Privacidad en un Chat IA con Documentos Sensibles: Guía Completa para Empresas [2026]

Privacidad en un Chat IA con Documentos Sensibles: Guía Completa para Empresas [2026]

Si subes memorias técnicas, contratos o exportaciones de tu CRM a ChatGPT Plus para que te las resuma, estás ante una de las exposiciones legales más serias a las que se enfrenta tu empresa en 2026. No importa que el cuadro de diálogo ponga "tus datos no se usan para entrenar": el problema real está en qué se retiene, quién lo puede ver, dónde se procesa y qué has firmado con ese proveedor.

Este artículo es la guía que me hubiera gustado tener cuando el CISO de una de las empresas con las que trabajo me llamó un viernes a las 19:30 tras leer un informe preliminar de auditoría ISO 27001. Traducción: "Javier, en dos meses pasamos auditoría y acabamos de descubrir que medio equipo está pegando propuestas con datos de cliente en un chat público. Necesito una alternativa privada en producción antes de que llegue el auditor".

Aquí tienes el marco técnico y legal completo, con las decisiones de arquitectura que yo mismo aplico cuando despliego un chat IA corporativo para una empresa que maneja datos sujetos al RGPD, a la Ley Orgánica 3/2018, al EU AI Act (plenamente aplicable el 2 de agosto de 2026) o a contratos con cláusulas de confidencialidad reforzada.

TL;DR

• Dato sensible en un chat IA = categorías del art. 9 del RGPD + datos bajo secreto profesional + IP corporativa + credenciales + datos contractuales con obligación de no cesión a terceros.
• Cinco amenazas reales: retención por el proveedor, entrenamiento con tus datos, cross-tenant leakage, inyección indirecta vía documentos y reconstrucción de embeddings.
• Marco legal en España desde 2026: RGPD, LOPDGDD, EU AI Act (2 agosto 2026), NIS2 (transpuesta), DORA para financieras, ISO 27001 y SOC 2 para B2B.
• Nivel mínimo recomendable: API con DPA firmado y zero retention activado, no ChatGPT Plus personal.
• Sweet spot para PYMES con datos regulados: chat privado self-hosted en VPS europeo + LLM vía API con DPA y zero retention + vector DB en tu infra.
• 100% on-premise con modelos locales solo si manejas datos de salud, defensa o inteligencia económica crítica.
• Anonimiza antes de enviar: PII tokenizada con NER + regex. El 80% de las fugas se evitan aquí.
• Auditoría inmutable: sin logs firmados no pasas ISO 27001 ni respondes a un requerimiento de la AEPD.

¿Quieres un diagnóstico honesto de en qué nivel de riesgo está tu uso actual de IA? Escríbeme y hago una auditoría privacy-first de tu stack IA en 48 horas.

Qué se considera dato sensible en un chat IA

Dato sensible en un chat IA es cualquier información cuya exposición genere una obligación legal, contractual o reputacional para tu empresa. En la práctica hay que ampliar el perímetro mucho más allá del art. 9 del RGPD.

La categoría que más fugas provoca en 2026, en mi experiencia, no es ninguna del art. 9: es la séptima. El comercial pega un Excel con la cartera de clientes en un chat público "para que le haga un resumen ejecutivo" y tu empresa acaba de incumplir el DPA que firmó con esos clientes hace dos años. Multa potencial: hasta 20 M€ o 4% de facturación por RGPD, más la resolución contractual.

Las 5 amenazas reales de privacidad en chats IA con documentos

1. Retención por el proveedor de LLM

Todos los grandes proveedores retienen tus prompts y respuestas por defecto, durante períodos que van de 0 a 30 días, salvo que actives explícitamente zero retention o firmes condiciones específicas.

La foto cambia cada pocos meses. El 21 de abril de 2026, al redactar esto, AWS Bedrock es el único grande que viene con zero retention activo por defecto sin papeleo adicional. Todos los demás exigen que lo pidas expresamente y lo dejes por escrito.

2. Entrenamiento con tus datos

La línea roja absoluta: si un proveedor entrena modelos con tus prompts, no puedes usarlo para datos de clientes ni datos del art. 9 del RGPD. Punto.

• OpenAI API de pago: no entrena con datos de API desde marzo de 2023. Sí entrena con ChatGPT Free y opcionalmente con ChatGPT Plus si no desactivas "Improve the model for everyone".
• Anthropic API: no entrena con datos comerciales. Claude.ai (web) tampoco por defecto desde 2024, pero revisa los toggles de tu cuenta.
• Google Gemini: el tier gratuito (AI Studio) sí se puede usar para mejorar productos, incluso revisión humana. La API de pago y Vertex AI, no.
• Microsoft Copilot: la versión empresarial (Copilot for M365) no entrena. El Copilot gratuito sí puede.

