Qué datos nunca debes pegar en una herramienta de IA

La pregunta correcta no es “¿esta IA es segura?”. Es “¿esta cuenta, configuración y contrato son adecuados para este dato y esta tarea?”. Una herramienta puede tener buenos controles y aun así no ser el lugar autorizado para información bancaria o expedientes. Mientras tu empresa hace esa evaluación, aplica una regla sencilla: no pegues secretos, identificadores ni conjuntos de datos reales en una cuenta personal o en un asistente general. Usa información pública, ejemplos ficticios o versiones reducidas.

1. Secretos que abren sistemas o dinero

No existe una razón válida para pedir a una IA que “revise” una contraseña real. Si necesitas ayuda con una configuración, reemplaza el secreto por `EJEMPLO_NO_REAL` y conserva solo la estructura indispensable. Si un secreto se compartió, trátalo como expuesto: revócalo o rótalo desde el sistema oficial, revisa registros y avisa al responsable. Borrar la conversación no siempre revierte copias, registros o accesos que ya ocurrieron.

2. Datos que identifican o describen personas

Evita nombres completos unidos a teléfono, correo, domicilio, CURP, RFC, identificación, ubicación, salario, salud, desempeño, historial de compra o deuda. Un dato aislado puede parecer inofensivo; varios juntos identifican a alguien. La ley mexicana establece obligaciones para particulares que tratan datos personales. El detalle depende del caso y merece revisión legal, pero la práctica técnica es clara: define finalidad, minimiza datos, restringe acceso y no reutilices información porque “ya la tenías”.

3. Secretos del negocio y de terceros

No compartas contratos completos, listas de precio no públicas, diseños, código privado, estrategia, licitaciones, nómina o información recibida bajo confidencialidad sin autorización y revisión. Que tu empresa sea dueña de un archivo no significa que cualquier empleado pueda llevarlo a cualquier proveedor. También debes proteger datos de clientes, socios y proveedores. Para resumir un contrato, una opción es extraer una cláusula sin nombres, firmas, cuentas ni anexos; para un análisis real, utiliza un entorno aprobado y define quién puede acceder.

4. Anonimizar no es solo borrar el nombre

Una persona puede reconocerse por combinación de puesto, ciudad, edad, fecha y evento. Para una prueba, crea datos sintéticos: inventados, pero con formatos y casos parecidos. Si necesitas estadísticas, agrupa montos y periodos, elimina filas raras que revelan identidad y comparte la menor muestra posible. Después revisa si alguien con conocimiento interno podría reconstruir al individuo. Para conjuntos sensibles o grandes, pide apoyo especializado en privacidad.

1. Escribe el objetivo exacto de la tarea.
2. Elimina columnas que no cambian el resultado.
3. Sustituye identificadores por valores ficticios no reversibles.
4. Agrupa fechas, ubicaciones y montos cuando sea suficiente.
5. Prueba con pocas filas y revisa la salida.
6. Borra el archivo temporal conforme a la política.

5. Qué hacer si alguien ya compartió información

No culpes ni ocultes. Detén el uso, conserva los datos necesarios para entender el incidente y avisa al responsable de seguridad o privacidad. Identifica herramienta, cuenta, fecha, contenido, destinatarios e integraciones. Rota secretos de inmediato. Para datos personales o contractuales, evalúa obligaciones con asesoría competente. Revisa configuraciones y elimina contenido cuando sea posible, pero no supongas que eso cierra el caso. Termina corrigiendo el proceso: una herramienta autorizada, ejemplos seguros y un canal para preguntar antes de pegar.

Configura protecciones además de capacitar. Restringe extensiones y aplicaciones no autorizadas cuando sea apropiado. Usa prevención de pérdida de datos, etiquetas y registros en entornos que lo soporten. Limita conectores que dan acceso a todo Drive, correo o CRM. Revisa permisos de aplicaciones de terceros. Ningún filtro es perfecto; combina técnica, política y alternativas útiles. Si bloqueas una herramienta, explica cómo resolver la tarea de forma autorizada.

Crea un catálogo con nombre de herramienta, plan, propietario, datos permitidos, fecha de revisión y procedimiento de baja. Una app gratuita usada por dos personas también entra. Trimestralmente elimina cuentas sin dueño, rota secretos y confirma condiciones. Los equipos deben consultar el catálogo antes de probar un complemento. Un proceso ligero reduce la “IA sombra” sin detener experimentación.

Añade esta revisión a compras y proyectos. Antes de contratar una herramienta, el área solicitante describe datos y finalidad. Tecnología, seguridad o privacidad evalúan según riesgo. Un piloto no queda exento por ser pequeño. Empieza sin datos reales y amplía solo con una decisión documentada.