Qué información de tu negocio no deberías darle a una IA

En la mayoría de las empresas la IA no entró por una decisión de dirección. Entró porque alguien del equipo empezó a usarla para redactar correos, resumir juntas o entender un contrato, le funcionó, y se corrió la voz. Eso está bien y es señal de un equipo curioso. El problema es que nadie definió qué información se puede pegar en esas herramientas, y a estas alturas ya se pegó de todo.

Por qué importa aunque no manejes datos sensibles

Todos los negocios manejan información que no debería salir, aunque no lo parezca. La lista de clientes con sus consumos, la nómina, los márgenes por producto, los contratos con proveedores, los datos personales de los empleados. Nada de eso es secreto de Estado, pero en manos equivocadas cuesta dinero o cuesta una demanda.

La segunda razón es legal. En México la ley de protección de datos personales aplica a cualquier empresa que maneje datos de clientes o empleados, sin importar su tamaño. Que la información pase por una herramienta de un tercero no elimina tu responsabilidad sobre ella. Y la mayoría de las multas no vienen de un ataque sofisticado, sino de manejar datos sin cuidado y sin tenerlo documentado.

Lo que no conviene pegar en una herramienta pública

• Datos personales identificables de clientes o empleados: nombres completos con teléfono, dirección, RFC o CURP.
• Información financiera de la empresa: estados de cuenta, márgenes reales, nómina con nombres.
• Contratos vigentes con cláusulas de confidencialidad, sobre todo con clientes grandes.
• Credenciales, contraseñas, llaves de acceso o tokens de cualquier sistema.
• Bases de datos completas de clientes exportadas del CRM o del punto de venta.
• Información médica, legal o de menores, que tiene protección reforzada.

Una regla simple que cualquiera del equipo puede recordar: si no lo mandarías por correo a alguien fuera de la empresa sin pensarlo, no lo pegues en una herramienta pública de IA. Y si necesitas analizar algo sensible, quítale los identificadores primero. Un análisis de comportamiento de compra funciona igual de bien con cliente 1, cliente 2 y cliente 3 que con los nombres reales.

El riesgo casi nunca es la herramienta. Es que nadie le dijo al equipo dónde está la línea, entonces cada quien la puso donde le pareció.

La diferencia entre herramienta pública y sistema propio

Cuando la IA vive dentro de un sistema de la empresa, con acceso controlado y un acuerdo de tratamiento de datos, la conversación cambia. Ahí sí tiene sentido que conozca tu catálogo, tus precios, tu historial de clientes y tus procesos, porque ese es exactamente su trabajo y la información está bajo tus reglas. Lo que hay que evitar es la mezcla: usar herramientas personales gratuitas para procesar información que debería estar en un entorno controlado.

Esa distinción es lo primero que conviene enseñarle al equipo, y no requiere que nadie entienda cómo funciona un modelo por dentro. Es una regla de manejo de información, igual que las que ya existen para las llaves del local o para quién puede firmar un cheque. Una capacitación práctica en IA para el equipo suele resolver esto en una sesión.

Cómo dejarlo por escrito sin burocracia

No necesitas una política de veinte páginas. Una hoja basta: qué herramientas están aprobadas, qué tipo de información no se pega nunca, qué hacer si alguien tiene duda y a quién preguntarle. Compártela, explícala una vez y ponla donde el equipo la pueda ver. La mayor parte del riesgo desaparece con ese solo documento, porque el problema hoy no es mala intención sino ausencia de criterio compartido.