Te da miedo meter datos de clientes en la IA, pero usas Gmail, Drive, WhatsApp y conversores online. Si la IA te hace pensar en privacidad, piensa en todo.
«Yo la IA no la uso. Me da miedo meter los datos de mis clientes.»
Es la frase que más escucho.
En los talleres. En el grupo de WhatsApp. En los comentarios del canal.
Y siempre la dice gente seria. Gente que se toma en serio su profesión y a sus clientes.
Así que vamos a tomárnosla en serio.
Pero en serio de verdad.
Porque te voy a hacer una pregunta incómoda.
Esa consulta que te mandó ayer un cliente, con su nómina adjunta y el parte de baja de su hija… ¿a qué cuenta de correo llegó?
¿A una @gmail.com? ¿A una @hotmail.com?
¿Y dónde la guardaste después? ¿En Drive? ¿En OneDrive? ¿En el escritorio de un portátil que no tiene contraseña?
¿Y el audio de WhatsApp en el que te contaba lo del despido? ¿En qué copia de seguridad está ahora mismo?
Si te has removido un poco en la silla, este artículo es para ti.
Porque hay una idea que quiero que te lleves grabada a fuego:
Si te estás replanteando la privacidad SOLO por la inteligencia artificial, te estás equivocando. Si la IA te ha hecho pensar en la privacidad, piensa en TODO lo que haces cada día.
Me la hacen en cuanto enseño lo que hago con Claude en el despacho.
Y me parece una pregunta buenísima.
Lo que no me parece tan bueno es CUÁNDO nos la hacemos.
Porque nadie me la hizo cuando abrió su cuenta de Gmail para el despacho.
Nadie me la hizo cuando subió la carpeta de clientes a Dropbox para trabajar desde casa.
Nadie me la hizo la primera vez que arrastró una nómina a un conversor de PDF gratuito porque tenía prisa.
Esas cosas las hacemos cada día.
Las hemos normalizado tanto que ya no las vemos.
Y resulta que la IA, que es lo nuevo, lo que da miedo, lo que sale en las noticias, se lleva TODA la sospecha.
Mientras el resto de la casa tiene las ventanas abiertas de par en par.
Es como poner una puerta blindada en el baño y dejar abierta la de la calle.
Así que vamos a hacer una cosa.
Antes de hablar de la IA, vamos a mirar la casa entera.
2. Haz el test: ¿cuántas de estas haces?
Coge papel y boli.
Sé sincero. Nadie te está mirando.
Bueno. Eso lo vamos a ver luego.
Marca cada una que hagas, o que se haga en tu despacho:
☐ El correo del despacho es una cuenta gratuita de Gmail, Hotmail u Outlook.com.
☐ Los expedientes de clientes están en un Drive, OneDrive o Dropbox personal y gratuito.
☐ Alguna vez has usado un conversor online gratuito para pasar un Word a PDF, unir PDF o comprimirlos.
☐ Alguna vez has pegado un texto de un cliente en un traductor online o has subido un audio a una web de transcripción gratuita.
☐ Hablas con clientes por WhatsApp desde tu móvil personal y te mandan por ahí DNI, nóminas o partes de baja.
☐ Las fotos y documentos de WhatsApp se guardan solos en la galería, y la galería se sincroniza con la nube.
☐ Tu portátil arranca sin contraseña, o la contraseña es «1234», el nombre del perro o la fecha de tu boda.
☐ El programa de nóminas, el de contabilidad o el Sistema RED se abren sin pedir clave.
☐ Guardas las contraseñas en el navegador porque «así no tengo que acordarme».
☐ Tienes un archivo que se llama «contraseñas», «claves» o «pass» en el escritorio.
☐ Usas la misma contraseña para varias cosas.
☐ No tienes activado el doble factor de autenticación en el correo.
☐ Los certificados digitales, tuyos o de tus clientes, están en una carpeta del ordenador, con la contraseña apuntada en un fichero al lado.
☐ Alguna vez has mandado un correo a varios clientes con todos los destinatarios a la vista, en «Para» o en «CC».
☐ No sabes en qué país están los servidores de los programas en la nube que usas.
Ahora cuenta.