Mi regla: asumir que todo lo gratuito entrena, todo lo de pago firmado con DPA y cláusula explícita de no entrenamiento no entrena, y todo lo que no esté por escrito no existe.

3. Cross-tenant leakage

Incidentes documentados de fuga entre cuentas de clientes distintos en la misma plataforma. El caso más famoso sigue siendo el bug de ChatGPT de marzo de 2023 que permitió ver conversaciones de otros usuarios durante varias horas. En 2024 y 2025 ha habido filtraciones similares en plugins y asistentes verticales.

La moraleja operativa es que multi-tenant + datos sensibles = riesgo estructural. Cuanto más aísles tu despliegue (instancia dedicada, VPC propia, self-hosted), más dormirás tranquilo.

4. Inyección indirecta vía documentos subidos

Prompt injection indirecto: subes un PDF con instrucciones maliciosas ocultas (texto blanco sobre blanco, metadatos manipulados, URLs incrustadas) y el LLM las ejecuta como si fueran tuyas. En un chat con RAG y acceso a herramientas, esto puede desencadenar exfiltración de datos hacia dominios controlados por el atacante.

El OWASP LLM Top 10 lo clasifica como LLM01:2025 y es, con diferencia, la clase de ataque más infravalorada por equipos de TI tradicionales. Si vas a permitir subir documentos, necesitas sanitizado, aislamiento del contexto y herramientas con allowlist estricta.

5. Fugas de embeddings

Los embeddings no son datos anónimos. Los ataques de embedding inversion de 2023-2024 demostraron que es posible reconstruir fragmentos significativos del texto original a partir de sus embeddings, especialmente con modelos como text-embedding-ada-002 y all-MiniLM-L6-v2. Si tu base vectorial vive en un SaaS sin cifrado en reposo, estás regalando tu knowledge base.

En criterio del Comité Europeo de Protección de Datos, los embeddings derivados de datos personales siguen siendo datos personales mientras la reidentificación sea razonablemente posible. Cifra los embeddings en reposo, controla el acceso a la vector DB y, si puedes, manténla en tu infraestructura.

El marco legal que te afecta en 2026

Si estás bajo DORA o NIS2, el proveedor del LLM pasa a ser un "proveedor TIC" cuyos incidentes tú tienes que reportar al regulador en 24 horas. Es decir: no solo tu chat IA entra en auditoría, también entran OpenAI, Anthropic, Google o quien sea. Necesitas addendums contractuales, no una tarjeta de crédito personal.

Referencias obligatorias: AESIA - guías prácticas de cumplimiento del AI Act y BOE: texto oficial del Reglamento (UE) 2024/1689.

Modelos de despliegue ordenados por nivel de privacidad

Nivel 1: API pública sin zero retention (riesgo alto)

Usar la API estándar con los parámetros por defecto para datos de clientes. Retención 30 días, sin DPA específico, sin garantías contractuales adicionales. No apto para datos del art. 9 ni para clientes bajo DPA estricto.

Nivel 2: API con zero retention y DPA firmado

Contratas con el proveedor un DPA formal + cláusula de zero retention (OpenAI Zero Data Retention, Anthropic Zero Retention, etc.). Los prompts no se almacenan más allá del tiempo de procesamiento. Es el mínimo legalmente defendible para datos personales "ordinarios" en la mayoría de sectores no regulados.

Nivel 3: VPC / Private deployment

Azure OpenAI Service en tu tenant, AWS Bedrock en tu cuenta, Vertex AI con data residency EU. El modelo sigue siendo del proveedor pero el plano de datos no sale de tu VPC. Buen encaje con ISO 27001 y SOC 2. Típico para fintech y healthtech medianas.

Nivel 4: Plataforma self-hosted + LLM cloud vía API (el sweet spot)

Este es el punto dulce para la mayoría de empresas españolas que maneja datos sensibles pero no ultra-sensibles. La UI del chat, el router de modelos, la vector DB, la auditoría y el sistema de permisos corren en tu infra (VPS europeo o cloud privado). El LLM es una API externa con DPA y zero retention, cambiable con una línea de config.

Ventajas: coste razonable (40-200 €/mes de infra + consumo de API), control total del histórico y los embeddings, cambio de proveedor sin migrar datos, y la posibilidad de enrutar preguntas sensibles a un modelo local y las genéricas a uno cloud potente.

