Qué datos de clientes no debes pegar en una IA

Qué te llevas

Distingue los casos ficticios de los datos que necesitan garantías antes de entrar en una herramienta de IA.
Comprueba si una combinación de detalles puede identificar a un cliente aunque hayas quitado su nombre.
Compara las condiciones de las cuentas personales y profesionales sin confundir entrenamiento con confidencialidad.
Prepara una instrucción útil para redactar sobre un siniestro sin copiar el expediente.

Llega un parte de siniestro de Hogar, tienes varias gestiones pendientes y piensas: «Si pego esto en una IA, me prepara la respuesta al cliente en un momento». El texto contiene su dirección, la fecha del daño y el relato de lo ocurrido. Quizá también una fotografía o un informe médico de alguien que se lesionó.

La utilidad de la herramienta es clara. La pregunta previa es qué necesita saber para ayudarte. En este artículo encontrarás un semáforo para decidir qué compartir, un ejemplo para rehacer un relato y las comprobaciones que conviene hacer antes de usar una cuenta profesional. Es información general: los casos concretos pueden requerir asesoramiento especializado.

La AEPD recomienda en su decálogo no introducir datos personales, sensibles o profesionales en herramientas de IA, respetar la privacidad de terceros, revisar las condiciones y contrastar las respuestas. Es una recomendación práctica; las obligaciones concretas proceden de la normativa aplicable.

El semáforo antes de pegar nada

Nivel	Qué puede entrar	Decisión práctica
Rojo	Expedientes reales, DNI, datos financieros, diagnósticos o partes médicos en una cuenta personal no autorizada.	No los pegues. Prepara una consulta ficticia o usa el procedimiento autorizado por tu organización.
Ámbar	Datos identificables o seudonimizados que sean necesarios para una tarea concreta.	Solo en una herramienta aprobada y tras evaluar finalidad, bases jurídicas, contrato, seguridad y posibles transferencias.
Verde	Casos ficticios e información realmente anonimizada, sin personas identificables razonablemente.	Úsalos tras revisar también que no revelan información comercial confidencial.

El semáforo sirve para frenar antes de compartir, no sustituye una evaluación legal. El verde se refiere a datos personales: una tabla anónima con condiciones comerciales reservadas puede seguir siendo confidencial. Y el ámbar no significa que baste con contratar un plan de pago.

Por ejemplo, para preparar una comunicación sobre una renovación de Comercio, la IA puede proponer una estructura sin conocer el nombre del negocio, su dirección ni su prima. Después, redactas y envías el mensaje definitivo desde los canales autorizados, con los datos que necesites incorporar allí.

Quitar el nombre no siempre anonimiza

Una póliza sin nombre puede seguir apuntando a una persona. La matrícula, la dirección, una fecha precisa, la profesión o una combinación poco habitual de daños pueden permitir reconocerla. Esto afecta también a terceros: un conductor contrario, un empleado de un comercio o una persona perjudicada pueden aparecer en el mismo expediente.

El RGPD distingue, en su artículo 4.5 y su considerando 26, la seudonimización de la anonimización. Sustituir el nombre por un código y conservar la tabla que permite recuperarlo es seudonimizar; los datos siguen siendo personales. Para hablar de información anónima, hay que valorar si alguien puede identificar razonablemente a la persona, teniendo en cuenta el contexto y los medios que podrían utilizarse.

Antes de enviar una consulta, revisa tanto el texto como los archivos adjuntos, imágenes y nombres de archivo. Pregúntate si un compañero, un proveedor o alguien que conozca la localidad podría reconocer el caso al combinar las pistas. Si tienes dudas, elimina más detalles o parte de un caso inventado. Cambiar un dato aislado no garantiza por sí solo el anonimato.

Tampoco basta con pedirle a la propia IA que anonimice un documento: para hacerlo ya habrías compartido el documento. La revisión debe ocurrir antes, dentro del entorno y los procedimientos autorizados.

Un siniestro reescrito para pedir ayuda

Imagina una correduría que quiere explicar los siguientes pasos tras un daño por agua en Hogar. El expediente contiene datos del asegurado, la vivienda, el día exacto, fotografías y comunicaciones con terceros. En lugar de copiarlo, el equipo puede construir una petición ficticia desde cero:

Supuesto práctico ficticio elaborado con fines didácticos. Los datos, organizaciones y resultados son ilustrativos y no representan a una correduría real ni constituyen un benchmark sectorial.

