Qué datos no deberías pegar en una IA y cómo trabajar de forma más segura
Una clasificación práctica de datos públicos, internos, personales y sensibles para decidir qué puede compartirse con una herramienta de IA y qué debe anonimizarse o mantenerse fuera.
Clasifica antes de copiar y pegar
La misma herramienta puede ser apropiada para resumir un texto público e inadecuada para procesar un listado de clientes. La decisión depende de qué datos envías, para qué finalidad y bajo qué condiciones se tratan.
| Nivel | Ejemplos | Tratamiento prudente |
|---|---|---|
| Público | Web publicada, manual público | Riesgo bajo, revisa igualmente la fuente |
| Interno | Procedimientos, borradores, precios internos | Usar solo herramientas autorizadas |
| Personal | Nombre, correo, dirección, identificadores | Minimizar y anonimizar cuando sea posible |
| Especialmente sensible | Salud, biometría, creencias u otros datos protegidos | No enviar sin base, necesidad y controles adecuados |
| Secreto | Contraseñas, API keys, códigos de recuperación | No pegar en prompts |
Minimización: comparte solo lo que la tarea necesita
Si quieres mejorar un correo, la IA normalmente no necesita el DNI, teléfono y dirección del destinatario. Sustituye nombres por roles y elimina números de cuenta, referencias o anexos que no influyan en la redacción.
La anonimización manual no siempre es perfecta, pero reduce exposición. Para procesos repetitivos, diseña una plantilla que extraiga solo campos necesarios antes de enviar información al proveedor de IA.
Revisa qué ocurre con tus datos en el servicio que utilizas
Las condiciones pueden variar entre productos gratuitos, cuentas profesionales, API y planes empresariales. Antes de usar una herramienta con datos internos, revisa retención, uso para mejora de modelos, región de tratamiento, controles de administrador y posibilidad de borrar información.
No asumas que una marca aplica las mismas reglas a todos sus productos. Documenta qué producto concreto está aprobado y para qué tipo de información.
Contraseñas y claves: nunca son “contexto útil”
Una contraseña, token o clave API no debería incluirse en un prompt para que el modelo “entienda” una integración. Guarda secretos en gestores de credenciales o variables seguras y entrega a la aplicación únicamente el acceso necesario.
Si una clave se ha compartido accidentalmente en un servicio no autorizado, trátala como comprometida: revócala o rótala y revisa los logs de uso.
Una política sencilla para un equipo pequeño
- Lista herramientas aprobadas.
- Define tres niveles: público, interno y restringido.
- Prohíbe secretos y datos restringidos salvo proceso expresamente autorizado.
- Explica cómo anonimizar ejemplos.
- Define quién decide excepciones.
- Revisa la política cuando cambien proveedores o funciones.
Una página clara de una sola hoja suele ser más útil que una política de veinte páginas que nadie consulta.
Qué hacer si ya compartiste información por error
Primero identifica exactamente qué se envió y a qué servicio. Si había credenciales, cámbialas. Si había datos personales o confidenciales, informa al responsable interno correspondiente y revisa las opciones de eliminación o retención del proveedor. En organizaciones sujetas a obligaciones legales, puede ser necesario evaluar el incidente formalmente.
Evita intentar “arreglarlo” enviando más información al mismo chat. Conserva evidencias de lo ocurrido y sigue el procedimiento de seguridad o privacidad aplicable.
Checklist para aplicarlo
- Sé qué tipo de datos contiene el texto.
- He eliminado identificadores innecesarios.
- No hay contraseñas, tokens ni claves.
- La herramienta está autorizada para ese nivel de información.
- Conozco las condiciones de retención y uso del proveedor.
- Existe un motivo claro para usar la IA en esa tarea.
- Sé qué hacer si se comparte información por error.
Preguntas frecuentes
¿Puedo pegar una factura en una IA?
Puede contener datos personales, fiscales o bancarios. Si necesitas procesarla, utiliza una herramienta aprobada, minimiza datos y comprueba las condiciones de tratamiento.
¿Borrar el chat elimina todos los datos?
Depende del servicio y su política de retención. Consulta la documentación del producto concreto.
¿Anonimizar un nombre es suficiente?
No siempre. Dirección, números de referencia, contexto o combinaciones de datos pueden permitir identificar a una persona.
Fuentes y documentación para ampliar
Priorizamos documentación primaria y organismos especializados. Las funciones, límites y condiciones de servicios pueden cambiar; comprueba la versión vigente antes de tomar una decisión.