IA generativa en el trabajo: riesgos legales que las empresas suelen pasar por alto

Depende de la herramienta, del tipo de datos y de la información que se haya dado al cliente. Como regla general, cuando la herramienta es pública o gratuita y sus condiciones permiten reutilizar lo que se escribe para mejorar el modelo, no es prudente introducir datos de clientes.

Ejemplo cotidiano: un comercial pega en una IA pública el nombre, el email y el histórico de compras de un cliente para redactar una propuesta personalizada. Aunque no lo perciba así, está enviando datos personales a un tercero, con una finalidad y unas garantías que muy probablemente no ha explicado al cliente.

Si la empresa contrata una versión profesional o empresarial de esa misma herramienta, muchas de estas dudas mejoran: el proveedor suele comprometerse a no reutilizar los datos y a ofrecer garantías contractuales. Aun así, esto no exime de informar internamente y de revisar el contrato.

Los contratos con clientes suelen incluir cláusulas de confidencialidad que obligan a proteger la información recibida y, muchas veces, a no compartirla con terceros sin autorización. Un proveedor de IA es, jurídicamente, un tercero.

Ejemplo: un despacho de arquitectura sube a una IA los planos y el presupuesto de un proyecto para generar un resumen ejecutivo. Aunque el resultado sea útil, la empresa puede estar incumpliendo el acuerdo de confidencialidad con el promotor.

Antes de utilizar IA con información sensible, conviene revisar los NDA firmados y, si es necesario, informar al cliente o pedir su conformidad.

La empresa que utiliza el resultado. Si un chatbot dice a un cliente que un producto tiene una garantía que no tiene, si un texto legal generado por IA contiene errores relevantes o si un correo automatizado promete algo imposible, la responsabilidad frente al cliente es de la empresa que lo publica o lo envía, no de la herramienta.

Por eso las políticas internas suelen exigir revisión humana antes de publicar cualquier contenido con impacto externo, especialmente en materias sensibles: contratos, atención a reclamaciones, comunicaciones comerciales o información sobre productos y servicios.

Depende de las condiciones de la herramienta y del contenido concreto. La mayoría de plataformas conocidas permite el uso comercial de los resultados dentro de ciertos límites, pero cada una fija sus propias reglas. Además, algunos resultados pueden parecerse mucho a obras protegidas, marcas registradas o estilos identificables de artistas o profesionales concretos.

Ejemplo: una empresa utiliza una imagen generada por IA para su web y, sin saberlo, se parece mucho al logotipo de otra compañía. El problema no es la IA, es el resultado.

Antes de utilizar contenido generado por IA en campañas, packaging o material comercial, conviene comprobar las condiciones de uso de la herramienta y evitar imitaciones de marcas u obras conocidas.

Una política interna útil no tiene que ser larga. Suele incluir: qué herramientas están permitidas y en qué versión (por ejemplo, la versión de empresa y no la gratuita), qué tipo de información no se puede introducir nunca (datos de clientes, datos económicos internos, información sujeta a confidencialidad, código propietario), la obligación de revisar los resultados antes de utilizarlos externamente, cómo actuar si se detecta un error o una fuga de información, y quién es la persona de referencia dentro de la empresa para dudas.

A esta política se le acompaña una formación breve para el equipo. Sin formación, la política queda en el cajón.

Cuando se contrata una nueva herramienta con impacto real (revisar contrato, condiciones y garantías), cuando la IA se integra en un proceso que afecta a personas (selección de personal, evaluación, atención al cliente automatizada), cuando aparece un incidente (una fuga de información, un error grave, una reclamación), y cuando se lanza un producto o servicio que utiliza IA como parte del propio producto.

En el resto del uso cotidiano, lo relevante es que exista la política y que se cumpla.