Por Rafael Luque Ocaña

Un empleado pega datos de clientes en un chatbot: ¿es una violación de seguridad?

Cuándo es una violación de la seguridad de los datos personales, cuándo se notifica y qué hacer en las primeras 24 horas, en tres escenarios.

Este artículo es para quien dirige una pyme o lleva su protección de datos y acaba de enterarse de que alguien del equipo ha pegado datos de clientes en un chatbot de IA: un listado para ordenarlo, el correo de un cliente para reescribirlo, una hoja de pedidos para resumirla. La pregunta que llega a continuación es siempre la misma: ¿es una violación de la seguridad de los datos personales, y hay que notificarla? La respuesta depende del escenario, y la decisión tiene un plazo que empieza a correr cuando la empresa tiene constancia de lo ocurrido.

Lo que dice la definición

El RGPD define la violación de la seguridad de los datos personales en su Art. 4, punto 12: «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos».

La última parte es la que importa aquí. Para que haya violación no hace falta que se pierda ni se destruya nada: basta con que los datos se comuniquen a quien no estaba autorizado, o con que alguien no autorizado acceda a ellos. Pegar datos en un chatbot es comunicárselos al proveedor que lo opera. La pregunta útil, por tanto, no es «¿se ha perdido algo?», sino «¿estaba autorizada esa comunicación?».

Tres escenarios

Primero: la herramienta corporativa, con contrato. La empresa ha contratado el chatbot, lo tiene en su inventario y ha firmado con el proveedor el contrato de encargo del tratamiento que exige el Art. 28 del RGPD. Ese contrato estipula, entre otras cosas, que el encargado «tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable» (Art. 28.3.a). Si el empleado usa la herramienta para una tarea que la política de la empresa permite, los datos llegan a un encargado con contrato y para la finalidad prevista. En principio, no hay comunicación no autorizada, y por tanto no hay violación.

Segundo: la cuenta personal. El mismo empleado usa su cuenta gratuita de otro chatbot, sin ningún contrato entre la empresa y el proveedor. Los datos de clientes salen hacia un tercero con el que no hay relación de encargo ni instrucciones documentadas. Eso encaja en la «comunicación o acceso no autorizados» de la definición: puede ser una violación de la seguridad de los datos personales, y lo que queda por decidir es cuánto riesgo supone.

Tercero: la herramienta con contrato, usada para otra cosa. La empresa sí tiene contrato con el proveedor, pero para otro uso: el chatbot está autorizado para redactar textos comerciales, y el empleado pega datos de salud de clientes. Hay encargado y hay contrato, pero ese tratamiento queda fuera de las instrucciones documentadas. Si los datos han llegado a quien no debía acceder a ellos es una cuestión de hecho —qué permite el contrato, qué hace el proveedor con lo que recibe, quién puede verlo—, y la respuesta puede ser que sí. Mientras se aclara, conviene tratar el caso como una posible violación.

Notificar o no: dos umbrales distintos

Si hay violación, el RGPD separa dos decisiones, cada una con su umbral.

La primera es notificarla a la autoridad de control. El Art. 33.1 obliga a hacerlo «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas». El plazo corre desde que la empresa tiene constancia, y la excepción es la improbabilidad del riesgo, no la ausencia de daño. Si la notificación llega después de las 72 horas, el mismo apartado exige que vaya acompañada de los motivos del retraso.

La segunda es comunicarla a las personas afectadas. El Art. 34.1 la exige «cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas». El umbral es más alto: una violación puede obligar a notificar a la autoridad y no a informar a los clientes.

Ninguna de las dos se activa por el solo hecho de que haya un chatbot de por medio. Depende de qué datos eran, de cuántas personas, de lo que el proveedor hace con ellos y de si pueden borrarse. Por eso no hay una respuesta que valga para todos los casos, y conviene desconfiar de quien diga que esto se notifica «siempre» o «nunca».