Redacta un mensaje claro para una persona que ha comunicado un posible daño por agua en su vivienda. Explica que debe conservar la documentación disponible y que revisaremos con la aseguradora los próximos pasos. No prometas cobertura ni plazos. Usa un tono cercano y deja espacios para añadir después los datos necesarios en nuestro canal de trabajo autorizado.

La petición conserva la tarea —explicar el proceso— y prescinde de la identidad, la ubicación y los detalles singulares. No necesita un diagnóstico ni una fotografía. Antes de usar la respuesta, comprueba que encaja con la póliza, el estado real del expediente y las instrucciones de la aseguradora. Una plantilla convincente puede incluir pasos que no correspondan a ese siniestro.

Si necesitas que la herramienta analice un documento real, por ejemplo para resumir un condicionado, la decisión ya no es la misma: identifica qué fragmento es imprescindible y sigue el circuito aprobado para datos personales. La comodidad de adjuntar todo el expediente no justifica compartir información que no hace falta.

Salud: una precaución adicional

En Salud o Vida Riesgo, una petición aparentemente administrativa puede incluir síntomas, tratamientos o resultados de pruebas. Los datos de salud tienen una protección especial. Los artículos 6 y 9 del RGPD exigen, respectivamente, una base jurídica para el tratamiento y una excepción aplicable a la prohibición general de tratar categorías especiales; entre las excepciones figura, bajo sus condiciones, el consentimiento explícito para fines específicos.

La disposición adicional 17.ª de la LOPDGDD contempla tratamientos regulados por la Ley 20/2015. Su artículo 99.2 prevé que las entidades aseguradoras traten sin consentimiento datos de salud imprescindibles en determinados supuestos de asistencia o indemnización. Eso no autoriza de forma indiscriminada a cualquier mediador a incorporar un parte médico a cualquier servicio de IA.

Para una consulta sobre cómo comunicar la recepción de documentación de Salud, pide una plantilla general sin datos clínicos. Si el proceso exige tratar información real, repasa antes el RGPD en un formulario de presupuesto de Salud y consulta con la persona responsable de protección de datos o con un especialista antes de elegir herramienta y procedimiento. El análisis debe atender a quién trata los datos, para qué y bajo qué condiciones.

Qué cambia entre una cuenta personal y una profesional

Las condiciones y funciones cambian. La tabla recoge lo indicado en la documentación enlazada, pero debes revisar la versión vigente, el contrato y la configuración de la cuenta concreta antes de decidir. Las condiciones empresariales tampoco convierten automáticamente cualquier uso en adecuado.

Servicio	Uso de contenido para entrenamiento según el proveedor	Qué revisar antes de trabajar
ChatGPT Free, Plus y Pro	El contenido puede usarse para entrenar; se puede desactivar «Mejorar el modelo para todos». Si envías valoración, la conversación asociada puede utilizarse aunque lo hayas desactivado.	Una cuenta personal no es un lugar autorizado por defecto para expedientes. Revisa controles, conservación y normas internas.
ChatGPT Business y Enterprise	OpenAI indica que no entrena sus modelos con esos datos por defecto. Ofrece un anexo de tratamiento de datos.	Confirma contrato aplicable, usuarios, accesos, conservación y transferencias.
Microsoft 365 Copilot	Según la documentación facilitada, las instrucciones, respuestas y datos de Microsoft Graph no entrenan los modelos base.	Comprueba el acuerdo empresarial y los permisos sobre documentos; las búsquedas en Bing tienen un tratamiento diferenciado.
Gemini para consumo	Google puede utilizar conversaciones para mejorar sus servicios de IA. Al desactivar «Guardar actividad», si no envías comentarios, los chats futuros no se usan para mejorar sus modelos de IA y se conservan con la cuenta durante 72 horas. Google contempla revisión humana por seguridad y otros plazos de conservación para determinados datos.	Revisa la configuración y no uses una cuenta personal no autorizada para datos de cartera.
Gemini en Google Workspace	Google indica que no entrena sin permiso o instrucciones del cliente; dispone de condiciones de tratamiento y controles de administración.	Confirma edición, contrato, funciones activadas y permisos efectivos de cada usuario.

Que el proveedor no entrene con el contenido resuelve solo una parte de la pregunta. Hay que saber también quién puede acceder, cuánto se conserva, qué servicios conectados reciben información y qué sucede cuando se elimina. En un equipo que gestiona Flotas, por ejemplo, los permisos de una carpeta compartida pueden importar tanto como el ajuste de entrenamiento.

