Son las tres de la tarde. Una auxiliar recibe un estado financiero desordenado y tiene que entregarlo hoy. Abre ChatGPT, pega el archivo y le pide que se lo organice.
No hizo nada malintencionado. Estaba tratando de hacer bien su trabajo. Pero en ese momento salió de la empresa información de un tercero —NIT, razón social, cifras identificables— hacia un servicio que nadie contrató, bajo unos términos que nadie leyó y sin autorización del cliente dueño de ese dato.
Esa escena está ocurriendo hoy en la mayoría de las empresas pequeñas de Colombia. Y casi ninguna la está viendo.
No tener licencias no significa que no se esté usando
El primer error es pensar que el riesgo empieza cuando la empresa compra licencias. Es al revés.
Las herramientas son gratuitas y están a un clic. Si la empresa no compró nada, la gente igual las usa — pero desde cuentas personales, en su propio celular, sin que exista registro de qué entró ni de qué salió. La empresa no ve nada, no controla nada y no puede aplicar ninguna regla.
Comprar un plan empresarial no crea el riesgo: lo hace visible y lo pone bajo condiciones que la empresa sí puede negociar.
Por qué le pesa a la empresa y no al empleado
Acá está el punto que más se pasa por alto. Cuando tú manejas información de tus clientes, no eres el dueño de ese dato: eres su custodio.
La Ley 1581 de 2012 define al responsable del tratamiento como quien decide sobre esos datos personales, y ese responsable es la empresa —no la auxiliar que pegó el archivo—. Ante la Superintendencia de Industria y Comercio responde la razón social, no la persona.
Y si tu negocio es contable, jurídico o de salud, se suma el deber de reserva profesional que traen las normas de cada profesión. La confidencialidad ahí no es una buena práctica: es una obligación del ejercicio.
En un negocio construido sobre la discreción, la pérdida tampoco se mide solo en sanciones. Se mide en el cliente que se entera.
El semáforo
Esto es lo que le entrego a los equipos con los que trabajo, y es lo que conviene tener pegado al lado del computador. No es una lista exhaustiva: es un criterio que se resuelve en cinco segundos.
🟢 Verde — se puede, sin pensarlo
- Texto general que no contiene datos de clientes.
- Normas, conceptos y doctrina que son públicos: pegar el artículo completo y pedir que lo explique es de los mejores usos que hay.
- Plantillas y modelos propios de la empresa.
- Redactar o mejorar un correo, siempre que no lleve cifras ni nombres identificables.
- Preguntas de método: «¿cómo estructuro un informe de este tipo?».
🟡 Amarillo — primero se anonimiza
- Documentos de clientes con los nombres, NIT y números de identificación reemplazados.
- Cifras sueltas, sin razón social ni ningún identificador que permita reconstruir de quién son.
- Casos reales convertidos en ejemplo genérico: «un cliente del sector X con este problema».
La regla práctica: si borrando cuatro datos el documento deja de apuntar a alguien, es amarillo. Si aun sin nombre cualquiera podría adivinar de quién se trata, sigue siendo rojo.
🔴 Rojo — nunca
- Cédulas, NIT junto a razón social, direcciones, teléfonos, correos de clientes.
- Estados financieros, declaraciones y contratos tal como llegan.
- Historias clínicas y cualquier dato de salud.
- Contraseñas, tokens y accesos a plataformas.
- Todo lo que esté cubierto por una cláusula de confidencialidad que la empresa firmó.
Prohibirlo no funciona
La reacción instintiva del dueño que entiende el riesgo es mandar una circular: «queda prohibido usar IA».
Eso produce dos cosas, ninguna buena. La gente la sigue usando, porque le resuelve el día. Y deja de contarlo, porque ahora está prohibido. El uso no desaparece: se vuelve invisible justo cuando más falta hace verlo.
Lo que sí funciona es lo contrario: definir la línea, explicar por qué está donde está, y darle a cada persona una forma de resolver la duda en el momento en que aparece. Un equipo que entiende el porqué cumple; uno que solo recibió una orden, la interpreta.
Qué debe decir la política, en una página
No necesitas un manual de veinte páginas. Necesitas una hoja que responda cinco cosas:
- Qué información puede entrar y cuál no, con ejemplos de los documentos que ustedes manejan de verdad. Nada de categorías abstractas.
- Quién puede usar qué herramienta. Si hay plan empresarial, que se use ese y no cuentas personales.
- Qué hacer cuando alguien duda. A quién le pregunta, y que preguntar nunca tenga consecuencias — si preguntar cuesta, nadie pregunta.
- Que todo lo que salga se revisa antes de entrar a un entregable. La IA extrae; el criterio profesional sigue siendo de la persona.
- Quién responde si algo se sale de la regla.
Y que esté firmada. No por formalismo: porque frente a un incidente, la diferencia entre «no teníamos ninguna política» y «teníamos una política escrita y el equipo estaba capacitado» es la diferencia entre un descuido de la empresa y un hecho aislado de una persona.
Lo que esto no es
Nada de lo anterior es asesoría jurídica, y yo no soy abogado. Es un criterio operativo, construido desde el lado de quien diseña los sistemas por donde pasa la información. Si vas a darle a tu política efectos contractuales o laborales, que la revise tu abogado antes de firmarla.
Lo que sí te puedo decir con certeza es lo otro: el riesgo ya existe, con licencias o sin ellas. La única decisión que tienes por delante es si lo vas a ver o no.
Si quieres saber en qué punto está tu empresa, el diagnóstico son ocho preguntas y noventa segundos — y te dice qué encontró, incluso si la respuesta es que no necesitas hacer nada todavía.