¿Puede una empresa utilizar la IA con información confidencial de los clientes?

La incorporación de sistemas de inteligencia artificial generativa como ChatGPT, Microsoft Copilot, Google Gemini o Claude en la actividad empresarial plantea una cuestión jurídica fundamental: hasta qué punto es lícito introducir datos de los clientes en estas plataformas?

La respuesta es clara: solo será posible cuando se respeten estrictamente las exigencias del Reglamento General de Protección de Datos (RGPD), las obligaciones de confidencialidad y, en su caso, las normas sobre transferencias internacionales de datos.

El RGPD considera tratamiento de datos cualquier operación efectuada sobre información personal. Así, cuando un empleado introduce en una herramienta de IA un contrato, una reclamación o un correo electrónico identificable, está realizando un tratamiento de datos personales y la empresa asume la responsabilidad jurídica. Por tanto, no se trata simplemente de una cuestión tecnológica, sino de una actividad plenamente sujeta al RGPD y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.

El uso de la inteligencia artificial no es, por sí mismo, ilegal. Sin embargo, las empresas deberían adoptar una serie de medidas:

• Evitar introducir datos personales identificables cuando no sea estrictamente necesario.
• Anonimizar o seudonimizar la información antes de tratarla mediante herramientas de IA.
• Verificar las condiciones contractuales del proveedor tecnológico.
• Elaborar políticas internas específicas sobre el uso de la inteligencia artificial.
• Formar a los trabajadores en materia de protección de datos y ciberseguridad.
• Realizar, cuando proceda, una evaluación de impacto sobre la protección de datos.

Estas medidas resultan especialmente importantes tras la entrada en vigor del Reglamento Europeo de Inteligencia Artificial (AI Act), que impone obligaciones adicionales de gobernanza, transparencia y gestión de los riesgos asociados al uso de sistemas de IA.

La problemática se intensifica cuando el proveedor de IA se encuentra fuera de la Unión Europea. Resulta relevante la Sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio de 2020 (asunto C-311/18, Schrems II), que recordó que las transferencias de datos a terceros países solo son admisibles si se garantiza un nivel de protección sustancialmente equivalente al de la normativa europea.

Además, la protección no se limita a los datos personales. La Ley 1/2019, de Secretos Empresariales, protege la información confidencial que tenga valor económico y respecto de la cual se hayan adoptado medidas de reserva. La revelación de esta información en plataformas externas podría comprometer su protección y generar responsabilidades contractuales o profesionales.

En conclusión, una empresa no debería introducir datos personales identificables ni información confidencial de sus clientes en herramientas de inteligencia artificial sin una base jurídica adecuada, garantías contractuales suficientes y medidas de anonimización o minimización de datos.

La clave no es prohibir la inteligencia artificial, sino utilizarla respetando los derechos de los clientes y preservando la confianza que constituye la base de cualquier relación profesional.