De 0 a 3: enhorabuena, eres un unicornio. Sigue leyendo igual, que siempre se aprende.
De 4 a 8: eres normal. Como casi todos. Y eso es justo el problema.
Más de 8: tranquilo, que no te voy a denunciar. Pero tu miedo a la IA ahora mismo es como tener miedo a los tiburones mientras cruzas la autopista andando.
Y no te lo digo desde un pedestal.
Yo he marcado varias de esas casillas en mi vida profesional. Unas cuantas.
La diferencia es que un día me puse a mirarlas una a una.
Eso es lo que vamos a hacer ahora.
Pero antes, déjame contarte una cosa.
Esta conversación la tengo tantas veces que le he dedicado una sesión entera del curso básico de IA que empiezo el 9 de noviembre.
La sesión 3. Se llama «No le des el expediente a cualquiera».
Ahí vemos qué datos no deben salir nunca de tu despacho, por qué anonimizar no es tachar y qué pasa con las IA gratuitas, con las chinas y con las que se venden como «jurídicas».
Pero fíjate en el orden.
No es la primera sesión. Es la tercera.
Antes, en la primera, abrimos el capó para entender por qué la IA escribe como escribe. Y en la segunda le pedimos jurisprudencia en directo… y la pillamos inventándosela.
Porque la privacidad solo se entiende cuando entiendes la herramienta. Es exactamente lo que defiende este artículo.
Y más adelante, en la séptima, el método para comprobar normas, sentencias y cifras antes de poner tu firma.
Diez sesiones de hora y media, desde cero, en directo y grabadas.
Si este test te ha dejado mal cuerpo, ahí es donde ese mal cuerpo se convierte en criterio.
Curso básico de IA para el despacho laboral
La IA no te va a quitar el trabajo. Te va a quitar el caos.
Diez sesiones de hora y media, en directo y desde cero, para trabajar con Claude y ChatGPT en el despacho: por qué la IA se equivoca, a cuál no darle nunca el expediente, cómo instruirla, un proyecto por asunto y cómo verificar normas, sentencias y cifras antes de firmar. Después llega el curso avanzado, para convertirla en tu propio sistema.
Primera convocatoria: del 9 al 30 de noviembre, lunes, martes y jueves por la tarde, por Zoom. Treinta plazas.
390 € + impuestos · grupo de 30 · sesiones grabadas · ¿Aún no? Lista prioritaria
3. Lo que haces cada día, hábito a hábito
Antes de entrar, dos ideas que lo ordenan todo.
La primera: tú eres el responsable del tratamiento. Los datos de tus clientes —y los de las personas trabajadoras de tus clientes— los tratas tú. Y el RGPD te obliga no solo a cumplir, sino a poder DEMOSTRAR que cumples. Es la responsabilidad proactiva del art. 5.2 y del art. 24 del Reglamento (UE) 2016/679.
Y además la ley te impone un deber de confidencialidad expreso sobre esos datos (art. 5.1 LOPDGDD, que remite al art. 5.1.f RGPD), que se suma a tu secreto profesional (art. 5.2 LOPDGDD).
La segunda: cada empresa a la que le das datos para que te preste un servicio es, casi siempre, un encargado del tratamiento. Google, Microsoft, Dropbox, el conversor de PDF, el transcriptor online… y sí, también la IA. Y con cada encargado necesitas un contrato con el contenido del art. 28.3 RGPD. Encargar un tratamiento sin ese contrato es infracción grave según el art. 73.k) de la LOPDGDD.
Y una tercera, que en nuestro sector pesa más que en ningún otro.
Ya sabrás, y si no lo sabes te lo voy a contar ahora, que un graduado social maneja a diario categorías especiales de datos del art. 9 RGPD.
Partes de incapacidad temporal: datos de salud.
Certificados de discapacidad: datos de salud.
La cuota sindical que descuentas en la nómina: afiliación sindical.
Eso exige un plus de protección. Y la seguridad tiene que ser «adecuada al riesgo» (art. 32.1 RGPD). Con este tipo de datos, el riesgo es alto.
Dicho esto, vamos hábito a hábito.
✦ Imagen generada con inteligencia artificial
El correo del despacho en una cuenta gratuita
Una cuenta gratuita de Gmail o de Outlook.com está pensada para particulares.
