Lo que no deberías pedir nunca a ChatGPT o Claude: riesgos legales del uso de IA

La inteligencia artificial generativa ha llegado a las oficinas para quedarse, agilizando tareas que antes consumían horas de trabajo. Sin embargo, la facilidad con la que estas herramientas responden a cualquier consulta esconde un peligro que muchas empresas aún subestiman. Pedir a ChatGPT o Claude que redacten un correo, que filtren currículos o que generen un informe puede parecer inofensivo, pero dependiendo de lo que se solicite, la empresa podría estar incurriendo en infracciones graves de la normativa europea de IA (AI Act), del Reglamento General de Protección de Datos (RGPD) o de las leyes de propiedad intelectual. La clave no está en no usar la IA, sino en saber qué peticiones evitar para no exponerse a sanciones millonarias y a daños reputacionales.

El AI Act, que prevé multas de hasta 35 millones de euros o el 7% de la facturación global anual, sitúa a los ‘desplegadores’ (las empresas que usan la IA) como responsables directos de su uso. A esto se suma un frente legal que se ha intensificado en los últimos meses, con demandas de gigantes discográficos como Sony Music Publishing contra fabricantes de modelos como Anthropic (creadora de Claude), acusándolos de utilizar material protegido por derechos de autor para entrenar sus sistemas. En este contexto, no prestar atención a lo que se pide a la IA es un riesgo que ninguna organización debería asumir.

Las tres peticiones que multiplican el riesgo legal

No todos los usos de la IA generan el mismo nivel de exposición legal. Existen tres categorías de solicitudes que, por su naturaleza, suponen un peligro particularmente alto y que deberían eliminarse de la rutina de trabajo.

1. Exigir la reproducción de contenido protegido por derechos de autor

La IA puede generar, sin mayor problema, la letra completa de una canción, un capítulo de un libro o fragmentos de código propietario. El problema surge cuando ese contenido se utiliza con fines comerciales. Pedir a la IA que reproduzca material con derechos de autor y emplearlo en una presentación, un anuncio o un producto propio expone a la empresa a reclamaciones legales. Las discográficas y editoriales están vigilantes, como demuestran las acciones legales contra las propias empresas de IA. La recomendación es solicitar análisis, resúmenes o inspiración general, pero nunca la reproducción literal de obras protegidas.

2. Compartir datos personales de clientes, empleados o pacientes

Copiar y pegar en el chat de un asistente de IA el nombre, correo, historial médico o cualquier dato identificativo de una persona es una práctica que vulnera directamente el RGPD. El principio de minimización de datos exige que solo se trate la información estrictamente necesaria, y estas plataformas, al poder almacenar las conversaciones para mejorar sus modelos, se convierten en un riesgo de filtración de datos. Si se necesita usar IA para redactar un informe sobre un empleado o un correo para un cliente, es imprescindible anonimizar completamente la información (eliminando nombres, números de identificación, etc.) o recurrir a versiones empresariales que garanticen la no retención de datos.

3. Delegar decisiones de alto riesgo sin supervisión humana

El AI Act clasifica como «de alto riesgo» usos como la selección de personal, la evaluación de solvencia crediticia o la valoración del rendimiento laboral. Pedir a la IA que filtre automáticamente currículos o que decida sobre una concesión de crédito sitúa a la empresa en esta categoría, con todas sus obligaciones. Esto exige una documentación técnica exhaustiva, auditorías periódicas y, sobre todo, una supervisión humana documentada. No basta con que un empleado revise el resultado por encima. La empresa debe poder demostrar, ante organismos como la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), cómo se tomó la decisión final y qué peso tuvo el algoritmo.

Cómo blindar el uso de IA en la empresa

La solución no es prohibir la IA, sino establecer un marco de uso seguro. Para ello, se pueden implementar controles internos sencillos pero efectivos. Lo primero es contar con una política de uso de IA por escrito que especifique qué herramientas están autorizadas, quién puede usarlas y para qué tareas concretas. Es fundamental, además, formar al equipo sobre los límites y riesgos, documentando esta formación. Si se utiliza un chatbot para atender al público, la ley exige que se avise de forma clara y visible de que se está interactuando con una máquina.

En el plano técnico, existen alternativas que reducen el riesgo. Se pueden utilizar versiones empresariales de los asistentes que ofrezcan garantías contractuales sobre la privacidad de los datos, o incluso modelos locales que se ejecuten en los servidores de la propia empresa, asegurando que la información nunca salga del entorno controlado. La IA es una herramienta poderosa, pero su eficacia y seguridad dependen de que se la trate como un apoyo con límites claros, no como un sustituto de los procesos legales y éticos de la organización.

Preguntas frecuentes sobre peticiones prohibidas en IA

¿Puedo pedirle a ChatGPT que me escriba una canción para un anuncio?

Pedir la reproducción de una canción existente con derechos de autor es un riesgo. Lo seguro es solicitar una letra original inspirada en un tema o estilo, y aún así, revisar su originalidad, ya que la IA podría generar algo muy similar a una obra protegida.

¿Qué consecuencias tiene compartir datos de empleados con Claude sin anonimizar?

Vulnera el RGPD. Si el proveedor almacena la conversación, se considera una cesión de datos a un tercero sin consentimiento, lo que puede resultar en sanciones y en la obligación de notificar a los afectados y a la agencia de protección de datos.

¿Es legal usar IA para filtrar currículos de forma automática?

Es legal, pero el AI Act lo considera un uso de alto riesgo. Esto implica la obligación de realizar una evaluación de impacto, documentar el sistema y garantizar una supervisión humana significativa que pueda impugnar la decisión automatizada.

¿Qué debo hacer si ya he compartido información sensible con una IA?

Lo primero es detener la práctica. Luego, revisar los registros de conversación (si están disponibles) para evaluar el alcance de la filtración. Dependiendo de la información, puede ser necesario notificar a los afectados y a las autoridades competentes.

¿Qué es la AESIA y qué tiene que ver con mi empresa?

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es el organismo nacional que supervisará y sancionará el cumplimiento del AI Act en España. Una vez plenamente operativa, tendrá competencias para inspeccionar y multar a las empresas que incumplan la normativa.

Recuerde que…

La inteligencia artificial es una aliada extraordinaria en el trabajo, pero su uso irreflexivo puede convertirla en un pasivo legal para cualquier empresa. La clave para aprovechar su potencial sin asumir riesgos innecesarios está en la prevención y la concienciación. No se trata de tener miedo a la IA, sino de respetar sus límites: no pedirle que reproduzca contenido con derechos de autor, no compartir datos personales sin anonimizar y no delegar en ella decisiones críticas sin una supervisión humana documentada. Establecer unas normas claras de uso y formar al equipo son inversiones que evitan sanciones económicas y protegen la reputación de la organización.

Pueden encontrar más contenido en https://fernandojuca.com, así como videotutoriales y pódcast en https://youtube.com/fernandojucamaldonado.