Las primeras 24 horas

Seis acciones, en este orden:

  1. Contén. Pide a la persona que deje de usar la herramienta con esos datos y que borre la conversación si el servicio lo permite. No arregla lo que ya salió, pero evita que siga saliendo.
  2. Averigua qué salió. Qué datos, de cuántas personas, en qué herramienta, con qué cuenta y cuándo. Déjalo por escrito desde el principio.
  3. Lee las condiciones del servicio. Si el proveedor conserva las conversaciones, si las usa para entrenar sus modelos, dónde las trata y si hay un contrato de encargo con la empresa. Es lo que separa el primer escenario del segundo.
  4. Avisa a quien lleva la protección de datos, el delegado si lo tienes, y decide quién coordina.
  5. Documenta. El Art. 33.5 obliga al responsable a documentar «cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas». Vale para todas, se notifiquen o no, y es lo que permite después a la autoridad verificar lo que hiciste.
  6. Decide y deja escrito por qué. Con todo lo anterior, valora si es improbable que haya riesgo (Art. 33.1) y si es probable un alto riesgo (Art. 34.1), y registra la decisión con su motivo, en un sentido o en otro. El plazo de 72 horas no espera a que la investigación esté completa.

Lo que evita el siguiente caso

Lo que separa el primer escenario del segundo no se decide el día del incidente: se decide antes. Una empresa que sabe qué herramientas de IA usa, con qué contrato y para qué, parte del primer escenario. Por eso el inventario es el cimiento de todo lo demás, y por eso una hoja de cálculo deja de servir cuando hay que demostrar desde cuándo consta cada herramienta.

La otra mitad es la formación. El Art. 4 del AI Act, en la redacción del Reglamento (UE) 2026/1744, dice que los proveedores y los responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Es una obligación de medios: la propia norma aclara que no exige garantizar un nivel concreto de alfabetización de «ninguna persona en particular». Que la plantilla sepa qué datos no deben entrar en un chatbot es una medida de ese tipo, y nuestra lista de comprobación del Art. 4 ayuda a ordenarlas. El resto del problema, de dónde sale la IA que nadie ha registrado, lo recoge la página sobre shadow AI.

Y si el proveedor va a tratar datos personales por cuenta de la empresa, el contrato de encargo es lo que convierte el segundo escenario en el primero. Conviene revisarlo con las preguntas que un proveedor de IA debería poder contestar por escrito.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.

Preguntas frecuentes

¿Hay que notificar si no hubo daño?

No siempre, pero la pregunta no es esa. El Art. 33.1 del RGPD obliga a notificar a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas desde que se tiene constancia, a menos que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas. Lo que decide es la improbabilidad del riesgo, no la ausencia de daño. Y se notifique o no, la violación se documenta (Art. 33.5).

¿Y si el chatbot no entrena con los datos?

Ayuda a valorar el riesgo, pero no decide si hubo violación. La definición del Art. 4.12 del RGPD incluye la comunicación o el acceso no autorizados: lo que importa es si los datos llegaron a un tercero sin autorización y con qué garantías los trata. Que el proveedor no entrene con ellos es un dato para la evaluación del Art. 33.1, no una excepción.

¿Qué evidencia demuestra que era uso no autorizado?

La que ya tuvieras antes del incidente: una política de uso que diga qué herramientas están autorizadas y con qué datos, el inventario donde figuran y el registro de que el empleado conocía la norma. Sin esos documentos es difícil sostener después qué uso estaba permitido.

Recibe análisis como este en tu correo

Novedades regulatorias y de producto de Alethexis. Sin ruido.

Acepto recibir comunicaciones de Alethexis: contenido sobre IA y regulación, y novedades de producto. Puedo darme de baja en cualquier momento.

Responsable: ALETHEXIS, S.L. (NIF B88758057). Finalidad: enviarte el boletín de Alethexis (contenido sobre IA y regulación, y novedades de producto). Base jurídica: tu consentimiento (Art. 6.1.a RGPD), que puedes retirar en cualquier momento. Conservación: hasta que te des de baja o 24 meses de inactividad. Derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad: [email protected]. Puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de control de tu Estado miembro (Art. 77 RGPD). Más información en la política de privacidad.