Cómo proteger los datos de tus clientes cuando usas herramientas de IA

Cuando alguien de tu equipo copia la conversación de un cliente y la pega en una herramienta de IA para redactar una respuesta, está enviando datos personales a un tercero. No hay mala intención: simplemente no se percibe como «enviar datos», se percibe como usar un programa. Pero es exactamente lo mismo que subir esa información a un servicio externo.

Esto no es un argumento para prohibir nada. Es un argumento para decidirlo a propósito, en lugar de que ocurra por defecto y sin que nadie lo sepa.

Qué cuenta como dato personal

Más cosas de las que la gente supone. Un dato personal es cualquier información que permita identificar a una persona, directa o indirectamente: nombre, teléfono, correo, documento de identidad, dirección, pero también la combinación de detalles que, juntos, señalan a alguien concreto.

Y hay categorías que exigen especial cuidado porque su filtración causa un daño mayor: salud, situación económica, datos de menores, información biométrica.

En la práctica cotidiana, los tres descuidos más frecuentes son:

• Pegar el historial completo de WhatsApp de un cliente para pedir un resumen.
• Subir una hoja de cálculo con la cartera de clientes para que la herramienta la ordene.
• Transcribir una reunión con un cliente sin haber avisado que se estaba grabando.

Las tres preguntas antes de usar una herramienta

1. ¿Qué hace el proveedor con lo que le envío?

   Busca en sus condiciones dos cosas concretas: cuánto tiempo conserva el contenido y si lo usa para entrenar sus modelos. Muchos servicios distinguen entre planes personales y planes de empresa: el mismo proveedor puede tratar tus datos de forma distinta según el plan que pagues. No lo supongas: compruébalo en su página y guarda la fecha en que lo comprobaste.

2. ¿Puedo enviar menos información y obtener lo mismo?

   Casi siempre sí. Para redactar una respuesta no hace falta el número de documento del cliente. Para resumir una reunión no hacen falta los apellidos. Sustituir por «el cliente» o por iniciales no le quita utilidad a la herramienta y reduce muchísimo tu exposición.

3. ¿Mi política de privacidad contempla esto?

   Si tu web dice que los datos se usan solo para atender consultas, y ahora esos datos pasan por un servicio externo, la política necesita reflejarlo. Es un cambio de texto pequeño y una diferencia legal grande.

Qué dice la norma en Perú

El tratamiento de datos personales está regulado por la Ley N.° 29733, Ley de Protección de Datos Personales, cuyo reglamento vigente fue aprobado por el Decreto Supremo N.° 016-2024-JUS, en vigencia desde el 31 de marzo de 2025. La Autoridad Nacional de Protección de Datos Personales, adscrita al Ministerio de Justicia y Derechos Humanos, es el organismo encargado de velar por su cumplimiento y cuenta con potestad sancionadora.

Sin entrar en tecnicismos jurídicos, hay tres ideas que conviene tener claras como responsable de un negocio:

• La responsabilidad frente a tu cliente sigue siendo tuya. Que el servicio sea de un tercero no traslada la responsabilidad: tú decides qué se envía y para qué.
• El titular del dato tiene derechos. Puede pedirte acceso, rectificación, cancelación y oposición respecto de sus datos. Tu proceso debe permitir responder a eso.
• Informar no es un trámite decorativo. Las personas deben poder saber qué se hace con su información y prestar su consentimiento cuando corresponde.

Una política interna de una página

No necesitas un manual. Necesitas que todo el equipo sepa responder cuatro preguntas. Escríbelas, compártelas y revísalas cada cierto tiempo.

Medidas que cuestan poco y sirven mucho

• Cuentas de trabajo, no personales. Si alguien usa su cuenta personal, la información de tus clientes queda en un lugar sobre el que no tienes ningún control el día que esa persona se va.
• Revisar los ajustes de privacidad del servicio. Varias herramientas permiten desactivar el uso del contenido para mejora del producto. Suele ser una casilla.
• Formar al equipo con ejemplos reales. Media hora enseñando qué sí y qué no se pega, con casos del propio negocio, evita más incidentes que cualquier documento.
• Revisar accesos cada cierto tiempo. Quién tiene cuenta, quién ya no debería tenerla. Es la tarea de mantenimiento más olvidada.
• Guardar la fecha de cada revisión. Las condiciones de los proveedores cambian. Saber cuándo fue la última vez que las leíste te dice cuándo toca volver.

El equilibrio correcto

Prohibir estas herramientas no funciona: el equipo las usará igual, pero sin decírtelo, y entonces sí que no tienes control. Permitirlo todo tampoco: tarde o temprano alguien pega algo que no debía.

El punto intermedio es aburrido y eficaz: una lista corta de herramientas aprobadas, una regla clara sobre qué información nunca sale, y una persona a quien preguntar cuando aparezca un caso raro. Con eso cubres la mayor parte del riesgo real sin frenar el trabajo.