Usar la IA con seguridad en el trabajo

Esta guía le ayuda a usar herramientas de IA en el trabajo con una visión clara. Explica en palabras sencillas qué preguntas hacer a una herramienta, por qué importa el plan y qué obligaciones existen. Cada afirmación enlaza a su fuente original.

Revisado el 31.10.2026 con las fuentes originales enlazadas. No es asesoría jurídica.

¿Para quién es esta guía?

Para todos los que usan IA en el trabajo
Autónomos, equipos pequeños y empresas grandes. Un chat para textos cuenta igual que una grabadora de reuniones o un generador de imágenes. Fuente: Comisión Europea: preguntas frecuentes sobre el art. 50 (en inglés)
Reglamento General de Protección de Datos (RGPD)
Se aplica en cuanto introduce en una herramienta datos sobre personas en el trabajo, como nombres, correos o expedientes de clientes. Si no hay ningún dato de ese tipo, no se aplica, según las autoridades alemanas de protección de datos. Pero hay que comprobarlo con cuidado. Fuente: Reglamento General de Protección de Datos (EUR-Lex), Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)
Reglamento europeo de IA (AI Act)
Se aplica a todos los que usan IA de forma profesional. Según la Comisión Europea, quien usa la IA solo en privado no tiene las obligaciones de un usuario según el AI Act. Fuente: Reglamento europeo de IA (EUR-Lex), Comisión Europea: preguntas frecuentes sobre el art. 50 (en inglés)

Gratis o empresa: el plan marca la diferencia

Que una herramienta sirva para datos de empresa suele depender menos del modelo de IA que del plan. La misma herramienta puede tener reglas distintas en el plan gratuito y en el de empresa. Es nuestra observación a partir de los datos de proveedores que revisamos, no una ley.

Frecuente en planes gratuitos y personales

Sin contrato de encargo del tratamiento
Las entradas pueden usarse para entrenar, a menudo con un interruptor para desactivarlo
Inicio de sesión con una cuenta personal
Sin control sobre el lugar de almacenamiento

Frecuente en planes de empresa, equipo y API

Contrato de encargo del tratamiento disponible
Sin entrenamiento con las entradas, según el proveedor
La empresa gestiona las cuentas, no cada persona
Lugar de almacenamiento a veces seleccionable, por ejemplo la UE

«Frecuente» no significa «siempre»: lea los datos de exactamente su plan. Las autoridades alemanas de protección de datos recomiendan además cuentas y dispositivos de empresa en lugar de cuentas personales. Fuente: Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)

Lo que debe saber de cada herramienta de IA

Las respuestas suelen estar en el centro de confianza, en el aviso de privacidad o en el contrato del proveedor. Si no encuentra una respuesta, pregunte al proveedor. Hasta entonces, mejor no introduzca datos sobre personas.

¿Dónde están mis datos?

Se refiere a los servidores donde se guardan y procesan las entradas y los archivos. Fíjese en si «guardar» y «procesar» se mencionan por separado. Ejemplo según Microsoft: en Microsoft 365 Copilot, el procesamiento puede hacerse en EE. UU., Canadá o Australia en horas punta si el «flex routing» está permitido. En las cuentas de la UE aptas creadas después del 25.03.2026 está activado por defecto y se puede desactivar. Fuente: Microsoft: flex routing (UE y AELC, en inglés)

¿Dónde tiene su sede la empresa?

Un servidor en la UE solo indica dónde están los datos. Si el proveedor tiene su sede fuera de la UE, también puede estar sujeto a las leyes de su país. Si los datos van a un país fuera de la UE, el RGPD exige una base: por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para empresas estadounidenses inscritas en él, o cláusulas contractuales tipo (arts. 45 y 46 RGPD). La lista oficial muestra si una empresa estadounidense está inscrita. Fuente: Reglamento General de Protección de Datos (EUR-Lex), Comisión Europea: transferencias de datos UE-EE. UU. (en inglés), Lista oficial del Data Privacy Framework (en inglés)

¿Aprende la herramienta de mis entradas?