Para un despliegue así uso normalmente un VPS KVM 2 de Hostinger a 8,99€/mes con datacenter en España cuando el cliente quiere data residency UE por requisitos contractuales, y escalo al KVM 4 cuando el uso lo pide.

Nivel 5: 100% on-premise con modelos locales

Todo dentro de tu red: UI, vector DB, y el LLM (Llama 4, Mistral Large 2, Qwen 2.5 ejecutados vía Ollama, vLLM o TGI). Cero datos fuera. Obligatorio en defensa, datos clínicos muy sensibles y algunos contratos de gran consumo. Coste de hardware: desde 8-15 k€ para una máquina con una RTX A6000 o H100 usada, hasta cientos de miles para clusters serios.

Arquitectura recomendada para documentos sensibles

Cuando me encargo de diseñar un chat IA privado para una empresa con documentos sensibles, el stack tiene cinco capas innegociables:

1. UI self-hosted con SSO corporativo: chat privado multi-modelo autoalojado en tu VPS o kubernetes, autenticación vía Azure AD / Google Workspace / Keycloak, RBAC por grupos. El usuario no ve nunca la URL de OpenAI.
2. Router con enmascaramiento PII: un servicio entre la UI y el LLM que detecta PII (DNI, IBAN, email, nombres, direcciones, números de seguridad social) y la tokeniza antes de enviarla. La respuesta se destokeniza antes de mostrarse. Herramientas: Microsoft Presidio, regex propios y un modelo NER en local.
3. Vector DB en tu infra: pgvector sobre PostgreSQL gestionado, Qdrant self-hosted o Weaviate. Cifrado en reposo (AES-256), cifrado en tránsito (TLS 1.3), acceso solo desde la red privada, collections por departamento.
4. LLM con DPA firmado o modelo local: router configurable para que "consultas nivel 1" vayan a un modelo local (Llama 4 8B) y "consultas nivel 2" a Claude o GPT-5 vía API con zero retention. Preguntas que toquen art. 9 del RGPD: solo modelo local.
5. Auditoría inmutable: cada interacción (prompt hash + metadata + usuario + timestamp + modelo + tokens) se registra en un log append-only (idealmente con firma criptográfica o envío a SIEM tipo Wazuh o Elastic). Sin esto no pasas ISO 27001 ni respondes a un requerimiento de la AEPD.

El coste típico de esta arquitectura para una PYME de 50 personas ronda los 150-400 €/mes de infraestructura más el consumo de API del LLM. Mucho menos que una multa del RGPD.

Cómo tratar PII antes de enviarla al LLM

Mi pipeline estándar para saneado de prompts:

1. Regex + listas negras para patrones deterministas: DNI español ([0-9]{8}[A-HJ-NP-TV-Z]), IBAN, email, teléfonos, números de tarjeta (Luhn).
2. NER contextual con un modelo ligero local (spaCy es_core_news_lg o un BERT fine-tuneado) para detectar nombres, organizaciones, direcciones postales.
3. Microsoft Presidio como orquestador sobre los dos anteriores, con un pipeline específico para español.
4. Tokenización reversible: cada entidad detectada se reemplaza por un token único ([PERSONA_3A7F], [ORG_82C1]) cuya correspondencia se guarda cifrada en la sesión. La respuesta del LLM se destokeniza antes de enseñarla al usuario.
5. Pseudonimización irreversible para análisis agregado: si vas a almacenar conversaciones para analytics, sustituye por hashes con sal.

Regla de oro: el LLM nunca debería ver un DNI, un email personal o un nombre completo de cliente en claro, salvo que el caso de uso lo exija explícitamente y esté documentado en tu registro de tratamientos.

Errores comunes de privacidad

Error 1: usar ChatGPT Plus personal con documentos de empresa

Problema: la cuenta es del empleado, los datos pertenecen a la empresa, no hay DPA, y puede estar activo el toggle de mejora del modelo. Multa potencial + incumplimiento del DPA con tus clientes.

Solución: política de uso aceptable firmada por todos los empleados + chat corporativo oficial disponible para que nadie tenga excusa. Sin alternativa oficial, la prohibición no funciona: la gente seguirá usando su cuenta personal a escondidas.

Error 2: no firmar DPA con el proveedor del LLM

Problema: sin DPA, el proveedor es un encargado no formalizado. Incumples el art. 28 del RGPD. Si hay brecha, tú respondes solo.

Solución: contratar siempre el plan empresarial con DPA. OpenAI, Anthropic y Google tienen DPAs estándar descargables antes de firmar.

Error 3: no anonimizar antes de enviar

Problema: subes un PDF entero con nombres, DNIs y direcciones. Aunque el proveedor no entrene, los datos pasan por sus sistemas y quedan en logs temporales.