Se rige por las condiciones de servicio y la política de privacidad del proveedor. No por un contrato de encargado del tratamiento que tú puedas firmar.
Las versiones profesionales —Google Workspace, Microsoft 365 para empresas— sí incorporan un acuerdo de tratamiento de datos. Ese es, precisamente, el contrato del art. 28.
Diferencia en dinero: unos pocos euros al mes por usuario.
Diferencia en tu posición jurídica: la de tener contrato o no tenerlo.
Y una cosa más. Si esa cuenta gratuita está vinculada a tu móvil personal y a tu vida personal, el día que te la roben, se lo llevan TODO junto.
Los expedientes en Drive, OneDrive o Dropbox
La nube no es mala. Yo la uso.
Lo malo es usarla sin saber qué has contratado.
¿Es una cuenta personal o profesional? ¿Hay acuerdo de tratamiento? ¿Quién más tiene acceso a esa carpeta? ¿Hay enlaces compartidos con «cualquiera con el enlace» que siguen vivos desde 2021?
Esa última pregunta, pequeño saltamontes, es la que más sustos da.
Conversores de PDF, traductores y transcriptores online gratuitos
Este es mi favorito.
Porque es el que hacemos con MÁS prisa y MENOS cabeza.
Tienes un Word con la carta de despido. Necesitas el PDF. Buscas «convertir Word a PDF gratis». Primer resultado. Arrastras. Descargas. Listo.
Acabas de entregar la carta de despido entera —nombre, DNI, hechos imputados, salario— a una empresa que no conoces, con servidores que no sabes dónde están, y sin ningún contrato.
Lo mismo con el traductor online donde pegas el correo del cliente extranjero.
Lo mismo con la web gratuita donde subes el audio del cliente para transcribirlo.
Y fíjate en la paradoja.
Muchos de los que me dicen «yo a la IA no le meto datos» llevan años haciendo esto sin pestañear.
Para pasar a PDF no te hace falta nadie: Word lo hace con «Guardar como», y en Mac lo hace el sistema con «Exportar como PDF». Para transcribir hay modelos que funcionan en tu propio ordenador, sin que el audio salga de tu mesa.
WhatsApp con clientes
WhatsApp cifra los mensajes de extremo a extremo mientras viajan. Eso está bien.
El problema no está en el viaje. Está en el destino.
Está en tu móvil personal, que se te puede perder en la terraza un viernes.
Está en la galería, donde se guardan solas las fotos del DNI y del parte de baja.
Está en la copia de seguridad de los chats en Google Drive o en iCloud, que no va cifrada de extremo a extremo salvo que tú lo actives expresamente.
Está en el grupo donde reenvías una captura «solo para que la vea mi compañera».
No te digo que dejes WhatsApp. Te digo que lo uses sabiendo lo que pasa con lo que recibes.
El portátil sin contraseña y los programas sin clave
Esto no necesita mucha explicación, pero sí un dato jurídico que poca gente conoce.
Si te roban un portátil con datos de clientes, eso es una brecha de datos personales.
Y tienes que notificarla a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que lo sabes, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 RGPD).
Si el riesgo es alto, además, hay que comunicárselo a cada afectado (art. 34.1). Imagínate esa llamada a tus clientes.
Ahora viene lo bueno.
Si el disco estaba cifrado —BitLocker o el cifrado de dispositivo en Windows, según la edición y el equipo; FileVault en Mac, que viene de serie—, los datos son ininteligibles para quien se lo lleva. Y el propio RGPD dice que entonces no hace falta comunicar la brecha a los afectados (art. 34.3.a).
Ojo: lo que te ahorras es la comunicación a cada afectado. Si hay que notificar o no a la AEPD se valora aparte, según el riesgo.
Dos clics de configuración separan un disgusto de un desastre.
Lo mismo vale para el programa de nóminas o el de contabilidad que se abre sin pedir nada. Cualquiera que se siente en esa silla —el técnico, el cliente que espera, tu sobrino— tiene delante las nóminas de cientos de personas.
Las contraseñas en el navegador y el archivo «contraseñas»
Guardar las claves en el navegador es cómodo.
Pero si el ordenador no tiene contraseña, quien lo abra las tiene todas.