Algunos proveedores usan las entradas y respuestas para mejorar sus modelos. Compruebe si es así y si puede desactivarlo. Las autoridades alemanas de protección de datos consideran mejor opción las herramientas que no entrenan con las entradas. Fuente: Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)

¿Hay un contrato de encargo del tratamiento?

Si un proveedor trata datos sobre personas por encargo suyo, según las autoridades alemanas de protección de datos a menudo hace falta ese contrato (art. 28 RGPD). En él, el proveedor se compromete, entre otras cosas, a usar los datos solo según sus instrucciones y a ayudarle si hay una brecha. Fuente: Reglamento General de Protección de Datos (EUR-Lex), Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)

Tres ejemplos del día a día

Presupuesto de una empresa de pintura

Una empresa de pintura pide a una IA el texto de un presupuesto para pintar una fachada, sin nombre del cliente, dirección ni fotos de la casa. Cuidado: incluso sin nombre, a menudo se puede identificar a una persona por el contexto, por ejemplo por la calle y la fecha. Por eso, según las autoridades de protección de datos, borrar el nombre a menudo no basta. Fuente: Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)

Preseleccionar candidaturas

Una empresa pide a una IA que resuma candidaturas. A quién invitar o rechazar lo decide una persona que revisa de verdad la propuesta. Las personas tienen, en principio, derecho a no ser objeto de una decisión tomada solo de forma automática que les afecte de forma significativa (art. 22 RGPD). Según las autoridades de protección de datos, no basta con una persona que solo firma por formalidad. Fuente: Reglamento General de Protección de Datos (EUR-Lex), Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán)

Grabadora de reuniones con clientes

Una agencia quiere que una grabadora con IA tome notas de videollamadas. Antes avisa a todos los participantes y pide su consentimiento. En Alemania es delito grabar sin autorización las palabras dichas en privado por otra persona (§ 201 StGB). Otros países tienen sus propias normas. Fuente: § 201 Código Penal alemán (en alemán)

Lista de control para copiar

Copie la lista en el documento de su equipo y marque lo que esté hecho. No sustituye la revisión de su caso concreto.

Lista de control: usar la IA con seguridad en el trabajo (aicompare.ninja, a 31.10.2026)

[ ] Hemos anotado qué herramientas de IA usamos y para qué.
[ ] Para cada herramienta está claro qué plan usamos.
[ ] Sabemos dónde se guardan y procesan los datos, según el proveedor.
[ ] Sabemos dónde tiene su sede el proveedor y cómo se protegen los datos fuera de la UE.
[ ] Según el proveedor, las entradas no se usan para entrenar, o hemos desactivado el entrenamiento.
[ ] Donde entran datos sobre personas, tenemos un contrato de encargo del tratamiento.
[ ] Usamos cuentas de empresa en lugar de cuentas personales.
[ ] Hemos decidido qué datos nunca entran en una herramienta de IA, por ejemplo datos de salud, contraseñas o secretos comerciales.
[ ] Una persona revisa los resultados de la IA antes de enviarlos o de que decidan sobre personas.
[ ] Todos los que usan IA han recibido instrucciones, y hemos anotado quién se formó y cuándo.
[ ] Etiquetamos los deepfakes y los textos de IA no revisados sobre temas públicos.
[ ] Antes de grabar conversaciones, preguntamos a todos los participantes.
[ ] Sabemos quién notifica una brecha de datos y que el plazo es, si es posible, de 72 horas.
[ ] Hemos comprobado si necesitamos un delegado de protección de datos.
[ ] Revisamos esta lista con regularidad, por ejemplo cada seis meses.

