y las herramientas oficiales: son las medidas que la empresa puede demostrar. El análisis de un caso concreto corresponde a tu abogado.

¿ChatGPT entrena con los datos de mi empresa?

Depende del producto. En las cuentas Free, Plus y Pro, puede entrenar si la opción de mejora del modelo está activada. En ChatGPT Business, Enterprise, Edu y en la API, OpenAI declara que no usa los datos para entrenamiento por defecto (páginas oficiales consultadas el 30/09/2026). Google y Anthropic siguen la misma lógica: la cuenta personal puede entrenar, el producto empresarial y la API paga no, por defecto.

¿El PL 2338 ya está vigente?

No. El PL 2338/2023 fue aprobado por el Senado en diciembre de 2024 y, en la consulta al portal de la Cámara de Diputados el 30/09/2026, esperaba el dictamen del relator en la Comisión Especial. Mientras tanto, lo que rige para datos personales en IA es la LGPD, con fiscalización de la ANPD.

¿Necesito un asistente interno o basta con el plan empresarial?

Para escribir, resumir y revisar textos sin datos personales, el plan empresarial con la política de uso suele bastar. El asistente interno tiene sentido cuando la IA necesita consultar documentos y sistemas de la empresa, enmascarar datos personales automáticamente o guardar registro de uso para auditoría.