Actualidad IA generativa · Confidencialidad
Prompts con datos personales: el riesgo RGPD que la AEPD destaca en 2026
Un prompt puede contener datos personales, información confidencial o secretos empresariales. La AEPD analiza este perímetro de riesgo y ofrece una alerta muy práctica para las organizaciones.
La conversación sobre IA generativa suele centrarse en la respuesta del modelo. Sin embargo, el riesgo puede aparecer antes: en el texto, archivo o instrucción que una persona introduce en la herramienta. La AEPD LAB publicó el 25 de agosto de 2026 un análisis específico sobre prompts, datos personales y confidencialidad.
Por qué el prompt forma parte del análisis
Un prompt puede incluir nombres, teléfonos, identificadores, datos de clientes, información laboral, documentación financiera o material sujeto a secreto profesional. Aunque el usuario lo considere una consulta puntual, el envío puede implicar un tratamiento y una comunicación a un proveedor externo.
Entrada
Identificar si el prompt contiene datos personales, categorías especiales, información confidencial o secretos de negocio.
Proveedor
Revisar condiciones de uso, ubicación, subencargados, retención, entrenamiento y controles de acceso.
Salida
Validar la respuesta, evitar decisiones automáticas no revisadas y conservar solo lo necesario.
Medidas inmediatas para dirección
- Crear una regla clara de usos permitidos, restringidos y prohibidos.
- Proporcionar herramientas corporativas aprobadas y bloquear usos no autorizados cuando sea razonable.
- Formar al personal con ejemplos reales de prompts que no deben utilizarse.
- Aplicar anonimización o eliminación de identificadores cuando la finalidad lo permita.
- Establecer un canal para reportar envíos accidentales y valorar si existe una brecha de seguridad.
- Revisar contratos y configuraciones del proveedor, incluida la opción de no utilizar entradas para entrenamiento.
Anonimizar no es sustituir el nombre
Cambiar “María García” por “cliente 1” puede no ser suficiente si permanecen fechas, cargos, importes, localizaciones o una combinación de detalles que permite reidentificar a la persona. La empresa debe analizar el conjunto de información y el contexto de acceso.
Relación con el DPO y la seguridad
El DPO o responsable de privacidad debe participar en el diseño de la política, el inventario de herramientas y la evaluación de proveedores. Seguridad debe cubrir accesos, registros, configuración, cifrado, prevención de fugas y respuesta a incidentes. La coordinación evita que la política sea solo una prohibición genérica imposible de aplicar.
Una política que sí se puede cumplir
Una buena política responde a preguntas cotidianas: qué herramienta puede usar cada equipo, qué campos se deben eliminar, qué documentos no se pueden cargar, quién aprueba nuevos casos de uso y qué hacer si ya se envió información. Debe estar acompañada de formación, controles y revisión periódica.
Preguntas frecuentes
¿Todo prompt contiene datos personales?
No. Depende del contenido y de si la información permite identificar directa o indirectamente a una persona. También puede existir riesgo de confidencialidad aunque no haya datos personales.
¿Es suficiente usar una cuenta empresarial?
No por sí sola. Hay que revisar configuración, contrato, retención, accesos, subproveedores y usos posteriores de las entradas.
¿Un envío accidental es siempre una brecha?
Debe analizarse el riesgo para las personas, el destinatario, el contenido y las medidas aplicadas. La organización debe contar con un procedimiento de valoración y respuesta.
Consulta el análisis de la AEPD LAB, publicado el 25 de agosto de 2026.
Las referencias se han comprobado el 2 de septiembre de 2026. La normativa y los criterios administrativos pueden cambiar; conviene revisar el caso concreto antes de tomar decisiones.
¿Quieres revisar tu caso?
ScandoUp ayuda a convertir el uso de IA generativa en un proceso gobernado: herramientas, contratos, formación, privacidad y respuesta a incidentes.