Actualidad

IA generativa en la empresa sin filtrar datos: política mínima

Cómo usar la IA generativa en la empresa sin filtrar datos: qué no se introduce, herramientas y cuentas autorizadas, revisión y registro, con texto base.

Publicado el Por BDR Group8 min de lectura

Una política mínima de IA generativa cabe en una página: qué datos no se introducen nunca, qué herramientas están autorizadas y con qué cuenta, quién revisa el resultado, qué se registra y qué se hace si se ha filtrado algo. Se trabaja dentro de la Ley 29/2021 en Andorra y del RGPD en Cataluña y España.

Qué datos no deben introducirse nunca

La regla es simple: nada de esto va a una herramienta que no conste en la lista de autorizadas.

  • Datos personales de clientes, pacientes, empleados o candidatos: nombres, documentos de identidad, direcciones, correos, historiales.
  • Datos de categorías especiales: salud, afiliación sindical, convicciones, vida sexual, datos genéticos o biométricos. La Ley 29/2021 prohíbe su tratamiento salvo en los supuestos que prevé (artículo 9).
  • Contratos, ofertas, información financiera y cualquier documento con una cláusula de confidencialidad.
  • Contraseñas, claves de acceso, certificados y configuraciones de red.
  • Código fuente propio o de clientes.

El motivo legal es doble. Los datos personales deben limitarse a lo necesario (artículo 5.2.c de la Ley 29/2021), y un proveedor que los trata por cuenta de la empresa es un encargado: exige contrato escrito (artículo 31 de la Ley 29/2021; artículo 28 del RGPD) y, si el servicio está fuera de Andorra y de la UE, el régimen de transferencias (artículos 42 a 44).

Herramientas autorizadas: cómo entra una herramienta en la lista

Antes de autorizar una, pide por escrito cinco cosas al proveedor: si usa los datos para entrenar o mejorar el servicio, qué hace con los metadatos y los registros, dónde y cuánto tiempo se almacenan los datos, si existe una modalidad de empresa administrada por ti y si el contrato incluye una cláusula de no reutilización y un contrato de encargado.

La Agencia Española de Protección de Datos (AEPD) publicó en noviembre de 2025 su política interna para la IA generativa y en enero de 2026 un resumen de obligaciones y recomendaciones. Está pensado para los procesos de la propia AEPD, no para empresas, pero recoge los mismos puntos: evaluar antes de contratar el uso de datos para entrenamiento, los metadatos, la ubicación y la retención; contratar en modalidad de empresa con cláusulas de no reutilización; y evitar que se introduzcan datos personales o confidenciales en sistemas no autorizados de forma explícita. En la fecha de consulta no hemos localizado ninguna guía de la Agencia Andorrana de Protección de Datos (APDA) específica sobre IA generativa para empresas.

Cuenta de empresa o cuenta personal

La cuenta de empresa permite firmar un contrato, administrar usuarios, desactivar las opciones de compartir o entrenar si el proveedor las ofrece y retirar el acceso cuando alguien se va. La personal, no: las condiciones son las de quien la creó, la empresa no puede auditarlas y la información queda en un espacio que no controla. Por eso la política debería prohibir las cuentas personales para trabajo. Las condiciones cambian según el plan: pídelas por escrito.

En Cataluña y en el resto de España, la empresa debe fijar criterios de uso de los dispositivos digitales con la participación de los representantes de los trabajadores e informar de ellos al equipo (artículo 87.3 de la Ley Orgánica 3/2018). En Andorra, la APDA recomienda entregar a cada trabajador los procedimientos internos y darle formación.

Revisión humana y decisiones sobre personas

Un modelo de lenguaje calcula qué palabra es más probable después de otra; no sabe qué es cierto, como recordaba la APDA en un artículo de noviembre de 2025. Por eso el resultado es un borrador que revisa una persona: cifras, citas y referencias legales se comprueban antes de usarlas.

Hay un límite más estricto. Una persona tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente (artículo 25 de la Ley 29/2021; artículo 22 del RGPD). Ninguna selección de personal, crédito o sanción debería depender solo de una herramienta. Además, el Reglamento europeo de IA, en su redacción de 2026, pide a quienes usan sistemas de IA medidas para fomentar la alfabetización en IA de su personal, sin exigir un nivel concreto (artículo 4).

Registro e incidentes

Mantén una lista de las herramientas autorizadas con responsable, finalidad, tipo de datos permitidos, fecha de aprobación y contrato. Si una herramienta trata datos personales, debería constar en el registro de actividades de tratamiento (artículo 34 de la Ley 29/2021), que la APDA recomienda mantener internamente.

Quien haya pegado datos que no debía avisa de inmediato al responsable. Si hay datos personales y la violación puede suponer un riesgo para los derechos y las libertades de las personas, se notifica a la APDA sin dilación indebida y, si es posible, en 72 horas como máximo (artículo 36 de la Ley 29/2021; artículo 33 del RGPD).

Texto base de la política

Adáptalo a tu empresa:

  1. Solo se usan las herramientas de la lista de autorizadas, con la cuenta de empresa.
  2. No se introducen datos personales, datos de categorías especiales, contratos, información confidencial de la empresa o de terceros, claves ni contraseñas, salvo que la lista diga que una herramienta lo permite.
  3. El resultado es un borrador: quien lo usa lo revisa y responde de él.
  4. Ninguna decisión sobre personas se toma solo con el resultado de una herramienta.
  5. Los usos nuevos se aprueban antes con [responsable].
  6. Si se ha introducido un dato que no correspondía, se avisa de inmediato a [responsable].
  7. La empresa mantiene un registro de las herramientas y de los usos autorizados y revisa la política cada seis meses.

Una alternativa privada

Tenemos interés en este tema: MIA es un asistente de IA corporativo privado y es un producto de BDR Group. Según la web del producto, los datos de la empresa no entrenan modelos públicos, el acceso se define por equipo, rol o área, hay trazabilidad y se puede desplegar en cloud privado, entorno dedicado o on-premise. Puede ser la herramienta autorizada de la lista, pero no sustituye a la política: reglas de uso, revisión humana y registro siguen siendo necesarios.

Qué hacer ahora

  1. Pregunta al equipo qué herramientas usa y con qué información.
  2. Haz la lista de herramientas autorizadas, con el contrato de encargado revisado.
  3. Adapta el texto base, informa a todos y haz una sesión breve de formación.
  4. Decide quién aprueba usos nuevos y quién recibe los avisos de incidentes.
  5. Revisa la política cada seis meses y cada vez que cambie una herramienta.

Preguntas frecuentes

¿Hay que prohibir todas las herramientas gratuitas?

No hace falta prohibirlo todo, pero no deben introducirse datos de la empresa. Prohibir sin alternativa rara vez funciona; mejor una herramienta autorizada y normas claras.

¿Cuánto tiempo hay para notificar una filtración de datos personales?

Sin dilación indebida y, si es posible, en 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas.

En Cataluña, ¿debo consultar a los representantes de los trabajadores?

El artículo 87.3 de la Ley Orgánica 3/2018 dice que los criterios de uso de los dispositivos digitales se elaboran con la participación de los representantes de los trabajadores y que los trabajadores deben ser informados.

Fuentes

¿Quieres una IA privada con la documentación de tu empresa?

Si quieres ver cómo puede funcionar un asistente privado con tus documentos, consulta la ficha: MIA, el asistente de IA corporativo privado. El detalle del producto está en mia360.ad.

Volver a Actualidad

Actualidad

Otros artículos