Subir documentos de empresa a ChatGPT: qué revisar antes

Que sea seguro subir un documento de empresa a ChatGPT, Gemini, Claude u otro asistente de IA depende de cuatro comprobaciones: si tu empresa permite ese uso, qué datos contiene el documento, desde qué plan y cuenta lo vas a subir y qué dicen las condiciones del proveedor sobre ese plan. Si alguna respuesta es «no lo sé», espera o usa una versión del documento sin datos reales. El mismo archivo puede recibir un tratamiento distinto en un plan personal y en uno de empresa.

Este artículo es orientación práctica y no sustituye el asesoramiento legal. Las condiciones de cada proveedor cambian, así que confirma en su página la versión vigente el día que decidas.

1. Mira qué dice tu política interna

Si tu empresa todavía no tiene una, escribe una versión mínima antes de seguir. Una página con esto es suficiente para empezar:

• Herramientas y cuentas autorizadas.
• Datos que no se introducen nunca.
• Quién decide en caso de duda.
• Quién revisa lo que se envía a un cliente o se usa para decidir.

La AEPD incluye la falta de gobernanza y de políticas en la organización, y la falta de una política de acceso a los datos, entre las amenazas que identifica para los sistemas de IA agéntica. Sus orientaciones se centran en ese tipo de sistemas, aunque el criterio de tener decidido quién accede a qué sirve también para un asistente.

En su decálogo de enero de 2026, la AEPD aconseja no compartir con la IA datos personales como nombre completo, dirección, teléfono, DNI/NIE o imágenes de personas. En el trabajo, pide seguir las políticas de cada organización y no incluir datos confidenciales de la entidad, de su personal o de sus clientes.

2. Clasifica el documento por lo que contiene

Mira el contenido y olvida el nombre del archivo: un simple Excel de ventas puede llevar datos de clientes en una columna oculta. Esta clasificación es una propuesta de trabajo que cada empresa debe ajustar con su asesoría.

Tipo de contenido	Ejemplos	Criterio de partida
Público	Tu web, catálogos publicados	Se puede usar, en cualquier cuenta
Interno sin datos personales	Procedimientos, plantillas vacías	Solo en cuentas de empresa autorizadas
Confidencial de negocio	Precios de coste, ofertas, contratos con terceros	Revisar antes el plan y lo pactado con el tercero
Datos personales	Nombres, correos, currículos, datos de clientes	Solo con decisión expresa de la empresa y base revisada, o eliminándolos antes
Datos especialmente sensibles	Salud, nóminas, expedientes disciplinarios	Fuera, salvo análisis específico con asesoramiento

Cómo limpiar un documento antes de subirlo

Sustituye nombres y contactos por etiquetas como «Cliente A», y borra lo que la tarea no necesita. Muchas veces basta con un fragmento en lugar del archivo completo. Antes de subirlo, revisa también pestañas ocultas, comentarios, control de cambios y propiedades del archivo. Ten en cuenta que quitar el nombre puede no bastar para que el dato deje de ser personal, si la persona aún se puede identificar por el contexto.

3. Comprueba desde qué plan y qué cuenta trabajas

Lo primero que tienes que saber es si el proveedor puede usar ese contenido para mejorar o entrenar sus modelos, y si puedes controlarlo. Este es el punto de partida en tres de los proveedores más conocidos:

Herramienta	Planes personales	Planes de empresa
ChatGPT	OpenAI explica en su centro de ayuda cómo se usan los datos para mejorar los modelos y qué controles hay. Comprueba en los ajustes de cada cuenta cómo está	Las condiciones de los planes de empresa son distintas. Confírmalas en la misma página para tu plan
Claude	En Free, Pro y Max depende de un ajuste; si lo permites, la conservación se amplía a cinco años, y si no, se mantiene en 30 días	En Team y Enterprise, por defecto no se usan entradas ni salidas para entrenar, salvo que envíes valoraciones o lo autorices
Gemini	En cuentas personales, un subconjunto de chats lo revisan personas y Google pide no introducir información confidencial que no querrías que viera un revisor; se controla con el ajuste Keep Activity	En Google Workspace, Google indica que no usa datos del cliente para entrenar modelos sin su permiso o instrucción previos

Tres matices antes de sacar conclusiones:

• Que un proveedor no entrene con tus datos no significa que no los conserve, ni que cualquier uso de datos personales sea correcto. Son preguntas distintas.
• Pulsar el botón de valoración puede cambiar lo anterior. Anthropic lo indica para sus planes de empresa, y conviene comprobarlo también en los demás proveedores.
• Una empresa con plan de pago puede tener empleados usando su cuenta personal desde el mismo ordenador. Compruébalo, porque ahí no te protege lo que hayas contratado.

4. Lee las condiciones de tu plan concreto

La tabla anterior solo responde a la pregunta del entrenamiento. Antes de autorizar documentos con datos de empresa, busca respuesta a estas preguntas en la documentación de tu plan:

• ¿Cuánto tiempo se conservan los archivos y las conversaciones, y quién puede borrarlos?
• ¿Quién de mi organización puede ver lo que suben otros?
• ¿Dónde se tratan los datos? ¿Puedo elegirlo?
• Si hay datos personales, ¿el proveedor ofrece un contrato de encargo de tratamiento para este plan?
• ¿Hay funciones de memoria o de conexión a correo y carpetas? ¿Están activadas?
• ¿Qué puede ver el proveedor en caso de revisión por seguridad?

Si no encuentras la respuesta en la documentación pública, pídela por escrito al proveedor o a tu asesoría. Y si tu documento contiene información de un tercero, revisa también si tu contrato con ese tercero te permite compartirla.

Con agentes o herramientas conectadas la exposición es mayor, porque el sistema puede alcanzar datos que nadie le ha pegado expresamente. Lo tratamos en asistente o agente de IA: qué necesita tu equipo.

Lista rápida para pegar junto al ordenador

Antes de subir un archivo:

1. ¿Estoy en la cuenta de empresa autorizada?
2. ¿Sé qué contiene, incluidas las pestañas ocultas y los comentarios?
3. ¿Hay datos de personas? ¿Puedo quitarlos o usar un fragmento?
4. ¿Tengo permiso para compartir esta información?
5. Si me equivoco, ¿a quién se lo digo?

Define a quién se avisa si alguien sube lo que no debía, para que esa persona pueda comunicarlo cuanto antes sin miedo a represalias.

Cómo lo llevamos a la formación

En nuestra formación presencial en IA para empresas comprobamos las funciones y condiciones de los planes que tu empresa va a usar, y se practica solo con documentos autorizados. Puedes ver cómo prepararlos en qué necesita una empresa antes de una formación presencial en IA, y la política de la que hablamos arriba es uno de los documentos que deja una formación organizada por puestos. Nuestra ayuda es práctica y no sustituye el asesoramiento legal ni garantiza el cumplimiento.

Si quieres revisarlo con tu equipo, escríbenos e indícanos qué herramientas usáis. El precio de la formación se consulta según el programa.