GDPR y seguridad de los datos en un second brain empresarial

Cada vez que proponemos a una empresa construir su propio second brain empresarial, la primera pregunta que llega es siempre la misma: "¿y mis datos dónde acaban?". Es una pregunta legítima y demuestra madurez. El problema es que casi siempre nace de una premisa equivocada, es decir, la idea de que hoy los datos de la empresa están a salvo y que introducir una IA los expone por primera vez.

La realidad es distinta y merece la pena mirarla de frente. En la mayoría de las empresas los datos sensibles ya han salido del perímetro de control. No por culpa de un proyecto de IA, sino porque los empleados han empezado a pegar contratos, tarifas, correos de clientes y borradores de ofertas dentro de ChatGPT para trabajar más rápido. Sin política alguna, sin registro, sin control. En este escenario, un cerebro empresarial diseñado y gobernado no es el riesgo: es la solución al riesgo que ya tienes.

En este artículo abordamos la objeción de la seguridad de forma concreta, desde el punto de vista de quien debe decidir si invertir en un company brain. Qué le pasa realmente a los datos hoy, por qué un sistema gobernado es más seguro que uno dejado a su suerte, y qué herramientas (DPA, cumplimiento del GDPR, control de versiones) hacen que todo sea defendible incluso ante una inspección.

El riesgo que ya tienes: la shadow AI

Partamos de un dato de sentido común, incluso antes que de cumplimiento normativo. Cuando uno de tus comerciales tiene que redactar una oferta y le pide a ChatGPT que reformule el texto, ¿qué pega en el chat? El nombre del cliente, las condiciones económicas, quizá el historial de la negociación. Cuando administración quiere el resumen de un contrato, pega ahí el contrato. Este fenómeno tiene un nombre preciso: se llama shadow AI, es decir, el uso de herramientas de inteligencia artificial por parte de los empleados sin que la empresa lo sepa, lo autorice o lo gobierne.

Lo delicado no es que la IA sea peligrosa en sí misma. Lo delicado es que ese flujo de datos ocurre fuera de cualquier control empresarial: en cuentas personales, con configuraciones desconocidas, sin ningún contrato entre tu empresa y el proveedor, sin saber si esos datos se conservan y cómo. Desde el punto de vista del GDPR es exactamente el escenario que quieres evitar: un tratamiento de datos (a menudo también personales de clientes y proveedores) sin base jurídica documentada, sin un responsable consciente y sin medidas de seguridad.

La paradoja es evidente. La empresa que dice "no quiero la IA para proteger mis datos" a menudo ya tiene esos datos repartidos por el mundo a través de decenas de chats individuales. No ha eliminado el riesgo, solo lo ha vuelto invisible. Un company brain no añade un riesgo nuevo: sustituye un riesgo incontrolado por un sistema controlado.

Por qué un brain gobernado es más seguro, no menos

La diferencia entre los datos dispersos y un cerebro empresarial bien diseñado es la misma que hay entre guardar el efectivo bajo el colchón y tenerlo en el banco. No es que en el banco "salgan de casa" por primera vez: es que por fin alguien responde por ellos, están registrados y protegidos. Veamos por qué un sistema gobernado cambia por completo la percepción del riesgo.

1. Un único perímetro en lugar de mil riachuelos

Con un company brain, el conocimiento de la empresa deja de vivir disperso entre chats personales, adjuntos de correo y carpetas olvidadas, y converge en un sistema con un único punto de verdad (lo que técnicamente se llama single source of truth). Un solo perímetro es un perímetro defendible: puedes decidir quién accede a qué, llevar un registro de quién ha visto o modificado un documento, aplicar medidas de seguridad coherentes. Mil riachuelos, no.

2. Contratos en lugar de buenas intenciones

Cuando un empleado usa ChatGPT desde su propia cuenta, entre tu empresa y el proveedor del modelo no hay ningún contrato. En un proyecto estructurado, en cambio, la relación con los proveedores tecnológicos se regula mediante un DPA (Data Processing Agreement), el acuerdo sobre el tratamiento de datos previsto en el artículo 28 del GDPR, que define por escrito qué puede hacer el proveedor con tus datos, durante cuánto tiempo y con qué garantías. Es la diferencia entre esperar que salga bien y tener una responsabilidad escrita y exigible.

3. Historial y recuperación gracias al control de versiones

Un cerebro empresarial bien construido lleva un registro de las versiones del conocimiento (el llamado control de versiones). En la práctica, cada modificación queda registrada, siempre existe una copia actualizada y recuperable, y puedes reconstruir quién cambió qué y cuándo. Esto cubre dos necesidades a la vez: por un lado la copia de seguridad y la continuidad (si algo se rompe o se altera, puedes volver atrás), por otro la trazabilidad que exige el GDPR cuando gestionas datos de forma estructurada. Intentar reconstruir ese mismo historial a partir de cincuenta chats individuales es, sencillamente, imposible.

El verdadero motivo por el que aquí la seguridad cuenta doble

Hay un aspecto que a menudo se escapa en el debate sobre la seguridad de los datos y la IA, y es quizá el más importante desde el punto de vista estratégico. El valor de un company brain está precisamente en que la IA trabaja sobre tus datos. Como decimos siempre a nuestros clientes, tu IA es tan inteligente como lo que consigue leer de tu empresa. Si tú y tu competidor usáis ChatGPT de la misma manera, sin contexto empresarial, obtenéis las mismas respuestas: es el nivel cero, ninguna ventaja.

El salto se produce cuando la IA se entrena con el conocimiento específico de tu empresa. Pero eso significa que ese conocimiento (que es tu activo más valioso, los datos ya se consideran el nuevo oro) tiene que recogerse y centralizarse en algún sitio. Por eso la seguridad aquí no es un detalle burocrático que marcar en una lista: estás concentrando en un único lugar el patrimonio de información de la empresa. Hacerlo bien significa proteger el propio valor que estás construyendo. Hacerlo mal, o no hacerlo en absoluto y dejarlo todo en manos de la shadow AI, significa dispersar ese valor mientras lo expones.

Las empresas estructuradas, las que ya tienen procesos y conocimiento acumulado, son también las que más tienen que proteger y más tienen que ganar. Profundizamos en este aspecto en el artículo sobre la ventaja competitiva que nace de los datos empresariales y sobre por qué los datos empresariales son el nuevo petróleo.

Cómo se mantiene bajo control: la reducción de las alucinaciones

Un temor recurrente no tiene que ver solo con la fuga de datos, sino con su fiabilidad: "¿y si la IA se inventa las cosas?". Es una preocupación legítima, porque una información incorrecta transmitida con seguridad puede hacer daño. Un company brain bien diseñado ataca el problema de raíz mediante el concepto de canon, es decir, una única verdad empresarial definida y verificada.

En un sistema construido con método, la IA no recurre a su "conocimiento general" del mundo para responder a las preguntas sobre tu empresa: reporta solo lo que está realmente presente en la base de conocimiento empresarial. Cuando la información es mucha, entra en juego el RAG (recuperación aumentada), un mecanismo que primero recupera los documentos relevantes y luego hace que la IA responda solo sobre esos. El resultado es que las alucinaciones se reducen drásticamente, porque el sistema está limitado a los hechos reales de la empresa. Seguridad de los datos, en este sentido, significa también fiabilidad de las respuestas: no solo proteger la información, sino garantizar que se use la correcta.