Y hay programas espía —los llamados infostealers— que van exactamente a buscar eso: las contraseñas guardadas en los navegadores y los ficheros con nombres como «claves» o «contraseñas».
Ese archivo en tu escritorio no es una agenda. Es un regalo envuelto con lazo.
La solución existe, es barata y es un cambio de hábito: un gestor de contraseñas, una contraseña distinta y larga para cada servicio, y el doble factor activado en todo lo que lo permita.
Los certificados digitales en una carpeta
Aquí me pongo serio.
Un certificado digital no es un archivo más.
Es TU firma. O la de tu cliente.
Con él se presentan declaraciones, se dan de alta y de baja personas trabajadoras, se firman escritos, se accede a sedes electrónicas.
Tener en una carpeta los ficheros .pfx de veinte clientes, con un .txt al lado que dice «clave de todos: Empresa2024», es tener veinte firmas en blanco encima de la mesa.
Si un atacante entra en tu ordenador, no se lleva datos. Se lleva tu capacidad de actuar en nombre de tus clientes.
Lo mínimo: certificados instalados con protección que pida contraseña en cada uso, o en tarjeta o token, nunca el fichero suelto con la clave al lado. Y, siempre que se pueda, trabajar con las autorizaciones y apoderamientos que prevé cada administración, en lugar de custodiar el certificado del cliente.
El correo a todos con los destinatarios a la vista
«Estimados clientes, os recuerdo que el día 30 vence…» Y cuarenta direcciones de correo en el campo «Para».
Acabas de revelar a cuarenta personas quiénes son tus otros clientes.
La propia AEPD señala el envío de datos a destinatarios incorrectos y la exposición por error entre las brechas no cibernéticas más frecuentes.
Copia oculta (CCO). Siempre. O mejor, una herramienta de envío como Dios manda.
La nube que no sabes dónde está
Programa de nóminas en la nube. Programa de contabilidad en la nube. Gestor documental en la nube. Firma electrónica en la nube.
¿Sabes dónde están sus servidores?
¿Y los de sus subcontratistas?
Si los datos salen del Espacio Económico Europeo, entras en el terreno de las transferencias internacionales del Capítulo V del RGPD (arts. 44 a 49). Y ahí la cosa tiene historia.
El Tribunal de Justicia declaró inválido en 2020 el marco que amparaba las transferencias a Estados Unidos, el Escudo de la Privacidad, porque el Derecho estadounidense no garantizaba un nivel de protección «sustancialmente equivalente» al de la Unión (STJUE de 16 de julio de 2020, asunto C-311/18, Schrems II, ECLI:EU:C:2020:559).
Hoy rige el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), que el Tribunal General avaló en septiembre de 2025 (asunto T-553/23, Latombe), aunque esa sentencia está recurrida ante el Tribunal de Justicia. Y, mientras tanto, solo cubre a las empresas estadounidenses adheridas a él.
¿Lo has comprobado con tus proveedores?
Exacto.
Y fíjate: esta es exactamente la misma pregunta que te haces con la IA. Solo que con la IA te la haces, y con el programa de nóminas, no.
4. Y encima, te están atacando
Hasta aquí hemos hablado de descuidos.
Ahora hablemos de gente que viene a por ti a propósito.
Porque un despacho laboral es un objetivo goloso. Piensa en lo que guardamos: DNI, cuentas bancarias, nóminas, datos de salud, certificados con los que se puede actuar ante la Seguridad Social y Hacienda.
Es una caja fuerte.
Y muchas veces con la combinación pegada en un pósit.
Los números de 2025, para que no sea una sensación:
122.223 incidentes de ciberseguridad gestionó INCIBE en 2025, un 26 % más que en 2024. De ellos, 55.411 fueron de malware —392 de ransomware— y 45.445 de fraude online, con 25.133 casos de phishing. Además, 3.849 casos de robo de información.
142.767 consultas recibió la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, casi un 45 % más que el año anterior. El primer motivo: phishing, vishing y smishing.
2.765 brechas de datos personales se notificaron a la AEPD en 2025, el 80 % del sector privado. Y la Agencia explica cómo se entra en las grandes brechas: con credenciales comprometidas, a través de VPN corporativas o aplicaciones web. Y lo dice así: el segundo factor de autenticación es «la medida más eficaz para evitarlo».
