Cómo proteger tu privacidad al usar herramientas de IA
Lo que escribes en un chatbot de IA es visible para la empresa que lo ofrece, y las consultas almacenadas en línea pueden ser objeto de hackeos, filtraciones o quedar accesibles públicamente por error (UK NCSC).
Qué recomiendan los reguladores y las agencias de ciberseguridad
- Mantén la información sensible fuera de los chatbots públicos. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) recomienda no incluir información sensible en las consultas a modelos de lenguaje de IA públicos, ni enviar consultas que causarían problemas si se hicieran públicas (NCSC).
- Lee primero las condiciones de uso y la política de privacidad. Según el NCSC, las consultas se almacenan y casi con seguridad se utilizarán en algún momento para desarrollar el servicio, por lo que es necesario comprender las condiciones de uso y la política de privacidad antes de hacer preguntas sensibles (NCSC).
- Omite los datos personales. La agencia de protección de datos de España aconseja no compartir datos personales con herramientas de IA, como el nombre completo, la dirección, el número de teléfono, el número del documento de identidad o imágenes de personas, ni información sensible como datos médicos o financieros, y sugiere describir un caso ficticio en su lugar (AEPD).
- No uses imágenes de otras personas para generar contenido nuevo, en especial imágenes de menores de edad; la agencia advierte de que esto podría infringir la normativa de protección de datos e incluso constituir un delito (AEPD).
- En el trabajo, sigue las normas de tu organización sobre información y seguridad, y no incluyas información confidencial sobre la organización, su personal o sus clientes (AEPD).
- Configuración del historial de chat. Las orientaciones para jueces y su personal de apoyo en Inglaterra y Gales les indican que desactiven el historial de chat en los chatbots de IA públicos si esa opción está disponible, ya que debería impedir que sus datos se usen para entrenar el chatbot, pero advierten de que, incluso con el historial desactivado, debe asumirse que los datos introducidos se están divulgando (orientaciones judiciales).
- Ten cuidado con las herramientas de IA que procesan contenido escrito por otros. Un texto oculto en un documento, como un currículum, puede acabar siendo tratado por un sistema de IA como una instrucción. El NCSC denomina a esto inyección indirecta de instrucciones (indirect prompt injection) y afirma que es posible que estos ataques nunca puedan mitigarse por completo (NCSC).
- Las empresas deben cumplir sus promesas de privacidad. La Comisión Federal de Comercio de EE. UU. (FTC) ha advertido a las empresas de «modelo como servicio», que desarrollan y alojan modelos de IA para que otros los usen, de que, si incumplen sus compromisos de privacidad con sus usuarios y clientes, incluidas las promesas de no usar los datos de los clientes con fines secretos como entrenar sus modelos, pueden incurrir en responsabilidad según las leyes que la agencia hace cumplir (FTC).
- Si crees que tus datos se han gestionado de forma indebida, en la mayoría de los casos plantea primero tu inquietud a la organización. En el Reino Unido, si no estás conforme con su respuesta, puedes presentar después una queja ante la Oficina del Comisionado de Información (ICO) (ICO).
Fuentes
- ChatGPT and large language models: what's the risk?, Centro Nacional de Ciberseguridad del Reino Unido, 14 de marzo de 2023.
- Prompt injection is not SQL injection (it may be worse), Centro Nacional de Ciberseguridad del Reino Unido, 8 de diciembre de 2025.
- La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA, Agencia Española de Protección de Datos (AEPD), 27 de enero de 2026.
- Artificial Intelligence (AI) – Judicial Guidance (October 2025), Courts and Tribunals Judiciary, 31 de octubre de 2025.
- AI Companies: Uphold Your Privacy and Confidentiality Commitments, Comisión Federal de Comercio de EE. UU.
- Check if you can complain, Oficina del Comisionado de Información del Reino Unido.