Al usar IA en tu empresa, evita pegar datos personales de clientes, información de salud, datos financieros, contraseñas y documentos confidenciales en cuentas personales. Usa planes empresariales o de API que, según sus políticas, no entrenan modelos con tu información por defecto, y revisa la configuración de cada herramienta. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, renovada en marzo de 2025, sigue exigiendo aviso de privacidad, consentimiento y cuidado con los terceros que procesan tus datos.
- El mayor riesgo es el uso de cuentas personales sin reglas, no la IA en sí.
- Los planes empresariales y de API de los grandes proveedores no entrenan con tus datos por defecto.
- La nueva ley mexicana de datos personales entró en vigor el 21 de marzo de 2025.
- Los datos de salud y financieros son los más delicados: trátalos con máxima cautela.
- Una política de una página y una capacitación corta resuelven la mayoría de los riesgos.
El riesgo real: la IA que nadie autorizó
En muchas pymes de Torreón el uso de IA empezó solo: la recepcionista usa ChatGPT para redactar respuestas, el contador le pide a Gemini que revise una fórmula de Excel, el vendedor le pasa a Claude el contrato de un cliente para resumirlo. Nadie lo decidió formalmente y cada quien usa su cuenta personal.
Ese es el riesgo principal, más que la tecnología en sí: información de la empresa y de clientes saliendo hacia cuentas personales, con configuraciones que nadie revisó, sin registro de qué se compartió. Si una de esas personas deja la empresa, el historial de conversaciones se va con ella.
Hay un segundo riesgo menos evidente: las respuestas de la IA también pueden contener errores que terminan en documentos oficiales, cotizaciones o mensajes a clientes. La privacidad y la calidad se resuelven con la misma receta: reglas claras y revisión humana.
Prohibir la IA rara vez funciona; la gente la sigue usando a escondidas. Lo que funciona es dar una herramienta autorizada, reglas claras y una explicación de por qué.
Qué hacen los proveedores con lo que escribes
Las políticas cambian, así que verifica siempre la versión vigente. A grandes rasgos, a finales de 2026 los principales proveedores distinguen entre planes personales y empresariales:
| Proveedor | Planes personales | Planes empresariales y API |
|---|---|---|
| OpenAI (ChatGPT) | Las conversaciones pueden usarse para mejorar modelos, salvo que desactives la opción en la configuración de controles de datos | ChatGPT Business, Enterprise y la API no entrenan con tus datos por defecto |
| Google (Gemini) | La actividad puede usarse para mejorar servicios y revisarse por personas si la tienes activada | Gemini en Google Workspace no usa tu contenido para entrenar modelos fuera de tu organización sin permiso |
| Anthropic (Claude) | El usuario elige en la configuración si permite que sus chats se usen para entrenamiento | Los planes Team, Enterprise y la API no entrenan con tus datos por defecto |
| Microsoft (Copilot) | Depende de la cuenta y la configuración | Microsoft 365 Copilot opera dentro de los compromisos de datos empresariales de tu inquilino |
Aun en planes que no entrenan, las conversaciones se guardan un tiempo por seguridad y cumplimiento. «No entrena» no significa «no guarda».
Semáforo de datos: qué se puede pegar
Una forma sencilla de explicárselo a tu equipo es con un semáforo:
- Verde (sí, en cualquier herramienta autorizada): textos públicos de tu sitio, borradores de publicaciones, ideas de campañas, fórmulas de Excel con datos de ejemplo, plantillas sin datos reales.
- Amarillo (solo en la herramienta empresarial y sin datos identificables): reportes de ventas agregados, procesos internos, notas de juntas sin nombres de clientes, propuestas con los datos del cliente sustituidos por marcadores.
- Rojo (nunca): contraseñas y llaves de acceso, números de tarjeta o cuentas bancarias, expedientes médicos, datos de nómina, identificaciones oficiales, contratos confidenciales, bases de datos de clientes completas.
El truco que más usamos: sustituir antes de pegar. «El cliente [CLIENTE A] de [CIUDAD] debe [MONTO]» da la misma ayuda que los datos reales. Tienes más ejemplos en prompts de IA para pymes.
Lo que pide la ley mexicana
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el día siguiente. Con la desaparición del INAI, las funciones de autoridad en esta materia pasaron a la Secretaría Anticorrupción y Buen Gobierno. Para una pyme que usa IA, lo práctico es:
- Aviso de privacidad actualizado que diga qué datos recabas, para qué y si los compartes con terceros, incluidos proveedores tecnológicos.
- Consentimiento cuando se requiera, y consentimiento expreso para datos sensibles como los de salud.