Solución: capa de enmascaramiento PII obligatoria en todos los flujos de upload de documentos.

Error 4: no cifrar embeddings en reposo

Problema: tu vector DB es una base de datos normal con cientos de miles de embeddings derivados de documentos internos. Un dump accidental reconstruye fragmentos de esos documentos.

Solución: cifrado en reposo en la base vectorial, control de acceso a nivel de collection por departamento, y auditoría de queries. Nunca exponer la vector DB directamente a internet.

Error 5: no registrar accesos para auditoría

Problema: tres meses después, un cliente te pregunta si su contrato ha pasado por "esa IA" de la que lee en la prensa. No sabes responder porque no tienes logs.

Solución: logging centralizado (usuario, timestamp, hash del prompt, modelo, tokens, categorización automática de sensibilidad), mínimo 12 meses de retención, inmutabilidad verificable.

Checklist de privacidad (15 puntos) antes de desplegar

• [ ] Inventario de casos de uso y clasificación por sensibilidad (RGPD, art. 9, secreto empresarial)
• [ ] Base legal del tratamiento documentada para cada caso de uso
• [ ] Evaluación de Impacto en Protección de Datos (EIPD) si aplica
• [ ] DPA firmado con el proveedor del LLM
• [ ] Zero retention contratado por escrito
• [ ] Cláusula explícita de no entrenamiento con tus datos
• [ ] Data residency UE o en país con decisión de adecuación
• [ ] SSO + RBAC + MFA en la UI del chat
• [ ] Enmascaramiento PII en el pipeline de prompts
• [ ] Cifrado en tránsito (TLS 1.3) y en reposo (AES-256) de embeddings
• [ ] Auditoría inmutable con retención mínima 12 meses
• [ ] Política de uso aceptable firmada por empleados
• [ ] Formación en IA art. 4 del EU AI Act para todo el personal con acceso
• [ ] Procedimiento de reporte de incidentes en 72 h a la AEPD y 24 h bajo NIS2
• [ ] Revisión anual del stack + test de penetración orientado a OWASP LLM Top 10

Si más de cinco casillas están sin marcar, no tienes un chat IA: tienes una denuncia esperando a suceder. Podemos revisarlo juntos en una sesión de diagnóstico rápida.

Cómo puedo ayudarte a poner tu chat IA en orden

Me llamo Javier Santos Criado, soy ingeniero e implemento sistemas de IA en empresas españolas desde 2023, con foco en entornos regulados: consultoras de ingeniería civil, SaaS B2B, sanidad privada y una boutique legal. Tres proyectos recientes que explican bien lo que hago:

• Consultora de ingeniería civil (40 personas): sus memorias técnicas incluían datos del cliente con obligación contractual de no cesión a terceros. Migramos de ChatGPT Plus a un chat privado multi-modelo self-hosted en un VPS europeo, con enmascaramiento PII y LLM vía API con DPA y zero retention. Cinco semanas de implementación, formación incluida.
• SaaS B2B con 120 clientes bajo DPA: no podían pasar datos de clientes por la API pública de OpenAI. Desplegamos un portal IA corporativo on-premise con RAG sobre la documentación interna y routing a Azure OpenAI Service con data residency UE. Pasaron auditoría SOC 2 Type II seis meses después.
• Empresa B2B preparando ISO 27001: su CISO les obligó a migrar a infraestructura propia antes de auditoría. Arquitectura nivel 4 con logs firmados y SIEM, pasó sin observaciones en la parte de IA.

Lo que ofrezco, concretamente:

1. Auditoría de privacidad de tu stack IA actual (1-2 semanas): mapeo de herramientas en uso, shadow IT, clasificación de riesgo, informe priorizado.
2. Plan de cumplimiento GDPR + EU AI Act (2-3 semanas): DPAs a firmar, cambios de configuración, EIPD, política de uso, plan de formación art. 4.
3. Despliegue on-premise o VPS dedicado (4-8 semanas): chat privado multi-modelo, RAG con vector DB propia, enmascaramiento PII, auditoría inmutable, SSO corporativo.

Escríbeme por el formulario de contacto con una línea sobre tu sector y tamaño, y te contesto en menos de 24 horas con una propuesta concreta.

Preguntas Frecuentes

¿Puedo usar ChatGPT Team si tengo datos GDPR?

