Antes de empezar
Usar una herramienta de IA no elimina las obligaciones sobre datos personales. Una pyme debe pensar qué información necesita, con qué finalidad la trata y qué ocurre cuando la envía a un proveedor. Esta guía sirve para ordenar preguntas y reducir riesgos; no es asesoramiento legal ni acredita cumplimiento. Para decisiones concretas, consulta a tu profesional de privacidad y la documentación oficial de la AEPD.
El objetivo de esta sesión es evaluar un uso de IA con datos en una clínica local. Empieza por un caso sencillo y deja fuera cualquier decisión que no puedas comprobar. Necesitarás una ficha de datos verificados, acceso autorizado a la herramienta elegida y una persona que revise el resultado. Si todavía no tienes alguno de esos elementos, resuélvelo antes de publicar o activar un flujo.
1. Describe la finalidad antes de elegir herramienta
Escribe qué tarea quieres resolver y por qué necesita información. Redactar un texto público suele requerir datos del servicio, no de clientes. Analizar historiales o evaluar personas plantea cuestiones distintas. Evita adoptar una herramienta porque puede recibir documentos si no has definido el uso. Una finalidad concreta permite detectar información que no es necesaria.
2. Localiza datos personales y categorías delicadas
Busca nombres, contactos, documentos, imágenes, identificadores y detalles que permitan reconocer a alguien por combinación. En una clínica, extrema la prudencia con información de salud. También pueden existir datos de trabajadores o proveedores. No presupongas que un texto sin nombre está anonimizado. Si todavía se puede relacionar con una persona, la revisión debe tratarlo como potencialmente identificable.
3. Reduce o sustituye la información
Para probar un prompt, crea un ejemplo ficticio y marca que lo es. Para redactar una plantilla, utiliza campos como [nombre] o [referencia] sin rellenarlos. Elimina datos que no cambian el resultado. La minimización no consiste en reemplazar un nombre por iniciales y mantener toda la historia; consiste en preguntarse si la historia debe salir del sistema del negocio.
4. Examina al proveedor y sus condiciones
Consulta políticas, contrato, usos para entrenamiento, conservación, eliminación, subencargados y ubicación del tratamiento. No asumas que una opción de no entrenar resuelve todas las obligaciones. Guarda la documentación relevante para revisarla con tu asesor. Las condiciones de una cuenta personal pueden diferir de un servicio empresarial, y las opciones pueden cambiar con el tiempo.
5. Consulta base jurídica e información a las personas
La base jurídica depende de la finalidad y del contexto; una casilla no arregla cualquier uso. Revisa con un profesional qué información debe facilitarse, qué acuerdos corresponden y cómo atender derechos. Si grabas reuniones o usas imágenes, considera a quienes participan. No utilices el chatbot como sustituto de una revisión jurídica del tratamiento.
6. Evalúa riesgos y decisiones sobre personas
Piensa qué ocurriría si la respuesta es incorrecta, si se filtra un documento o si un resultado discrimina. Evita delegar decisiones relevantes sobre pacientes, empleados o clientes sin análisis adecuado. Consulta cuándo pueden corresponder evaluaciones y garantías adicionales. Una salida técnicamente posible no convierte el proceso en apropiado para tu actividad.
7. Crea reglas internas y control de acceso
Explica al equipo qué usos están aprobados y qué datos no deben introducirse. Define herramientas autorizadas, personas responsables y procedimiento para incidentes. Usa ejemplos concretos: plantilla de email sin datos frente a factura completa con identificadores. Revisa permisos y evita compartir cuentas personales. La formación debe permitir detener una tarea cuando aparezca información fuera del alcance previsto.
8. Documenta y vuelve a revisar
Conserva un registro práctico del uso autorizado, la documentación consultada y la persona responsable. Establece revisiones cuando cambie el proveedor o el proceso. Comprueba cómo borrar información y cómo atender consultas de personas afectadas. Usa las fuentes oficiales como referencia y actualiza las decisiones con apoyo profesional, sin convertir una lista de comprobación en un certificado de cumplimiento.
Ejemplo de trabajo
Ejemplo ficticio: una clínica quiere redactar mensajes generales sobre cómo preparar una primera visita. Puede trabajar con información pública y reglas del centro sin subir historias clínicas. Si quiere analizar citas o documentación de pacientes, la situación cambia: requiere evaluar el tratamiento, el proveedor, las garantías y las obligaciones aplicables con apoyo profesional. Eliminar un nombre no basta si el resto identifica a alguien.