Obligaciones en breve

Alfabetización en IA en el equipo

Desde el 2 de febrero de 2025, las empresas que usan IA de forma profesional deben asegurarse de que su personal sabe manejarla (art. 4 AI Act). Según la Comisión Europea, no se exige un nivel fijo ni un certificado; es posible llevar un registro interno de formaciones e instrucciones. Según la Comisión, esto también vale si el equipo solo escribe textos con un chat, por ejemplo con un aviso sobre datos inventados. Las autoridades lo supervisan desde el 2 de agosto de 2026. Fuente: Comisión Europea: preguntas y respuestas sobre alfabetización en IA (en inglés), Comisión Europea: entra en vigor el AI Omnibus (27.07.2026, en inglés)

Etiquetar deepfakes y textos de IA

Desde el 2 de agosto de 2026, los deepfakes publicados en un contexto profesional deben etiquetarse con claridad. Son imágenes, vídeos o audios de IA de aspecto real que se parecen a personas, lugares o hechos reales. Los textos de IA que informan al público sobre asuntos de interés público también necesitan un aviso, salvo que una persona haya revisado el contenido y tenga la responsabilidad editorial (art. 50, apdo. 4, AI Act). El 2 de diciembre de 2026 afecta sobre todo a los proveedores: las herramientas que ya estaban en el mercado antes del 2 de agosto de 2026 deben marcar su contenido de forma legible por máquina hasta esa fecha. Desde ese mismo día están prohibidos los sistemas de IA que generan imágenes íntimas sin consentimiento. Fuente: Comisión Europea: preguntas frecuentes sobre el art. 50 (en inglés), AI Act Service Desk: ¿desde cuándo se aplica qué? (en inglés)

Brecha de datos: 72 horas

Si datos sobre personas llegan a personas no autorizadas, por ejemplo por una cuenta de IA pirateada, la empresa debe notificarlo a la autoridad de protección de datos sin dilación indebida y, si es posible, en 72 horas, salvo que sea improbable que suponga un riesgo para los afectados. Toda brecha se documenta internamente. Un proveedor que trata datos para la empresa debe notificarle una brecha sin dilación indebida (art. 33 RGPD). Fuente: Reglamento General de Protección de Datos (EUR-Lex)

Delegado de protección de datos

En Alemania, una empresa necesita un delegado de protección de datos si, por regla general, al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales. Con independencia del número, es obligatorio, entre otros casos, si hace falta una evaluación de impacto (§ 38 BDSG). Según las autoridades de protección de datos, al usar IA esto será «a menudo» el caso. En toda la UE se aplica además el art. 37 RGPD. Fuente: § 38 Ley federal alemana de protección de datos (en alemán), Conferencia alemana de protección de datos: orientación sobre IA y protección de datos (PDF, en alemán), Reglamento General de Protección de Datos (EUR-Lex)

Todas las fuentes originales

No es asesoría jurídica

Información general, no es asesoría jurídica. Que un uso concreto esté permitido depende de la finalidad y de los datos; en caso de duda, consulte a un profesional. ¿Ha encontrado un error? Avísenos a través del formulario de contacto.

Términos en una frase

Datos personales

Cualquier información que permite identificar a una persona, incluso sin nombre, por ejemplo una dirección, un número de cliente o el contexto.

Contrato de encargo del tratamiento

Un contrato en el que el proveedor se compromete a tratar los datos solo según sus instrucciones.

Entrenamiento

El proveedor usa entradas y respuestas para mejorar sus modelos de IA.

Tercer país

Un país fuera de la UE y del Espacio Económico Europeo.

Marco de Privacidad de Datos (DPF)

Una decisión de la Comisión Europea según la cual los datos pueden ir a empresas estadounidenses inscritas; contra ella hay un recurso pendiente ante el Tribunal de Justicia de la UE (C-703/25 P).

Cláusulas contractuales tipo

Textos contractuales fijados por la Comisión Europea con los que las empresas protegen las transferencias de datos a terceros países.

Sistema cerrado

Una IA en la que los datos se quedan en un entorno separado y el proveedor no los usa para entrenar.

Alfabetización en IA

Los conocimientos que alguien necesita para usar herramientas de IA con sensatez y teniendo en cuenta sus riesgos.

Deepfake

Una imagen, vídeo o audio de IA de aspecto real que se parece a personas, lugares o hechos reales.

Evaluación de impacto (EIPD)

Una revisión de riesgos por escrito antes de empezar, cuando un tratamiento probablemente supone un alto riesgo para las personas.

Brecha de datos

Datos sobre personas se pierden, se alteran o llegan a personas no autorizadas.