Privacidad e inteligencia artificial: qué datos no deberías compartir con un chatbot

Un chatbot puede ayudarte a ordenar ideas o resumir un texto, pero cada frase, archivo o conexión que le entregas merece una decisión previa. La regla práctica es sencilla: si un dato permitiría entrar en una cuenta, identificar a una persona o perjudicarla si saliera de tu control, no lo pegues en un servicio de IA sin conocer y aceptar sus condiciones concretas. No hace falta renunciar a la herramienta: en muchos casos basta con formular el problema sin nombres, sustituir los datos reales por ejemplos ficticios y comprobar la política del proveedor.

La Agencia Española de Protección de Datos (AEPD) aconseja limitar los datos personales expuestos, revisar quién trata la información y averiguar qué hace el servicio con las conversaciones. Esa recomendación sirve tanto para una charla breve como para un documento de veinte páginas. Aquí tienes una forma de aplicarla antes de pulsar «enviar».

Datos que conviene dejar fuera desde el primer momento

El primer grupo son las credenciales: contraseñas, códigos de recuperación, claves de API, enlaces de acceso privado y códigos temporales de verificación. Aunque tu intención sea pedir ayuda para configurar una cuenta, compartir un secreto completo multiplica las personas, sistemas y registros por los que puede pasar. Para explicar un error, conserva el formato y sustituye cada valor real por una cadena inventada. Si ya has revelado una credencial, trátala como potencialmente expuesta: revócala o cámbiala desde el servicio que la emitió, revisa los accesos y crea una distinta.

El segundo grupo abarca identificadores y documentos personales: DNI, pasaporte, dirección completa, teléfono, datos bancarios, expedientes médicos, nóminas, contratos firmados y fotografías de documentos. No todos tienen el mismo riesgo ni el mismo uso legítimo, pero rara vez es necesario aportar el archivo original para pedir una explicación general. Un extracto sin identificadores puede bastar para entender una cláusula o una factura; si el caso requiere asesoramiento legal, médico o financiero individual, corresponde una persona profesional y un canal adecuado.

También importan los datos ajenos. Una conversación de WhatsApp, una lista de clientes o un expediente escolar contienen información de personas que no han decidido participar en tu consulta. La AEPD destaca expresamente que no se faciliten datos de terceros cuando haya dudas sobre si el tratamiento excede el ámbito doméstico. En un trabajo, además, consulta la política de tu organización: una cuenta personal y una herramienta aprobada para tratar información interna no tienen necesariamente las mismas condiciones.

El riesgo menos visible: los datos que identifican por contexto

Borrar el nombre no siempre vuelve anónimo un documento. «La única persona del departamento que se incorporó el martes, vive en un pueblo de 900 habitantes y tuvo una baja» puede ser identificable para quienes conocen el entorno. Lo mismo ocurre con una hoja de cálculo que conserva correos en una pestaña oculta, comentarios, metadatos o nombres de archivos. Antes de subir un PDF o una imagen, revisa también páginas anexas, firmas, capturas de pantalla y la información incrustada.

Un buen método consiste en escribir una versión mínima del problema desde cero. En vez de subir el contrato íntegro, pregunta por el significado general de una cláusula transcrita sin nombres, fechas exactas ni importes singulares. En vez de cargar la historia clínica, formula una pregunta general sobre el término que no entiendes y consulta a tu profesional sanitario para el caso particular. Al reducir la información entregada, reduces también el daño potencial de una mala configuración, una cuenta comprometida o un uso que no habías previsto.

Qué revisar en la configuración del chatbot

Busca la identidad del proveedor y su aviso de privacidad; comprueba qué datos recoge, para qué fines, durante cuánto tiempo, quién puede acceder, si se usan las conversaciones para mejorar el servicio y cómo se ejercen los derechos de protección de datos. La AEPD incluye estas preguntas en sus recomendaciones para usuarios. Una frase comercial como «tu conversación es privada» no sustituye a las condiciones del producto, la cuenta y el plan que realmente utilizas.

