Un empleado ha metido datos personales en ChatGPT. ¿Y ahora qué hacemos?
Respuesta corta
Mantén la calma y actúa rápido. Averigua qué datos se han enviado, a qué servicio y con qué plan. Borra la conversación y desactiva el entrenamiento. Valora si es una violación de la seguridad de los datos personales: si es probable que suponga un riesgo para las personas, hay que notificarla a la AEPD en un plazo de 72 horas. Si el riesgo es alto, las personas afectadas también deben saberlo. Documenta siempre el incidente, aunque no haya que notificarlo, y aprende de él.
¿Qué cuenta al valorar el riesgo?
| Aumenta el riesgo | Reduce el riesgo |
|---|---|
| Datos sensibles, números de DNI, números de cuenta | Solo nombres y correos de trabajo |
| Muchas personas | Pocas personas |
| Plan gratuito con entrenamiento | Plan para empresas sin entrenamiento y con contrato |
| Los datos no se pueden borrar | La conversación está borrada |
Mejor prevenir
Con GoalCube, tu equipo puede usar la IA con datos reales, porque la IA solo ve códigos. Y si aun así un nombre aparece en la respuesta de la IA, el control de fugas de GoalCube lo detecta.
Cómo hacerlo
- Corta el envío de datos.Pide al empleado que pare y que guarde una captura de pantalla.
- Mide el alcance.Qué datos, cuántas personas, qué servicio y qué plan.
- Limita el daño.Borra la conversación, desactiva el entrenamiento y contacta con el proveedor si es posible.
- Valora el riesgo.Datos sensibles, números de DNI o muchas personas aumentan el riesgo.
- Notifica si hay riesgo.A la AEPD, en un plazo de 72 horas desde que tuviste constancia de la brecha.
- Documenta y aprende.Todas las brechas deben documentarse internamente. Actualiza la política y el curso.
Lo que dice la ley
- Art. 33 RGPD – notificación a la autoridad de control
- En un plazo de 72 horas, salvo que sea improbable que la brecha suponga un riesgo.
- Art. 34 RGPD – comunicación al interesado
- Cuando hay un alto riesgo para los derechos de las personas.
Preguntas y respuestas
¿Es siempre una brecha?
No siempre. Si los datos se enviaron a un plan para empresas con contrato de encargo del tratamiento, quizá sea un uso para otra finalidad más que una brecha. Valóralo caso por caso.
¿Cómo evitamos que vuelva a pasar?
Una buena alternativa: una herramienta aprobada en la que la IA solo ve seudónimos, para que no pase nada si el empleado usa datos reales.
Fuentes
Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.
Sé de los primeros.
Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.