A escala mundial, el informe de Verizon sobre brechas de 2025 sitúa en torno al 60 % las brechas en las que interviene el elemento humano, y la participación de terceros —proveedores, servicios externos— se duplicó, del 15 % al 30 %.
Lee otra vez esa última línea.
Elemento humano: el clic en el correo falso de «Notificación de la Seguridad Social». La contraseña reutilizada. El portátil abierto.
Terceros: los proveedores a los que les das tus datos.
O sea: lo que hemos visto en el apartado anterior.
No es la IA la que tumba despachos.
Son los hábitos.
Y una advertencia más. Antes el correo de phishing se reconocía por las faltas de ortografía. Eso se acabó. Hoy llegan perfectamente escritos, con el logotipo bueno y el tono de la Administración. Si tu defensa era «yo lo noto», ya no tienes defensa.
Si alguna vez dudas, el 017 de INCIBE es gratuito y confidencial. Apúntatelo.
5. Ahora sí: la IA, con la misma vara de medir
Ahora que hemos mirado la casa entera, vamos con la habitación nueva.
¿Qué pasa cuando pegas el escrito de un cliente en una IA?
Que tu texto viaja a los servidores del proveedor, se procesa allí y vuelve una respuesta.
¿Te suena?
Es exactamente lo que pasa cuando subes un documento a Drive, cuando mandas un correo con Gmail o cuando arrastras un Word al conversor de PDF.
La IA no es un agujero negro distinto a todo lo demás.
Es un proveedor más que trata los datos de tus clientes. Y se le hacen las mismas preguntas:
¿Actúa como encargado del tratamiento, con el contrato del art. 28 RGPD, o como responsable independiente, con su propia política?
¿Dónde se tratan los datos? ¿Hay transferencia internacional y con qué garantía?
¿Se usan mis datos para entrenar el modelo?
¿Cuánto tiempo se conservan y quién puede acceder?
¿Qué seguridad aplica el proveedor?
Y aquí viene el giro que a mucha gente le descoloca.
En las grandes herramientas de IA hay una diferencia enorme entre la versión de consumo y la versión profesional.
En las versiones gratuitas o de uso personal, según el proveedor y tu configuración, tus conversaciones pueden usarse para mejorar los modelos, salvo que lo desactives.
Las versiones para empresas, equipos o por API suelen incluir acuerdo de tratamiento de datos y, por defecto, no entrenan con tu información.
Y hay un matiz que casi nadie mira. Con una suscripción individual, el proveedor puede no ser tu encargado, sino un responsable independiente que trata los datos con su propia política de privacidad. Es lo que dice hoy, por ejemplo, la política de Anthropic para los usuarios europeos de Claude. Entonces ya no es un encargo: es una comunicación de datos a otra empresa, y tu cliente tiene que saberlo. Lo explico con detalle en el artículo sobre la cláusula de IA de la hoja de encargo.
Las condiciones cambian, así que revísalas cada vez. Pero la lógica es la misma que con el correo: lo gratuito para particulares, para particulares; lo profesional, para el despacho.
Resultado: una IA contratada en su versión profesional, con contrato y sin entrenamiento, puede darte MÁS garantías que el conversor de PDF que usaste ayer.
No es que la IA sea inocente.
Es que la estabas juzgando con una vara que no le aplicas a nada más.
Por eso te lo digo claro:
Si la privacidad te preocupa por la IA, perfecto. Pero entonces que te preocupe por TODO.
Y si la IA es lo que por fin te ha hecho mirar, bendita IA.
6. Lo importante de verdad: aprender a usarla
Ahora la parte que más me importa de este artículo.
Mucha gente usa la privacidad como excusa para no empezar.
«Cuando lo tenga claro, ya me pondré.»
Y nunca lo tiene claro.
Porque no se puede tener claro algo que no se entiende.
Es al revés.
Primero aprendes cómo funciona la IA. Después decides cómo proteges los datos.
Porque cuando sabes cómo funciona, las decisiones de privacidad salen solas.
Cuando entiendes que un modelo de lenguaje no «recuerda» tus conversaciones como una base de datos, sino que trabaja con el contexto que tú le das, sabes qué darle y qué no.