Las comprobaciones que necesita una herramienta aprobada

Antes de incorporar datos identificables, concreta el trabajo. ¿La IA va a ordenar un texto, resumir documentación o ayudar a preparar una comunicación? ¿Necesita datos personales para esa finalidad? Reducir la información compartida facilita tanto la revisión como la defensa de cartera: evita que una tarea rutinaria arrastre datos ajenos al encargo.

Cuando el proveedor actúe como encargado del tratamiento, el artículo 28 del RGPD exige un contrato y garantías apropiadas. Si hay transferencias fuera del Espacio Económico Europeo, hay que revisar el capítulo V del mismo reglamento: según el caso, una decisión de adecuación u otras garantías aplicables, como cláusulas contractuales tipo, y medidas adicionales cuando procedan. Pide ayuda especializada para determinar cómo se aplica al servicio concreto.

Revisa además las personas autorizadas, las cuentas compartidas, la conservación, la eliminación y las incidencias. Documenta quién aprueba cada uso y cómo se revisa. En RC Profesional, por ejemplo, un escrito puede incluir datos del asegurado y del reclamante: no basta con que el primer cliente haya enviado el documento para dar por resuelta la situación de todos los afectados.

La LOPDGDD establece un deber de confidencialidad en su artículo 5, que continúa después de terminar la relación. Esto no debe confundirse con presentar el secreto del artículo 127 de la Ley 20/2015, al que remite el artículo 188.3 del Real Decreto-ley 3/2020, como una prohibición general de comunicar cualquier información a proveedores: su contexto es la información reservada de supervisión.

Adapta el procedimiento a tu forma de mediación

Si eres agente exclusivo, revisa las herramientas, instrucciones y restricciones de marca de tu aseguradora antes de preparar comunicaciones o cargar información. Una plantilla para Decesos puede ser útil, pero debe respetar el procedimiento y la comunicación comercial autorizados. Si eres corredor, tendrás que coordinar tus propios controles y los que correspondan en tus relaciones con aseguradoras y proveedores. Los artículos 203 y 204 del Real Decreto-ley 3/2020 regulan los roles y límites del tratamiento de datos: el agente actúa como encargado de la aseguradora con la que tiene contrato de agencia y el corredor como responsable respecto de los datos de quienes acuden a él. Cuando el agente recurra a un subencargado, necesita la autorización previa por escrito, específica o general, del responsable, conforme al artículo 28.2 del RGPD.

En ambos casos conviene separar la generación del texto de la decisión profesional. Una IA puede ayudarte a ordenar preguntas para una revisión de Ahorro o a preparar una explicación genérica sobre suplementos de Comercio. No conoce por eso las necesidades del cliente, las condiciones contratadas ni si una propuesta de venta cruzada es apropiada. Comprueba esos extremos antes de comunicar nada.

Una rutina breve para el equipo

Define la tarea sin abrir el expediente en la herramienta: qué respuesta necesitas y para quién.
Comprueba si puedes resolverla con una situación ficticia o con una instrucción general. Si usas información anonimizada, revisa las combinaciones de detalles y la confidencialidad comercial.
Si necesitas datos personales, detente hasta confirmar que el uso, la herramienta y las garantías están aprobados. No traslades el expediente completo por comodidad.
Revisa la respuesta frente a la póliza y el estado del caso dentro del entorno autorizado. Corrige promesas de cobertura, plazos o prestaciones que no puedas sostener.
Comparte la versión final por el canal correspondiente y conserva la documentación según el procedimiento de tu organización.

La prueba más útil antes de pulsar enviar es sencilla: si eliminas un dato de la instrucción y la tarea sigue siendo posible, probablemente no necesitabas compartirlo. Empieza por ahí y reserva los expedientes reales para los procesos que hayan sido evaluados y autorizados. Para ordenar estas decisiones en equipo, consulta la política de uso de IA en la correduría.

Preguntas frecuentes

¿Puedo pegar una póliza si elimino el nombre del cliente?

No necesariamente. La matrícula, la dirección y otros detalles pueden seguir identificándolo. Revisa el contenido completo y utiliza solo información realmente anónima o una herramienta autorizada con las garantías correspondientes.

¿Desactivar el entrenamiento permite introducir datos de clientes?

No por sí solo. También hay que revisar finalidad, base jurídica, contrato, seguridad, conservación y posibles transferencias internacionales.

¿Puedo usar un parte médico para pedir un resumen a la IA?

No lo pegues en una cuenta personal no autorizada. Un tratamiento de datos de salud requiere una base del artículo 6 y una excepción del artículo 9 del RGPD, además de las demás garantías aplicables.