Depende del tipo de dato. ChatGPT Team no entrena con tus datos y ofrece retención de 30 días (o menor con opt-out). Es válido para datos personales ordinarios con base legal clara y DPA firmado, pero no es suficiente para datos del art. 9 (salud, biométricos, orientación sexual...) ni para datos bajo DPA de tus clientes que prohíban sub-encargos no autorizados. Para eso, mínimo ChatGPT Enterprise con Zero Data Retention o una arquitectura self-hosted.

¿OpenAI entrena con los datos de la API?

No, desde marzo de 2023 OpenAI no usa datos enviados a través de la API para entrenar sus modelos por defecto (OpenAI Enterprise Privacy). Sí los retiene 30 días para detección de abuso, salvo que contrates Zero Data Retention. Ojo: ChatGPT Free y ChatGPT Plus (producto final de usuario) son distintos de la API, y ahí sí pueden entrenar si no desactivas el toggle.

¿Qué es zero retention y qué proveedores lo ofrecen?

Zero retention es un acuerdo contractual por el que el proveedor se compromete a no almacenar tus prompts ni respuestas más allá del tiempo estrictamente necesario para procesarlos. Lo ofrecen OpenAI (ZDR para clientes elegibles), Anthropic (Zero Retention bajo demanda), Azure OpenAI (con exención aprobada) y AWS Bedrock (por defecto). Siempre exige el compromiso por escrito antes de enviar cualquier dato sensible.

¿Es suficiente con self-host o necesito modelos locales?

Para la mayoría de PYMES españolas, la combinación "UI self-hosted + LLM cloud con DPA y zero retention" es suficiente y cumple GDPR, EU AI Act e ISO 27001. Solo necesitas modelos 100% locales si manejas datos clínicos de alta sensibilidad, secretos de defensa o tienes cláusulas contractuales que prohíban explícitamente cualquier procesamiento en infraestructura de terceros.

¿Qué exige el EU AI Act a partir del 2 de agosto de 2026 para un chat IA?

Obligaciones de transparencia (art. 50), alfabetización en IA del personal (art. 4) y clasificación por nivel de riesgo. Un chat IA genérico para consultas internas es riesgo limitado o mínimo, con obligaciones leves. Si lo usas para filtrar CVs, evaluar empleados, decidir crédito o diagnosticar, salta a alto riesgo y multiplicas exponencialmente las obligaciones documentales. Detalles en la guía completa del EU AI Act que publiqué en febrero.

¿Cuánto cuesta un despliegue privacy-first?

Para una PYME de 30-80 personas, entre 150 y 500 €/mes de infraestructura + 200-800 €/mes de consumo de API del LLM + 6-15 k€ de implementación inicial. Un despliegue 100% on-premise con modelos locales potentes empieza en 12-20 k€ de hardware. Contra un máximo de 20 M€ de multa RGPD o 35 M€ del AI Act, el ROI es obvio en cuanto tratas datos regulados.

¿Mis embeddings son datos personales bajo GDPR?

Sí, si derivan de datos personales y la reidentificación es razonablemente posible. Los ataques de embedding inversion publicados en 2023-2024 demostraron que se pueden reconstruir fragmentos significativos del texto original. En la práctica, el criterio del EDPB y de la mayoría de autoridades es tratar los embeddings como datos personales: cifrarlos en reposo, limitar el acceso y borrarlos cuando se ejerzan derechos de supresión.

Posts Relacionados

• Reglamento IA de la Unión Europea (AI Act): Guía Completa para Empresas Españolas 2026
• EU AI Act: guía de cumplimiento para empresas españolas (agosto 2026)
• Dónde van los datos que metes en ChatGPT, Claude, Cursor y Copilot
• La AEPD investiga el uso de IA en empresas españolas
• IA local y privacidad: ejecutar modelos sin internet

En Resumen

• Dato sensible en un chat IA incluye art. 9 del RGPD, secretos empresariales, datos bajo DPA y credenciales: perímetro mucho más amplio que "datos personales".
• Cinco amenazas reales: retención, entrenamiento, cross-tenant, inyección indirecta vía documentos y reconstrucción de embeddings.
• El EU AI Act es plenamente aplicable el 2 de agosto de 2026 con multas de hasta 35 M€ o 7% de facturación global.
• Mínimo aceptable para datos personales: API de pago + DPA + zero retention + data residency UE, nunca ChatGPT Plus personal.
• Sweet spot para PYMES: chat privado multi-modelo self-hosted en VPS europeo + LLM vía API con DPA y zero retention + vector DB propia.
• Anonimizar antes de enviar (Presidio + NER + regex) evita el 80% de las fugas por error humano.
• Sin auditoría inmutable no pasas ISO 27001 ni respondes a un requerimiento de la AEPD: es el primer control que se revisa.