- Proveedores como encargados: si una plataforma de IA procesa datos de tus clientes por cuenta tuya, conviene tener términos contractuales que limiten su uso.
- Medidas de seguridad proporcionales: accesos con contraseña fuerte y doble factor, cuentas empresariales, registro de quién usa qué.
- Derechos ARCO: los clientes pueden pedir acceso, rectificación, cancelación u oposición; debes poder localizar sus datos, también si están en sistemas con IA.
Esto es una orientación general, no asesoría legal. Para tu caso concreto, consulta a un abogado especialista en protección de datos.
Qué hacer si alguien compartió datos por error
Va a pasar: alguien pegará una lista de clientes o un expediente en una cuenta personal. Lo importante es reaccionar rápido y sin buscar culpables, para que la próxima vez avisen en lugar de esconderlo:
- Borrar la conversación en la herramienta y, si la cuenta es personal, revisar la configuración de uso de datos para entrenamiento.
- Registrar el incidente: qué datos, de cuántas personas, en qué herramienta, cuándo y quién lo detectó.
- Evaluar el riesgo: no es lo mismo una lista de nombres de proveedores que expedientes médicos o datos bancarios.
- Revisar obligaciones: la ley prevé avisar a los titulares cuando una vulneración afecte de forma significativa sus derechos. Con un especialista, define si aplica.
- Corregir la causa: ¿faltaba una herramienta autorizada?, ¿la regla no era clara?, ¿hacía falta capacitación?
Una empresa que documenta sus incidentes y aprende de ellos está mucho mejor parada que una que nunca reconoce que algo salió mal.
Sectores con cuidado extra
Algunos giros de La Laguna manejan datos que exigen más precaución:
- Salud: clínicas, consultorios, laboratorios. Los datos de salud son sensibles. Un asistente que agenda citas no necesita conocer diagnósticos; diseña los flujos para que no los pida ni los guarde. Más en marketing digital para clínicas.
- Finanzas y contabilidad: despachos, financieras, casas de empeño. Estados de cuenta, RFC y datos fiscales solo en herramientas empresariales con controles.
- Educación: datos de menores de edad requieren el consentimiento de padres o tutores.
- Recursos humanos: no uses IA para tomar decisiones de contratación o despido sin revisión humana, y no pegues expedientes de empleados en herramientas personales.
Política de uso de IA en una página
No necesitas un manual de 40 páginas. Esta estructura cabe en una hoja y cubre lo esencial:
- Herramientas autorizadas: cuáles y con qué cuentas (las de la empresa, no personales).
- Semáforo de datos: verde, amarillo y rojo, con ejemplos de tu negocio.
- Revisión humana: todo lo que se envía a un cliente o se publica lo revisa una persona.
- Transparencia: los asistentes automatizados se identifican como tales.
- Responsables: quién aprueba herramientas nuevas y a quién avisar si alguien compartió algo por error.
- Salida de personal: al terminar la relación laboral se retiran accesos a las cuentas de IA de la empresa.
Acompáñala de una capacitación corta con ejemplos reales y revísala cada seis meses. Las herramientas cambian rápido.
Seguridad básica que también aplica a la IA
La privacidad con IA se apoya en las mismas bases de seguridad de cualquier sistema:
- Doble factor de autenticación en todas las cuentas de IA de la empresa.
- Contraseñas únicas y largas, guardadas en un gestor. Puedes crearlas con nuestro generador de contraseñas.
- Cuidado con las extensiones del navegador «con IA» que piden leer todas tus páginas: pueden ver correos y sistemas internos.
- Revisa las integraciones: si conectas una herramienta de IA a tu correo, Drive o CRM, limita los permisos a lo necesario.
- Desconfía de archivos y páginas con instrucciones ocultas: un documento puede contener texto diseñado para manipular a un asistente que lo lea. No dejes que un agente de IA ejecute acciones sensibles sin confirmación.
Para el panorama completo, revisa ciberseguridad básica para pymes.
Cuando conviene una solución propia
Si tu empresa procesa muchos datos sensibles o quiere un asistente conectado a su información interna, a veces conviene una implementación propia en lugar de que cada persona use un chat comercial:
- Un asistente conectado por API a modelos de IA, con tu base de conocimiento privada, registros de uso y permisos por usuario.
- Filtros que detectan y ocultan datos personales antes de enviarlos al modelo.
- Servidores y respaldos bajo tu control, con políticas de retención definidas.
Es lo que hacemos en nuestros servicios de software a la medida y automatizaciones: asistentes con IA sobre una base de conocimiento privada, con las reglas de privacidad diseñadas desde el principio. Si apenas empiezas, la guía de asistente con IA para atención al cliente te ayuda a definir el alcance.
