Riesgos y limitaciones

Fuga de datos

Una fuga de datos en el contexto de IA ocurre cuando información confidencial de la empresa se introduce en un sistema externo (típicamente un chatbot público) y queda fuera del control de quien la pegó. Puede usarse para entrenar futuros modelos, ser visible para soporte técnico del proveedor, o aparecer en una brecha de seguridad. Es el riesgo más inmediato y subestimado de la adopción no oficial de IA.

Por Ana María González Actualizado: 27 de abril de 2026

Definición rápida

Respuesta directa

Explicación ampliada

El escenario más común no es un ciberataque sino un empleado que pega un correo confidencial, un contrato, datos de clientes o una hoja de cálculo en ChatGPT, Claude o Gemini gratuitos para "que se lo resuman" o "se lo traduzcan". En los planes gratuitos y básicos, el contenido enviado puede usarse por defecto para entrenar el modelo (Anthropic no entrena con conversaciones por defecto, OpenAI sí en planes free, Google con su política específica). Una vez incluido en el corpus de entrenamiento, no es recuperable: el dato vive estadísticamente en los pesos del modelo. Más allá del entrenamiento, los datos viajan a servidores fuera de Europa en muchos casos (implicaciones RGPD), pueden ser accesibles a equipos de seguridad y soporte del proveedor, y serían parte del alcance de cualquier brecha que el proveedor sufra. Los planes empresariales (ChatGPT Enterprise, Claude for Work, Microsoft 365 Copilot, Gemini for Workspace) ofrecen opt-out por defecto del entrenamiento, residencia de datos en UE en algunos casos, y contratos DPA conformes a RGPD. La diferencia de precio respecto a planes personales es de 2-3 veces, pero el coste de una fuga seria es órdenes de magnitud mayor. La gestión empresarial pasa por elegir el plan adecuado, formar al equipo en qué se puede y qué no se puede pegar, y revisar periódicamente.

Por qué importa para tu empresa

Aplicación práctica

Una fuga de datos por uso no oficial de IA puede activar una sanción RGPD si afecta a datos personales, romper acuerdos de confidencialidad con clientes, o exponer información estratégica. La protección no se consigue prohibiendo la IA (los empleados la usarán igual desde el móvil), sino dando acceso a la herramienta correcta y formando bien.

Ejemplo concreto

Caso real

Un departamento financiero de una pyme prepara un informe con previsión de cierre del trimestre antes de comunicarla al consejo. Un analista pega la hoja de cálculo en ChatGPT gratuito para que le ayude a redactar el informe ejecutivo. La hoja contenía datos no públicos sensibles: márgenes por línea de producto, retenciones de clientes clave. Aunque la conversación parezca privada, OpenAI puede usar ese contenido para entrenar futuros modelos según el plan, y los datos quedan en sistemas fuera del control de la empresa. Si esa información acaba reflejándose en una respuesta de un competidor que usa el mismo modelo, la pista es prácticamente imposible de rastrear pero el daño está hecho.