Trabaja primero con este ejemplo y luego sustituye los datos del ejercicio por información pública de tu propio negocio. Conserva dos columnas en una nota: lo que has facilitado y lo que ha añadido la herramienta. Cualquier añadido debe poder justificarse. Si una frase no tiene fuente o aprobación, elimínala en vez de buscar una explicación para mantenerla. Así la revisión se centra en la utilidad y la exactitud.
Prompt para copiar y adaptar
Rellena los campos entre corchetes con información comprobada. Si no sabes un dato, escribe «pendiente de confirmar» y pide que quede fuera del texto publicable. Prueba primero en una conversación nueva para que las instrucciones antiguas no condicionen el borrador. Si la respuesta se desvía, corrige el contexto con precisión: explica qué dato inventó y solicita una nueva versión limitada a lo que aportaste.
Una ficha para llevar a tu asesor
Esta ficha ayuda a explicar el proyecto; no prueba cumplimiento. Si el uso cambia y necesita información sobre personas, vuelve a la revisión profesional antes de ejecutarlo. No reutilices una autorización para redacción de textos públicos como permiso general para analizar expedientes, grabaciones o datos de trabajadores.
Una revisión que puedas repetir
Antes de dar por terminado el trabajo, comprueba cuatro cosas: la información coincide con tu fuente de referencia; el tono encaja con el negocio; el siguiente paso es posible; y no aparecen datos personales innecesarios. Haz la revisión sobre el resultado final, no solo sobre el prompt. Una instrucción correcta puede producir una salida incorrecta, así que conserva siempre el criterio humano.
Pide a otra persona del equipo que lea o pruebe el resultado sin conocer la conversación con la IA. Si necesita una explicación adicional para entenderlo, mejora el contenido. Anota el cambio y su motivo en una ficha breve. En un equipo pequeño no hace falta un sistema complejo: basta con identificar quién revisó, qué versión se usó y qué quedó pendiente. Esto facilita volver atrás si detectas un error.
Qué hacer si el primer resultado no sirve
No añadas más instrucciones a ciegas. Localiza el problema: información ausente, formato incorrecto, tono poco natural o afirmación inventada. Para un dato ausente, consigue la fuente. Para un problema de formato, muestra un ejemplo de estructura. Para el tono, proporciona un texto propio revisado. Para una afirmación inventada, elimina el añadido y exige que se marque cualquier incertidumbre.
Si la herramienta sigue sin resolverlo de forma fiable, utiliza un procedimiento manual o reduce el alcance. Una pyme no necesita automatizar cada excepción. Conviene conservar una vía sencilla para parar y hablar con una persona. No publiques un resultado para amortizar el tiempo invertido: el coste de corregir una confusión con un cliente puede superar el de rehacer un borrador.
Cómo saber si te está ayudando
Elige una señal relacionada con evaluar un uso de IA con datos: menos correcciones, información más clara o mayor facilidad para completar la tarea. Registra cómo trabajabas antes y compara casos parecidos sin extraer conclusiones de un único intento. Si el resultado exige tanta revisión como hacerlo manualmente, ajusta el contexto o utiliza la IA únicamente en la parte donde aporta utilidad.
Guarda la plantilla aprobada con fecha y una explicación de cuándo usarla. Revísala cuando cambien servicios, horarios, condiciones o herramientas. No compartas cuentas ni claves para que otros puedan repetir el trabajo; utiliza los permisos adecuados. El propósito es crear un método que el equipo entienda y pueda mantener, con datos fiables y decisiones que sigan bajo control del negocio.
Preguntas frecuentes
¿Quitar el nombre convierte los datos en anónimos?
No necesariamente. Otros detalles pueden permitir identificar a la persona.
¿Una cuenta de pago garantiza cumplimiento?
No. Debes revisar el uso, las condiciones, las garantías y las obligaciones aplicables.
¿Esta guía sustituye a un asesor?
No. Es orientación general para preparar una revisión profesional, sin asesoramiento legal individual.
Fuentes y lectura relacionada
Recursos de la AEPD sobre protección de datos. Consulta la documentación oficial porque menús, límites y condiciones pueden cambiar. Esta guía ofrece un proceso editorial y operativo; los ejemplos son ficticios y no describen resultados obtenidos por clientes.
Antes de introducir información de personas, revisa también la guía de IA y privacidad y las condiciones de tu proveedor. Para elegir una herramienta, consulta el directorio por categorías.