Cuando sabes que la respuesta no sale de consultar una fuente, sino de generar el texto más probable, entiendes por qué hay que verificar cada cita, cada plazo, cada importe.
Cuando sabes qué es una versión de consumo y qué es una profesional, eliges la buena sin que nadie te lo diga.
Cuando sabes qué es un conector y qué permisos le das, controlas a qué parte de tu correo o de tu Drive llega la IA.
Cuando sabes preguntarle, le pides lo que necesitas sin volcarle el expediente entero.
Cuando sabes cuándo anonimizar y cómo hacerlo de verdad —que no es tachar el DNI—, lo haces.
Y cuando sabes qué herramientas existen, descubres que algunas tareas se pueden hacer en tu propio ordenador, sin que nada salga de tu mesa.
Todo eso es aprender a usarla.
Y no es solo una recomendación mía. La ley también lo pide.
El Reglamento de Inteligencia Artificial (Reglamento (UE) 2024/1689) dedica su art. 4 a la alfabetización en IA. Tras su modificación por el Reglamento (UE) 2026/1744 —el llamado Ómnibus digital sobre IA, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio—, los proveedores y los responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de quienes manejen la IA en su nombre.
Y responsable del despliegue es quien usa un sistema de IA bajo su propia autoridad, salvo que sea un uso personal y no profesional (art. 3.4). O sea: tu despacho, en cuanto la usa para trabajar.
El mismo artículo aclara que eso no exige garantizar «un nivel específico de alfabetización en materia de IA de ninguna persona en particular». Es una obligación de medios, no de resultado: no te exige un título, te exige poner los medios.
Hablo de todo esto en este vídeo, con las dudas que más me llegan:
Ojo: no estoy diciendo «mete los datos de tus clientes donde sea y luego ya veremos».
Estoy diciendo lo contrario.
Que el orden importa.
Que con miedo y sin conocimiento solo hay dos salidas: no usarla nunca, y que tu competencia te pase por encima, o usarla a escondidas y mal, que es la peor de todas.
Con conocimiento hay una tercera: usarla bien.
7. Tu plan para esta semana
No quiero que cierres este artículo con mal cuerpo y sin hacer nada.
Así que aquí tienes lo que puedes hacer, de lo más rápido a lo más estructural:
Hoy, en diez minutos: activa el doble factor en el correo del despacho, en la nube y en todo lo que lo permita.
Hoy: pon contraseña al portátil y activa el cifrado del disco (BitLocker o el cifrado de dispositivo en Windows; FileVault en Mac).
Esta semana: instala un gestor de contraseñas, cambia las repetidas y borra el archivo «contraseñas». De verdad. Bórralo.
Esta semana: saca los certificados digitales de esa carpeta. Instalados con contraseña en cada uso, o en tarjeta. Y revisa qué certificados de clientes custodias y si podrías sustituirlos por autorizaciones o apoderamientos.
Esta semana: deja de usar conversores, traductores y transcriptores online gratuitos con documentos de clientes. Hazlo con las herramientas de tu ordenador o con servicios profesionales con contrato.
Este mes: pasa el correo y la nube del despacho a una versión profesional con acuerdo de tratamiento de datos, y revisa los enlaces compartidos antiguos.
Este mes: haz la lista de tus encargados del tratamiento —correo, nube, nóminas, contabilidad, firma, IA— y comprueba que tienes contrato con cada uno y dónde tratan los datos.
Este mes: separa el WhatsApp del despacho del personal, desactiva la descarga automática a la galería y activa la copia de seguridad cifrada.
Y con la IA: versión profesional, entrenamiento desactivado, solo los datos necesarios, anonimización de verdad cuando toque y verificación de todo lo que te devuelva.
Siempre: ten claro qué harías si mañana te roban el portátil. Quién avisa, a quién, y en qué plazo. 72 horas pasan volando.
Nada de esto es caro.
Casi todo es hábito.
Y los hábitos se cambian igual que se cogieron: uno a uno.
Glosario
Responsable del tratamiento: quien decide para qué y cómo se tratan los datos personales. En la relación con tus clientes, normalmente tú.
