En 30 segundos:
- Primera hora: agradece el aviso, anota qué se pegó, dónde y cuándo, y haz capturas.
- Primeras 24 horas: borra la conversación, desactiva el entrenamiento y cambia cualquier contraseña expuesta.
- Antes de 72 horas: si hay riesgo para las personas, notifica a la AEPD. Si decides no notificar, documenta por qué.
¿Es una brecha de datos personales?
Si lo que se pegó incluía datos de personas (nombres con su caso, DNI, teléfonos, datos bancarios o de salud) en una herramienta sin contrato con tu empresa, puede serlo: esos datos han salido de tu control. El RGPD te da 72 horas desde que la empresa lo sabe para notificarlo a la AEPD si hay riesgo para las personas (art. 33), y obliga a documentar todas las brechas, también las que no notificas (art. 33.5).
El protocolo, hora a hora
| Cuándo | Qué hacer |
|---|---|
| Primera hora | Agradece a quien avisa: si se siente juzgado, la próxima vez no avisará. Anota qué se introdujo, en qué herramienta, con qué cuenta, cuándo y quién. Haz capturas de pantalla antes de tocar nada. |
| Primeras 24 horas | Borra la conversación y comprueba si el entrenamiento estaba activado; si lo estaba, desactívalo. Si había contraseñas o claves, cámbialas de inmediato. Si la herramienta es de empresa, consulta al proveedor la retención y eliminación de esos datos. |
| Antes de 72 horas | Si hay riesgo, notifica a la AEPD desde su sede electrónica. Si el riesgo es alto, comunícalo también a las personas afectadas, con lenguaje claro. Documenta la decisión. |
| Después | Analiza la causa (¿faltaba formación, herramienta o claridad?), corrige y, si hace falta, actualiza tu política de uso de IA. |
Gratis: la checklist «10 reglas para usar IA en tu empresa sin riesgos». Una página para imprimir y pegar junto a la impresora.
Quiero la checklist¿Hay que notificar a la AEPD? Árbol de decisión
- ¿Se han expuesto datos personales? Si no (información interna sin datos de personas), no es una brecha de datos personales: regístralo y corrige.
- ¿Es improbable que suponga un riesgo? Por ejemplo, el nombre de un contacto profesional en una herramienta de empresa con contrato y sin entrenamiento. No hace falta notificar, pero sí registrarlo.
- ¿Hay riesgo? Datos de varios clientes en una cuenta personal con entrenamiento activado, DNI, datos bancarios o de salud: notifica a la AEPD en 72 horas.
- ¿El riesgo es alto? Datos de salud, financieros o de muchas personas, con posibilidad real de daño: comunícalo además a las personas afectadas (art. 34).
Herramientas oficiales gratuitas: la AEPD ofrece Asesora Brecha, un asistente que te ayuda a decidir si debes notificar, y el formulario de notificación de su sede electrónica. INCIBE tiene la línea de ayuda en ciberseguridad 017, gratuita y confidencial.
Lo que no debes hacer
- Sancionar a quien avisa. El mensaje que das al equipo es «la próxima vez, cállate». Tu política debe decir lo contrario: comunicar un error no se sanciona; ocultarlo, sí.
- Esperar a ver si pasa algo. El plazo de 72 horas corre desde que la empresa lo sabe, no desde que hay consecuencias.
- No dejarlo por escrito. Aunque decidas no notificar, el registro de la brecha y de tu razonamiento es obligatorio.
Cómo evitar que vuelva a pasar
Casi siempre la causa es la misma: nadie le dijo a esa persona qué datos podía pegar y con qué cuenta. Tres medidas lo resuelven: una herramienta de empresa con contrato, el semáforo de datos explicado en una sesión breve y una política firmada que diga a quién avisar.
Preguntas frecuentes
¿Qué hago si un empleado ha pegado datos de clientes en ChatGPT?
Anota qué se pegó, dónde y cuándo, haz capturas, borra la conversación, desactiva el entrenamiento y cambia cualquier contraseña expuesta. Valora el riesgo y, si lo hay para las personas, notifícalo a la AEPD antes de 72 horas.
¿Pegar datos en ChatGPT es una brecha de datos?
Puede serlo si se introdujeron datos personales en una herramienta sin contrato con tu empresa, porque han salido de tu control. Debes valorar el riesgo y registrarlo siempre, aunque no lo notifiques.
¿Cuándo hay que notificar a la AEPD?
Cuando la brecha supone un riesgo para los derechos de las personas, en un plazo de 72 horas desde que la empresa tiene conocimiento. La herramienta Asesora Brecha de la AEPD ayuda a decidirlo.
¿Debo sancionar al empleado?
Conviene no sancionar a quien avisa a tiempo: si el equipo teme las consecuencias, ocultará los errores. Lo sancionable es ocultarlo o incumplir de forma grave una política que conocía.
Pon todo esto por escrito en una tarde
La guía Política de uso de IA para empresas incluye la plantilla en Word para adaptar y firmar, el semáforo de datos imprimible y el registro de formación del artículo 4.
Pago seguro con Stripe · Descarga inmediata · Factura con IVA · Garantía de 14 días
Este artículo es informativo y no constituye asesoramiento jurídico. Las condiciones de los proveedores de IA cambian con frecuencia: verifica la configuración vigente en cada herramienta.