Las opciones cambian. Un proveedor puede ofrecer controles sobre el uso de chats para entrenamiento, historial, conversaciones temporales, conservación de archivos o conectores con correo y almacenamiento. Por ejemplo, OpenAI documenta controles de datos para ChatGPT; esa página describe su propio producto y puede variar con el tiempo. No extrapoles sus ajustes a otros chatbots ni supongas que desactivar una opción elimina de inmediato cada copia existente. Revisa los textos actuales y, si el asunto es sensible, pregunta al responsable de protección de datos de tu organización.

Presta especial atención a las integraciones. Dar permiso para consultar un calendario o un repositorio puede exponer más contexto que una pregunta escrita a mano. Antes de activarlas, mira el alcance del permiso, qué carpetas o cuentas incluye, cómo se revoca y qué ocurre con los datos ya procesados. Aplica el mismo criterio de mínimos que usarías al compartir un documento con otra persona.

Una forma más segura de pedir ayuda sin perder utilidad

Imagina que quieres redactar una respuesta a una reclamación. La versión arriesgada sería pegar el mensaje completo, con nombre, dirección, número de pedido y fotografías. La versión útil y contenida diría: «Redacta una respuesta amable para una persona que recibió un producto defectuoso. Ofrecemos devolución o reemplazo en las condiciones que adjunto resumidas». Sustituye los datos por marcadores como [CLIENTE] y [PEDIDO] y completa el correo final fuera de la herramienta.

Si necesitas un análisis de datos, usa una pequeña tabla ficticia que conserve la estructura de columnas y el tipo de problema. Si necesitas depurar código, elimina tokens, direcciones internas, rutas personales y registros con datos de usuarios. Si necesitas revisar una oferta de empleo, copia únicamente los requisitos de la vacante. Cuanto mejor delimites la tarea, menos información privada necesitará el modelo para responder.

Conviene distinguir privacidad de exactitud. Un servicio con controles de datos adecuados puede equivocarse en una respuesta; un texto sin datos personales puede seguir generando una recomendación incorrecta. La AEPD recuerda que no hay garantía de corrección de la información producida por el chatbot. Verifica lo que afecte a salud, dinero, derechos o seguridad antes de actuar.

Qué hacer si ya compartiste algo que no debías

Actúa según el tipo de dato y no solo según el nivel de vergüenza. Si había una contraseña o una clave, cámbiala o revócala; si estaba reutilizada, actualiza también las demás cuentas. Si era un archivo laboral, avisa por el canal interno previsto para incidentes. Si incluía información de terceros, informa al responsable correspondiente para que valore el riesgo y los pasos legales o contractuales. Para datos médicos o bancarios, evita volver a distribuirlos mientras solicitas ayuda al servicio afectado o a un profesional competente.

Revisa las opciones de borrar conversación y archivos, pero lee qué alcance real tienen. Conserva una nota privada de qué se compartió, cuándo, en qué cuenta y qué medidas tomaste, sin crear otra copia innecesaria del documento sensible. Si crees que alguien ha accedido a tus cuentas, cambia contraseñas desde una sesión segura y consulta cómo elegir un gestor de contraseñas para dejar de reutilizarlas.

Lista de comprobación antes de enviar

• ¿La respuesta exige de verdad el documento original o basta con una pregunta general?
• ¿Hay contraseñas, códigos, datos financieros, médicos o de terceros?
• ¿El contexto permite identificar a alguien aunque hayas borrado su nombre?
• ¿Conoces el proveedor, la finalidad del tratamiento y los ajustes de tu cuenta?
• ¿Puedes usar datos de ejemplo y completar los nombres fuera del chatbot?
• ¿Revisarás la respuesta antes de aplicarla o compartirla?

La privacidad no depende de una prohibición absoluta ni de una casilla única. Depende de decidir qué necesita saber la herramienta para la tarea concreta, comprobar sus condiciones y mantener el control sobre el resultado. Si vas a delegar acciones, no solo preguntas, amplía la revisión a permisos, responsables y confirmaciones; hemos explicado ese paso en los controles antes de delegar en agentes de IA.

Fuentes y alcance

• AEPD: recomendaciones para usuarios de chatbots con IA.
• OpenAI: controles de datos en ChatGPT, ejemplo de condiciones de un proveedor específico.

Revisión de fuentes: 16 de octubre de 2026. Esta guía es orientación general; los ajustes y contratos de cada servicio pueden cambiar. La portada es una ilustración original generada con IA y no documenta una prueba de producto o de seguridad.