Encargado del tratamiento: quien trata datos por cuenta del responsable para prestarle un servicio. El proveedor de correo, la nube, el programa de nóminas o la IA contratada en su versión profesional.
Contrato de encargo (art. 28.3 RGPD): el acuerdo que fija qué puede hacer el encargado con los datos, con qué seguridad y bajo qué instrucciones. En las herramientas profesionales suele llamarse «acuerdo de tratamiento de datos» o DPA.
Categorías especiales de datos (art. 9 RGPD): datos especialmente protegidos, como los de salud o la afiliación sindical. En un despacho laboral aparecen a diario.
Brecha de datos personales: cualquier incidente que provoque la pérdida, destrucción, alteración, comunicación o acceso no autorizados a datos personales. Un portátil robado, un correo al destinatario equivocado o un ransomware.
Transferencia internacional: envío de datos personales fuera del Espacio Económico Europeo. Solo es lícita con las garantías del Capítulo V del RGPD.
Marco de Privacidad de Datos UE-EE. UU.: decisión de adecuación de la Comisión Europea de 2023 que permite transferir datos a las empresas estadounidenses adheridas a ese marco.
Doble factor de autenticación (2FA): segunda comprobación, además de la contraseña, para entrar en una cuenta: un código en el móvil, una aplicación o una llave física.
Gestor de contraseñas: programa que guarda cifradas todas tus contraseñas y te permite usar una distinta y robusta en cada servicio.
Cifrado de disco: función del sistema (BitLocker, FileVault) que hace ilegible el contenido del ordenador para quien no tenga la clave.
Phishing: engaño por correo, SMS (smishing) o llamada (vishing) que suplanta a alguien de confianza para robarte claves o datos.
Ransomware: programa malicioso que cifra tus archivos y pide un rescate por devolvértelos, y que a menudo además se los lleva.
Infostealer: programa espía diseñado para robar contraseñas guardadas, cookies de sesión y ficheros sensibles del ordenador.
Alfabetización en IA: conocimientos y capacidades para usar la inteligencia artificial con criterio, entendiendo sus posibilidades y sus riesgos (art. 4 del Reglamento de IA).
¿Puedo usar una cuenta gratuita de Gmail o Hotmail para mi despacho?
No es lo recomendable. Las cuentas gratuitas están pensadas para particulares y se rigen por las condiciones generales del proveedor, no por un contrato de encargado del tratamiento como el que exige el art. 28.3 RGPD. Las versiones profesionales, como Google Workspace o Microsoft 365 para empresas, incorporan un acuerdo de tratamiento de datos, controles de administración y opciones de seguridad que permiten acreditar la diligencia que te pide la responsabilidad proactiva.
¿Es ilegal meter datos de clientes en ChatGPT o en Claude?
No es ilegal por sí mismo, pero hay que hacerlo con las mismas garantías que con cualquier otro proveedor: una versión profesional con acuerdo de tratamiento de datos, control de dónde se tratan y de si se usan para entrenar, y solo los datos imprescindibles para la tarea. Con categorías especiales, como la salud, la exigencia es mayor. La pregunta correcta no es «¿IA sí o no?», sino «¿con qué herramienta, con qué contrato y con qué datos?».
¿Qué tengo que hacer si me roban el portátil con datos de clientes?
Es una brecha de datos personales. Debes documentarla (art. 33.5 RGPD) y notificarla a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 RGPD). Si el riesgo es alto, también hay que comunicarlo a los afectados (art. 34). Si el disco estaba cifrado, esa comunicación a los afectados puede no ser necesaria, porque los datos son ininteligibles para quien los tenga (art. 34.3.a); la notificación a la AEPD se valora aparte.
¿Es seguro guardar las contraseñas en el navegador?
Es mejor que apuntarlas en un fichero, pero tiene dos debilidades: si el ordenador no tiene contraseña, cualquiera que lo abra accede a todas, y los programas espía conocidos como infostealers buscan precisamente las claves guardadas en los navegadores. Lo recomendable es un gestor de contraseñas, una contraseña distinta para cada servicio y el doble factor activado, que según la AEPD es la medida más eficaz frente al uso de credenciales comprometidas.
¿Dónde guardo los certificados digitales, míos y de mis clientes?
