Cada persona de tu equipo usa su propio ChatGPT, con su cuenta personal. Una política de una página, cuentas de empresa y reglas claras sobre los datos resuelven lo esencial.
Un martes cualquiera, alguien de ventas pega en su ChatGPT personal la lista de clientes con teléfonos para que se la ordene. Alguien de contabilidad sube el borrador de un contrato para que se lo resuma. Nadie hizo nada con mala intención y nadie te avisó. Tú te enteras tres meses después, si te enteras.
Esta guía es para dueños y gerentes de pymes cuyo equipo ya usa IA sin un método común. Verás por qué pasa, qué debería decir una política de una sola página y cómo ponerla en marcha esta semana sin frenar a nadie.
¿Por qué tu equipo usa IA por su cuenta?
Porque funciona y porque nadie les dio una alternativa. El Work Trend Index 2024 de Microsoft y LinkedIn, una encuesta a 31.000 trabajadores del conocimiento en 31 mercados (entre ellos Colombia) realizada entre febrero y marzo de 2024, encontró que el 78 % de quienes usan IA en el trabajo llevan sus propias herramientas (lo que el informe llama BYOAI). Es una encuesta de un proveedor y de hace un tiempo, así que tómala como un indicio de la tendencia y no como la cifra de tu empresa. Lo que sí sabes es lo que ves en tu oficina: si no ofreces cuentas ni reglas, el equipo se las arregla solo.
Prohibir no suele resolverlo. En 2023 Samsung restringió el uso de IA generativa después de que, según el memorando que reportó Bloomberg, unos ingenieros subieran código interno a ChatGPT por accidente. Una empresa con recursos propios optó por restringir; una pyme que prohíbe sin ofrecer algo a cambio solo empuja el uso al celular personal, donde ya no lo ves.
¿Qué cambia entre una cuenta personal y una empresarial?
Las condiciones sobre tus datos. Según el centro de ayuda de OpenAI (consultado en noviembre de 2026), en ChatGPT Business, Enterprise, Edu y en su API no se usan por defecto los contenidos que envías para entrenar modelos. En los planes personales (Free, Plus, Pro) el uso para entrenar viene activado por defecto y puedes apagarlo en Ajustes, Controles de datos, opción «Mejorar el modelo para todos».
Anthropic lo plantea de forma parecida. En sus productos comerciales (Team, Enterprise y API) no usa por defecto tus entradas y salidas para entrenar, salvo que reportes comentarios o lo permitas. En los planes de consumo (Free, Pro, Max), sus conversaciones pueden usarse si activas la mejora del modelo en tu configuración, y los comentarios con «me gusta» o «no me gusta» se guardan hasta cinco años según su página de privacidad de marzo de 2026.
Estas condiciones cambian con frecuencia. Antes de decidir, lee la página vigente del proveedor que elijas y deja anotada la fecha en que la revisaste. Lo que no cambia es la lógica: en una cuenta personal, el dueño de la configuración es el empleado y se va con ella cuando renuncia; en una cuenta de empresa, la configuración y el historial los administras tú.
¿Qué datos pueden entrar y cuáles no?
Esa es la parte central de la política. Con tres niveles basta para una pyme:
- Verde, puede entrar a la cuenta de empresa: textos propios sin datos de personas, borradores de correos, ideas, resúmenes de documentos públicos, código sin secretos, preguntas generales.
- Amarillo, solo con cuenta de empresa y cambiando nombres por códigos si la tarea lo permite: cotizaciones, contratos, actas, bases de clientes sin datos sensibles. Pregúntate si la tarea realmente necesita el nombre o la cédula.
- Rojo, no entra en ninguna herramienta de IA sin una decisión expresa tuya: datos de salud, historias laborales, cuentas bancarias, claves, tokens, contraseñas y cualquier dato de menores.
Detrás hay una razón legal. La Ley 1581 de 2012 regula el tratamiento de datos personales en Colombia, y enviar datos de clientes o empleados a una herramienta externa es un tratamiento. La Superintendencia de Industria y Comercio (SIC) expidió el 21 de agosto de 2024 la Circular Externa 002, con lineamientos para el tratamiento de datos personales en sistemas de inteligencia artificial, que insiste en que quien trata los datos debe poder demostrar cómo los cuida (la llamada responsabilidad demostrada). Esto es información general y no reemplaza asesoría jurídica: si tu negocio maneja datos sensibles, consúltalo con un abogado de protección de datos.
¿Qué debe tener una política de una página?
No necesitas treinta páginas que nadie leerá. Una hoja con estos siete puntos cubre lo esencial:
- Herramientas aprobadas. Cuáles se pueden usar y con qué cuentas. Todo lo demás, por fuera del trabajo.
- Cuentas de empresa. Quién las crea, quién las administra y qué pasa con ellas cuando alguien se va.
- Niveles de datos. El semáforo de arriba, con ejemplos de tu propio negocio.
- Personas responsables. Quién decide un caso dudoso. Debe ser una persona con nombre, no «el área».
- Revisión humana. Nada generado por IA sale hacia un cliente, una entidad o un contrato sin que una persona lo lea completo.
- Qué se hace ante un error. Si alguien pegó algo que no debía, avisa de inmediato y sin castigo; ocultarlo es lo que hace daño.
- Fecha de revisión. Las herramientas y sus condiciones cambian, así que revisa la política cada seis meses.
¿Cómo ponerla en marcha esta semana?
- Lunes: pregunta en el equipo, sin regaños, qué herramientas de IA usan y para qué tareas. Es el mejor insumo para la política.
- Martes: elige una herramienta y un plan empresarial. Lee las condiciones de datos vigentes y guarda la fecha de lectura.
- Miércoles: escribe la política de una página con los siete puntos. Usa ejemplos reales de tu negocio.
- Jueves: crea las cuentas de empresa, activa la verificación en dos pasos y define quién es administrador y quién es su respaldo.
- Viernes: reúne al equipo 20 minutos, explica el semáforo con dos ejemplos y recoge dudas. Pide que lleven a la reunión un caso real que no sepan dónde clasificar.
¿Qué riesgos y límites tiene este enfoque?
- Una política no es un control técnico. Dice qué se espera, pero no impide pegar un dato. Si tienes información muy delicada, apóyate además en permisos y restricciones de la herramienta.
- El uso por fuera de tu vista. Siempre habrá quien use el celular personal. Se reduce ofreciendo una herramienta mejor y explicando el porqué, no con vigilancia.
- Costos. Los planes empresariales cobran por usuario y los precios cambian, así que cotiza con el proveedor y no por números que leas en un artículo. Empieza con pocos usuarios.
- Condiciones que cambian. Lo que dice un proveedor hoy puede cambiar. Por eso la política lleva fecha de revisión.
- Alcance legal. La política ayuda a cumplir, pero no te vuelve inmune a la Ley 1581. Si tratas datos sensibles o de muchos titulares, pide asesoría especializada.
Si quieres ayuda para definir la política, elegir la herramienta y capacitar a tu equipo con ejemplos de tu propio negocio, ahí puedo acompañarte.