Usar ChatGPT en el trabajo sin incumplir la normativa

• Difusión involuntaria de información confidencial o datos personales al introducirlos en la IA.
• Generación de respuestas erróneas, inventadas o discriminatorias que pueden afectar a empleados o clientes.
• Exposición a incumplimientos normativos si la IA se usa de manera prohibida o sin la transparencia adecuada.
• Desconocimiento sobre cómo o dónde se almacenan y utilizan los datos introducidos en la herramienta, especialmente si proveen información sensible.
• Dificultad para identificar cuál es el rol legal de la empresa (usuario, responsable del despliegue, proveedor posterior, etc.).

Puntos críticos a tener en cuenta:

• Nunca introduzcas datos personales, de clientes o de empleados en prompts de IA generativa sin saber dónde y cómo se tratan esos datos.
• Si la IA procesa información sensible, puede que la empresa incurra en nuevas obligaciones como responsable o incluso proveedora del sistema.
• La transferencia de datos fuera de la UE es especialmente delicada y puede conllevar infringir normativa.
• El RGPD sigue siendo plenamente vigente y debe compatibilizarse con el Reglamento de IA (art. 1.4).

Obligaciones principales:

• Informar a empleados, clientes o terceros cuando interactúen con una IA, salvo que resulte evidente para una persona informada (art. 50.1).
• Etiquetar adecuadamente cualquier contenido (texto, imagen, audio o vídeo) generado o manipulado por la IA, para que sea reconocible por humanos y por máquinas (art. 50.2).
• Avisar expresamente si se usa IA para reconocimiento de emociones o categorización biométrica (art. 50.3).

Elementos clave que debe incluir:

• Ámbitos de uso permitidos y prohibidos para cada departamento y función.
• Normas para la introducción de datos y tratamiento de información personal o sensible.
• Protocolos de transparencia interna y externa: cómo informar a empleados, clientes y proveedores sobre la intervención de IA.
• Procedimientos de supervisión y revisión regular de los usos de IA en la empresa.
• Plan de formación (alfabetización) obligatorio en IA para el personal afectado, adaptado a roles, riesgos y contexto (art. 4).

Recomendaciones para un circuito de autorización:

• Validar si la herramienta cumple con las normas de transparencia, protección de datos, uso seguro y requisitos técnicos mínimos.
• Comprobar que no incurre en ninguna práctica prohibida (art. 5), especialmente en relación a manipulación, discriminación o vulneración de derechos.
• Definir criterios para el análisis de riesgos y segmentar si el sistema puede ser de alto riesgo según el anexo III (ámbito educativo, laboral, biométrico, etc.).
• Decidir quién asume cada rol (usuario, responsable del despliegue, posible proveedor posterior según el art. 25) para poder repartir obligaciones y responsabilidades.
• Establecer controles y seguimiento periódico, con posibilidad de dar marcha atrás en la autorización si surgen incidencias técnicas o legales.

Checklist para una implantación segura:

• Revisar si se está usando ChatGPT u otras IA generativas en algún proceso, quién las emplea y con qué datos.
• Designar responsables y fijar criterios claros para la validación y seguimiento de nuevas herramientas de IA.
• Elaborar o actualizar la política interna de IA incluyendo alfabetización, transparencia, uso de datos y canales de consulta.
• Formar de manera adaptada a todo el personal afectado: cada rol y riesgo requiere su nivel de alfabetización en IA (art. 4).
• Establecer registros de usos y decisiones relevantes sobre IA (basta con sistemas sencillos, pero deben existir evidencias del cumplimiento).
• Consultar fuentes oficiales y expertos antes de autorizar o modificar usos complejos o sensibles (como en recursos humanos, educación, biometría, etc.).