Nunca como fichero suelto en una carpeta y menos con la contraseña apuntada al lado. Lo mínimo es tenerlos instalados con una protección que pida la contraseña en cada uso, o en tarjeta o token. Y, siempre que sea posible, conviene trabajar con las autorizaciones y apoderamientos que ofrece cada administración en lugar de custodiar el certificado del cliente, porque un certificado robado permite actuar en su nombre.
¿Puedo hablar con mis clientes por WhatsApp?
Puedes, pero sabiendo dónde está el riesgo. Los mensajes viajan cifrados de extremo a extremo, pero los documentos acaban en tu móvil, en tu galería y en la copia de seguridad en la nube, que no va cifrada de extremo a extremo salvo que la actives. Lo prudente es separar el número del despacho del personal, desactivar la descarga automática de archivos, activar la copia cifrada y sacar del móvil la documentación en cuanto esté archivada en su sitio.
¿Estoy obligado a formarme en inteligencia artificial?
El art. 4 del Reglamento de Inteligencia Artificial, en la redacción dada por el Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio de 2026, obliga a proveedores y responsables del despliegue a adoptar «medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de quienes manejen la IA en su nombre. Un despacho que usa la IA en su trabajo es responsable del despliegue (art. 3.4). Es una obligación de medios: el propio artículo dice que no exige garantizar un nivel específico de alfabetización, pero sí haber puesto los medios para que quien la usa sepa hacerlo con criterio.
¿Qué multa me pueden poner por estos descuidos?
El RGPD prevé multas de hasta 10 millones de euros o, si se trata de una empresa, de hasta el 2 % de su volumen de negocio total anual global del ejercicio anterior, la cuantía que sea mayor, para infracciones como la falta de seguridad adecuada (art. 32) o el encargo sin contrato (art. 28) (art. 83.4). Para la vulneración de los principios del art. 5, del art. 9 o de las reglas sobre transferencias internacionales, el tope sube a 20 millones o el 4 % (art. 83.5). La LOPDGDD califica como graves, con prescripción a los dos años, la falta de medidas de seguridad adecuadas y el encargo sin contrato (art. 73.f y 73.k). Más allá de la multa, el daño de verdad es la confianza del cliente.
Fuentes y referencias
Reglamento (UE) 2016/679, General de Protección de Datos (arts. 4, 5, 9, 24, 28, 32, 33, 34, 44 a 49 y 83). EUR-Lex
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (arts. 5 y 73). BOE-A-2018-16673
Reglamento (UE) 2024/1689, de Inteligencia Artificial (art. 3.4, responsable del despliegue, y art. 4, alfabetización en IA). EUR-Lex
Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA), DOUE de 24 de julio de 2026. EUR-Lex
Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, sobre el Marco de Privacidad de Datos UE-EE. UU. EUR-Lex
Sentencia del Tribunal de Justicia de 16 de julio de 2020, asunto C-311/18, Data Protection Commissioner / Facebook Ireland y Schrems (Schrems II), ECLI:EU:C:2020:559. EUR-Lex
Sentencia del Tribunal General de 3 de septiembre de 2025, asunto T-553/23, Latombe / Comisión. CURIA
INCIBE. «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025», nota de prensa de 9 de febrero de 2026. incibe.es
INCIBE. Línea de Ayuda en Ciberseguridad 017. incibe.es
AEPD. «La AEPD recibió en 2025 más de 2.700 notificaciones de brechas de datos personales», nota de prensa de 23 de enero de 2026. aepd.es
Verizon. 2025 Data Breach Investigations Report (DBIR). verizon.com
La privacidad no empezó con la IA.
Empezó el día que abriste el despacho.
Si la IA te ha hecho mirar, aprovecha y mira TODO.
Y después, aprende a usarla. Que con conocimiento, el miedo se convierte en criterio.
Graduado Social colegiado nº 88 del Ilustre Colegio Oficial de Graduados Sociales de Lanzarote y asesor jurídico laboral en ejercicio en Áurea Laboral (Arrecife). Especialista en derecho del trabajo, Seguridad Social e inteligencia artificial aplicada al empleo. Creador de «IA para Despachos Laborales» y «El Juego de las RRLL» en YouTube.
