En síntesis: Prohibir la IA no funciona, porque se usa igual desde el celular. Conviene definir qué datos no salen de la empresa, qué herramientas están aprobadas y con qué cuenta se usan.
El problema no es la IA, es la cuenta
Un empleado que pega una planilla de clientes en una versión gratuita de un asistente de IA está enviando esos datos a un servicio con condiciones de uso pensadas para consumidores. En muchas versiones gratuitas, el contenido puede usarse para entrenar modelos salvo que el usuario lo desactive.
Las versiones empresariales (Copilot con licencia de Microsoft 365, ChatGPT Team o Enterprise, Gemini en Workspace) tienen condiciones distintas: el contenido no se usa para entrenamiento y queda dentro del contrato de la empresa. La herramienta puede ser la misma; la diferencia está en con qué cuenta se accede.
Tres categorías de datos
- Nunca: datos personales de clientes o empleados (DNI, CUIT, domicilios, historias clínicas, salarios), credenciales, información financiera no pública, contratos con cláusulas de confidencialidad.
- Solo en herramientas aprobadas con cuenta corporativa: documentos internos, correos, propuestas comerciales, código fuente, procedimientos.
- Libre: información pública, redacción general, consultas técnicas sin datos de la empresa.
Una política de una página
No hace falta un manual. Alcanza con un documento que diga qué herramientas están aprobadas, con qué cuenta se usan, qué categorías de datos no se cargan, quién revisa las salidas antes de enviarlas a un cliente y a quién consultar ante la duda.
Lo importante es comunicarla, no solo escribirla. Un ejemplo concreto ("no pegues el padrón de clientes para que te arme el mail") se entiende mejor que una lista de principios.
Qué puede hacer IT
En Microsoft 365, las políticas de prevención de pérdida de datos pueden detectar cuando se intenta compartir información sensible con sitios externos. Un firewall o un proxy puede bloquear las versiones gratuitas y permitir las corporativas. Ninguna de estas medidas reemplaza la política, pero reduce el error involuntario.
Qué revisar antes de contratar licencias de IA
Dónde se procesan los datos, si el proveedor usa el contenido para entrenar, cómo se eliminan las conversaciones, si existe registro de auditoría y si la herramienta respeta los permisos que ya tiene el usuario sobre los archivos. Este último punto es el que más sorpresas trae: una IA conectada a los archivos de la empresa muestra todo lo que el usuario puede ver, incluidas carpetas que quedaron abiertas por error.
Aplicación práctica: qué comprobar
Escenario ilustrativo, no un caso de éxito documentado. Un área administrativa usa un asistente de IA gratuito para redactar reclamos a clientes y copia nombres, montos y datos de contacto en cada consulta. La corrección no es prohibir el uso, sino mover el trabajo a una herramienta con cuenta corporativa y acordar qué datos se reemplazan por marcadores genéricos.
Evidencia que conviene registrar
- Lista de herramientas de IA aprobadas y su tipo de cuenta.
- Política de uso comunicada y fecha de comunicación.
- Revisión de permisos de archivos antes de activar asistentes conectados.
Referencia técnica: Datos, privacidad y seguridad de Microsoft 365 Copilot. Consultada el 29 de octubre de 2026. Las condiciones del producto pueden cambiar.
