Usar IA para redactar, resumir o traducir puede ser muy útil, pero hay un aspecto “invisible” que debemos considerar: lo que compartes en el chat puede convertirse en datos (y si esos datos son personales o sensibles, podrían terminar expuestos, reutilizados o filtrados). Por eso, antes de copiar y pegar documentos, correos o capturas de pantalla, es bueno seguir una regla sencilla: si no lo enviarías por WhatsApp a un desconocido, mejor no lo pegues en una IA.
1) Qué se considera “dato sensible” y por qué es arriesgado introducirlo en una IA
Ejemplos de datos que nunca deberías pegar
Es mejor evitar incluir:
- Credenciales: contraseñas, códigos SMS, tokens, claves de 2FA, copias de seguridad de llaves.
- Datos bancarios: IBAN, número de tarjeta, CVV, justificantes con referencias completas.
- Identificadores: DNI/NIE/pasaporte, número de cliente, pólizas, matrículas, direcciones completas.
- Salud y biometría: informes médicos, diagnósticos, fotos de rostros, grabaciones de voz.
- Datos de terceros: información sobre clientes, empleados, vecinos, víctimas, contactos.
- Documentos completos: contratos, nóminas, facturas, sentencias, historiales.
Las autoridades de protección de datos han estado advirtiendo que, con la IA generativa, el riesgo aumenta porque los contenidos pueden parecer muy reales y circular rápidamente. Además, al usar estas herramientas, es fundamental reforzar las medidas de protección y minimizar la cantidad de datos que compartimos.
2) El riesgo real: no es “la IA”, es el flujo de datos
Qué puede ocurrir con tu información cuando escribes un prompt
Cuando escribes un prompt, pueden suceder varias cosas (dependiendo del proveedor y la configuración):
- Puede que se registre (para operaciones, seguridad, calidad o auditoría).
- Puede que se asocie a tu cuenta o a un historial de conversaciones.
- Puede que un humano lo revise en tareas de soporte (según las políticas).
- Puede que se utilice para mejorar el servicio (en algunos planes, con controles o ajustes).
- Puede que un error o brecha provoque una filtración.
Por qué esto aumenta el riesgo de phishing
La IA también está siendo utilizada por delincuentes para realizar phishing más convincente (correos perfectos, textos sin errores, mensajes hiperpersonalizados), lo que aumenta la probabilidad de estafa si compartimos información sensible.
3) La regla de oro: “minimiza, anonimiza y separa”
Minimiza
Solo incluye lo esencial. Si necesitas que la IA te ayude con un texto, no le envíes el documento completo: simplemente copia el fragmento que realmente necesitas.
Anonimiza
Cambia los datos reales por marcadores:
- “Juan Pérez” → [NOMBRE]
- “DNI 12345678X” → [DNI]
- “Cuenta ES12…” → [IBAN]
- “Dirección…” → [DIRECCIÓN]
- “Cliente X / proveedor Y” → [CLIENTE] / [PROVEEDOR]
Separa (cuentas y contextos)
Para pruebas o usos “no críticos”, evita usar tu correo personal o profesional principal y no mezcles conversaciones sensibles con chats “de juguete”. Las recomendaciones de la Agencia Española de Protección de Datos están diseñadas para reducir identificadores directos y limitar la exposición al experimentar con IA.
4) Ejemplos: “prompt seguro” vs “prompt peligroso”
Peligroso :
- “Te envío mi contrato de alquiler con DNI, dirección y cuenta bancaria. ¿Es válido?”
Seguro (SÍ):
- “Te comparto una cláusula (sin datos personales). ¿Qué riesgos tiene y cómo puedo pedir una redacción alternativa?”
Peligroso:
- “Este es el correo de mi banco con mi número de cuenta y el código que me han enviado…”
Seguro (SÍ):
- “He recibido un correo que dice ser del banco y me urge a pagar/validar. ¿Qué señales típicas de phishing debería revisar?”
5) Checklist rápido antes de usar una IA
- ¿Estoy pegando datos personales o de terceros? → No lo hagas.
- ¿Puedo convertir el caso en ficticio y obtener la misma ayuda? → Hazlo.
- ¿He eliminado nombres, IDs, firmas, sellos, referencias, QR, metadatos? → Revisa.
- ¿Estoy usando la IA para interpretar un documento legal/médico? → Mejor: pega solo cláusulas concretas y sin datos, o consulta a un profesional.
- ¿He revisado la configuración de privacidad del servicio (historial/retención)? → Hazlo.
6) Recomendación especial para empresas, autónomos y “casos sensibles”
Si manejas datos de clientes o de personas en situaciones delicadas:
- Evita copiar expedientes completos.
- Utiliza herramientas que cuenten con controles empresariales (gobernanza, registros, restricciones, DLP si es necesario).
- Establece una política interna sobre “qué se puede hacer y qué no” y capacita a tu equipo.
Marcos como el NIST AI RMF sugieren que se gestionen los riesgos (privacidad, seguridad y gobernanza) como parte del uso responsable de la IA.
Fuentes consultadas (oficiales y técnicas)
- Agencia Española de Protección de Datos — Política general para el uso de IA generativa (documento oficial).
- EDPS — Guidance on Generative AI (orientaciones de protección de datos).
- European Data Protection Board — Opinion 28/2024 sobre aspectos de protección de datos en modelos de IA.
- NIST — AI Risk Management Framework (AI RMF 1.0).
- ENISA — Threat Landscape 2025 (tendencias, incluida la influencia de IA en amenazas).
