Privacidad en ChatGPT: ¿Dónde acaban realmente tus datos?

Para el empresario moderno, la inteligencia artificial ha dejado de ser una curiosidad tecnológica para convertirse en una infraestructura digital básica. Con 900 millones de usuarios activos semanales, ChatGPT se ha integrado en la redacción de correos, la programación de software y el resumen de documentos complejos. Sin embargo, esta adopción masiva ha generado una zona gris peligrosa: la creencia de que el campo de texto de un chatbot funciona como un canal de comunicación privado y volátil.

La realidad técnica es muy distinta. Interactuar con un modelo de lenguaje implica activar una red de almacenamiento y procesamiento que, si no se gestiona con rigor, puede exponer secretos comerciales o información personal identificable. El flujo de la información no termina al cerrar la pestaña del navegador; comienza un ciclo de vida que atraviesa servidores en Estados Unidos y, en ocasiones, la mirada de revisores humanos.

El viaje del dato: desde el Enter hasta el servidor

Cuando un usuario envía un mensaje, la información no permanece en el dispositivo local. El texto viaja cifrado hacia los servidores de OpenAI, donde se desencadena un proceso de tres capas. Primero, se almacena el dato para permitir que el usuario acceda a su historial desde cualquier dispositivo y para que el modelo mantenga el contexto de la sesión actual.

En segundo lugar, el sistema aplica filtros de moderación para evitar contenidos prohibidos. Aquí es donde reside uno de los mayores malentendidos: muchos usuarios asumen que desactivar el historial borra la información instantáneamente. No es así. La retención de datos por motivos de seguridad y monitoreo de abusos suele mantenerse durante un periodo de 30 días, independientemente de la configuración de visibilidad del usuario.

La tercera capa es la más controvertida: el entrenamiento. En las versiones gratuitas y Plus, OpenAI utiliza las conversaciones para perfeccionar sus futuros modelos. Aunque esta opción puede desactivarse, el riesgo persiste para quienes ignoran los ajustes de privacidad o utilizan la herramienta en entornos laborales sin una política clara de uso.

Project Lily y la mirada humana sobre lo privado

Uno de los hallazgos más inquietantes para la privacidad es la existencia de Project Lily. Este programa interno de OpenAI emplea a cientos de contratistas humanos para revisar fragmentos de conversaciones reales con el objetivo de mejorar la calidad de las respuestas. Los revisores no solo leen los prompts, sino que evalúan diversas respuestas del chatbot, asignándoles una calificación del 1 al 7 según su naturalidad y precisión.

Aunque OpenAI afirma que los datos pasan por un filtro de anonimización previo, la empresa reconoce que este sistema puede fallar. Esto implica que detalles médicos, legales o financieros pueden llegar a ojos de terceros. A diferencia de otros competidores, la falta de transparencia explícita sobre esta revisión humana ha generado una brecha de confianza considerable. Como se detalla en las investigaciones sobre Project Lily, la política de privacidad menciona el uso de datos personales para mejorar los sistemas, pero no especifica que el proceso involucre la lectura manual de los chats.

Propiedad intelectual y el riesgo de la investigación inédita

El peligro no se limita a la filtración de datos personales, sino que alcanza la propiedad intelectual de alto nivel. El caso del matemático Andreas Thom es paradigmático. Thom, investigador de la TU Dresde, ha denunciado que OpenAI podría haber utilizado conversaciones privadas sobre matemáticas avanzadas para entrenar sus modelos, específicamente en relación con la construcción del primer grupo no sófico.

Thom había discutido activamente problemas de emparejamiento sobre expansores con ChatGPT meses antes de que el modelo Astra de OpenAI anunciara resultados similares. Esta situación plantea una pregunta crítica para cualquier profesional que suba código propietario o investigaciones no publicadas a la IA: ¿está el modelo aprendiendo de mi ventaja competitiva para ofrecérsela a otros usuarios?

La sospecha de que la IA puede absorber conocimiento inédito y reintegrarlo en sus respuestas convierte al chatbot en un riesgo potencial para la confidencialidad de cualquier patente o descubrimiento científico en fase de desarrollo.

Diferencias de privacidad según el plan contratado

No todos los usuarios de OpenAI están expuestos al mismo nivel de riesgo. La arquitectura de privacidad varía drásticamente según el tipo de cuenta. Mientras que los usuarios de los planes Free y Plus son, por defecto, fuente de entrenamiento para la IA, los entornos corporativos ofrecen capas de protección superiores.

En las versiones ChatGPT Business, Enterprise, Edu y Healthcare, así como en el uso a través de la API, OpenAI no utiliza los datos para el entrenamiento de sus modelos de forma predeterminada. Esta distinción es fundamental para las empresas que buscan optimizar procesos sin comprometer su activo más valioso: la información. Para profundizar en cómo se comparan estas políticas con otros modelos como Claude o Gemini, es recomendable consultar guías especializadas en privacidad de modelos de IA.

Higiene digital: reglas para un uso seguro

La implementación de la IA en la empresa requiere lo que los expertos llaman higiene digital. No basta con confiar en los términos de servicio; es necesario establecer protocolos internos. El error más común es copiar y pegar contratos o documentos con datos personales identificables (DNI, sueldos, direcciones) esperando que el resumen sea anónimo.

Para mitigar estos riesgos, las organizaciones deben adoptar medidas concretas. Primero, prohibir el uso de planes gratuitos para datos sensibles. Segundo, activar obligatoriamente los modos de privacidad y desactivar el entrenamiento en los ajustes de cuenta. Tercero, implementar una política de uso de IA que defina qué categorías de datos pueden ser procesadas por el modelo y cuáles deben permanecer estrictamente offline.

Impacto y desafíos para el tejido empresarial español

Para las empresas en España, este escenario se cruza con un marco regulatorio cada vez más estricto. La entrada en vigor del AI Act de la Unión Europea obliga a las compañías a ser mucho más transparentes sobre los datos utilizados para el entrenamiento y a garantizar la protección de la privacidad de los ciudadanos europeos.

El tejido empresarial español, compuesto mayoritariamente por PYMES, se enfrenta al reto de adoptar la IA para no perder competitividad, pero sin contar siempre con departamentos de cumplimiento (compliance) robustos. La Agenda Digital española impulsa la digitalización, pero la dependencia de servidores situados en Estados Unidos plantea conflictos con el RGPD (Reglamento General de Protección de Datos). Las empresas locales deben ser conscientes de que subir datos de clientes a un chatbot sin un acuerdo de procesamiento de datos (DPA) adecuado puede derivar en sanciones graves.

La clave para el empresario español reside en la transición hacia modelos de IA privada o el uso de instancias Enterprise que garanticen la residencia de datos en Europa y la exclusión total del entrenamiento. En un mercado donde la confianza del cliente es un activo diferenciador, la gestión ética y segura de la IA no es solo una cuestión técnica, sino una estrategia de negocio.

Preguntas frecuentes

Fuentes: Welivesecurity, Javadex, Garcoia ·