Usar ChatGPT y otras IA en el despacho sin filtrar datos de vecinos

Son las ocho de la tarde y el administrador tiene que resumir un acta de tres horas. Copia el texto, lo pega en un asistente de inteligencia artificial y pide un resumen para el presidente. Funciona de maravilla. El acta incluía nombres, pisos, una deuda y un comentario sobre la salud de un vecino.

No es un caso raro, y no es malo usar IA: es una herramienta útil para redactar, ordenar y resumir. El problema es otro: lo que se pega en un servicio externo es una comunicación de datos a otra empresa. Lo que sigue explica cuándo es un problema, qué se puede hacer y cómo trabajar con IA sin filtrar datos de vecinos.

Por qué es una cuestión de protección de datos

Un texto con nombres, viviendas, deudas o incidencias contiene datos personales. Al introducirlo en un servicio de IA se comunica a su proveedor, que lo trata. Según el servicio y el plan contratado, ese proveedor puede conservar las conversaciones, usarlas para mejorar sus modelos o tratarlas en servidores fuera de la Unión Europea. Las condiciones cambian de un proveedor a otro y de un plan a otro, así que conviene leerlas antes y no darlas por supuestas.

Si el administrador es encargado del tratamiento, solo puede tratar los datos siguiendo las instrucciones de la comunidad. Y si recurre a otro proveedor para tratarlos, ese proveedor es subencargado y necesita autorización de la comunidad. Subencargados del tratamiento.

Lo que debería comprobar antes de usar una herramienta

• Contrato. Si el servicio va a tratar datos personales, el artículo 28 del RGPD (se abre en una ventana nueva) exige un contrato de encargado. Las versiones de pago para empresas suelen ofrecerlo; las gratuitas, en general, no. Compruébelo en las condiciones.
• Uso para entrenamiento. Verifique si el proveedor puede usar lo que usted escribe para entrenar sus modelos y si puede desactivarlo.
• Ubicación y transferencias. Si los datos salen del Espacio Económico Europeo, el capítulo V del RGPD exige una garantía que lo ampare. Pregunte dónde se tratan.
• Seguridad y accesos. Cuenta individual, doble factor y control sobre quién ve el historial.

Si no puede responder a alguna de estas cuatro preguntas, trate la herramienta como no autorizada para datos de vecinos.

Qué no debe ir nunca a una IA pública

Hay textos que no deberían salir del despacho en una herramienta sin garantías: actas con nombres, listados de morosos, grabaciones o transcripciones de juntas, correos con datos de salud, copias de documentos de identidad, cuentas bancarias y cualquier categoría especial de datos. Una vez pegado, no controla qué ocurre con ello.

La pregunta antes de pegar: ¿se lo diría a un desconocido que trabaja para otra empresa?

Cómo trabajar con IA sin datos personales

La salida habitual es trabajar con textos que ya no identifican a nadie. Tres técnicas, de más a menos fiable:

• Usar datos ficticios. Para redactar una plantilla de carta de reclamación, no hace falta un caso real. Escriba «Vecino A, vivienda X».
• Sustituir los datos antes de pegar. Cambie nombres por etiquetas, quite domicilios, importes exactos y fechas. Revise a mano: un detalle suelto puede bastar para reconocer al afectado.
• Pedir a la IA solo la estructura. Pregunte cómo organizar un acta o qué apartados debe llevar un orden del día, y rellene usted los datos.

Ojo con la anonimización: quitar el nombre no siempre basta. Si el texto dice «la propietaria del 2.º B, que cuida a su madre enferma», sigue siendo identificable para cualquiera de la comunidad.

Para qué sí sirve

• Redactar modelos de convocatoria, cartas o comunicados genéricos.
• Reformular un texto largo para que sea más claro.
• Explicar un concepto jurídico, para que usted lo verifique después.
• Preparar listados de comprobación y guiones de reunión.

Cuidado con lo que la IA devuelve

Un asistente puede producir un texto convincente y equivocado, también en materia legal: artículos mal citados, plazos incorrectos o resoluciones que no existen. No cite una norma o una resolución sin comprobarla en la fuente oficial, que para el RGPD es EUR-Lex (se abre en una ventana nueva) y para la AEPD, su web (se abre en una ventana nueva).

Tampoco delegue en una IA una decisión que afecte a una persona. El artículo 22 del RGPD limita las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre una persona o la afecten significativamente de modo similar. Que una IA proponga un borrador es una cosa; que decida a quién se reclama una deuda, otra muy distinta.

Una política interna de dos páginas

Lo más eficaz es escribir una norma breve para el despacho: qué herramientas están autorizadas, qué tipos de datos pueden usarse en ellas y cuáles no, y qué hacer si alguien ha pegado algo que no debía. Incluya en ella el compromiso de confidencialidad de los empleados. Empleados y confidencialidad.

Si se produce un error, trátelo como un posible incidente: documente qué se envió, valore el riesgo y decida si procede notificarlo. Qué hacer en 72 horas.

Cuando la IA habla con los vecinos

Si el despacho ofrece un asistente o chat a los vecinos, estos deben saber que hablan con una máquina. El Reglamento europeo de inteligencia artificial (Reglamento UE 2024/1689) exige que quien interactúa con un sistema de IA sea informado de ello, salvo que resulte evidente por el contexto. Esa obligación recae ante todo en quien desarrolla el sistema, pero conviene que el despacho que lo ofrece compruebe que se cumple y lo avise con claridad desde el primer mensaje.

En resumen

• Pegar datos de vecinos en una IA pública es comunicarlos a un tercero.
• Antes de usar una herramienta, compruebe contrato, entrenamiento, ubicación y seguridad.
• Trabaje con datos ficticios o anonimizados; revise que de verdad lo estén.
• Verifique todo lo que la IA diga sobre normativa y no le delegue decisiones sobre personas.

Si en su despacho ya se usa IA sin una norma escrita, el siguiente paso es redactarla y revisar con su equipo qué herramientas se están utilizando en la práctica.