Datos y privacidad en la pyme

La pyme no necesita un CISO de Fortune 500. Necesita reglas que quepan en un cartel junto a la pantalla, y un ejemplo real de lo que no se pega. El RGPD da el marco; este artículo da el perímetro de cada día.

El incidente típico no es sofisticado: alguien sube la cartera de clientes “para que el modelo la limpie”, o pega un contrato vivo, o reenvía un hilo con un DNI. A la semana nadie recuerda en qué cuenta estaba.

Diseñamos el perímetro con el mismo criterio que el piloto: estrecho, escrito, revisable.

El cartel de sí / no / preguntar

• Sí. Textos internos ya públicos en la empresa (FAQ, horarios, catálogo sin precios confidenciales), facturas de esta semana en la herramienta contratada, tickets sin categorías especiales.
• No. Credenciales, salud, menores, nóminas, DNI escaneados, secretos de cliente, bases enteras, cualquier cosa en una cuenta gratuita personal.
• Preguntar. Un caso nuevo, un proveedor nuevo, un archivo antiguo, algo que “solo verá el modelo un momento”. El momento es eterno en un log.

Qué puede salir de la red

Si el proveedor está contratado, con residencia clara y no-entrenamiento, pueden salir los campos del flujo. Si no está contratado, no sale nada personal ni contractual. Los modelos locales reducen la salida; no dan permiso a pegar de más.

“Salir” incluye el complemento del navegador, la app del móvil y el “ayúdame a redactar” del correo. El perímetro es de la empresa, no de una pestaña.

Cómo explicarlo en 30 minutos

Diez minutos de cartel. Diez de tres ejemplos reales (uno que sí, uno que no, uno dudoso). Diez de “dónde preguntar” y “cómo se apaga”. Nada de artículos del reglamento. Al final, cada uno dice en voz alta un ejemplo de su mesa. Ahí se ve si se entendió.

Repetid a los 14 días con prompts reales (sin castigar: se corrige el perímetro). El miedo no enseña. El ejemplo de la casa sí.

Clientes y empleados

Si el tratamiento es nuevo, la cláusula o el aviso tienen que decirlo con palabras planas. No escondáis “podremos usar sistemas de ayuda automatizada en la gestión de su pedido” si en realidad un modelo lee el correo. Tampoco prometáis que “nunca usa IA” si el administrativo ya tiene un copiloto.

Los empleados merecen saber si sus tickets internos se mandan a un encargado. El silencio produce el rumor peor.

Relación con inventario, RGPD y seguridad

El inventario dice qué hay. El RGPD dice con qué base. La seguridad dice cómo no se escapa el token. Este perímetro dice qué hace una persona el martes a las 11. Los cuatro se necesitan. Uno solo es un PDF.

Kit Consulting encaja para escribirlos. El hábito es vuestro. Trae a la valoración un ejemplo de lo que hoy se pega “por probar”. Ese ejemplo suele valer más que un cuestionario.

Ejemplos de la mesa (para el briefing)

Sí: “resume este párrafo de nuestra FAQ para el compañero nuevo”. No: “limpia esta hoja con nombres, teléfonos y compras”. Preguntar: “¿puedo subir facturas del trimestre a esta herramienta nueva que ha mandado un comercial por LinkedIn?”. La respuesta a la última es no, hasta contrato y ficha de proveedor.

Otro no frecuente: fotografiar la pizarra con un DNI de un candidato y mandarla al chat “para que lo pase a limpio”. El modelo no es una fotocopiadora inocente. Es un tratamiento.

Dejad estos tres ejemplos en el cartel. Los abstractos (“datos personales”) no cambian el pulgar. Los de la mesa sí.

Cuentas personales y el “lo borro luego”

La cuenta personal gratuita es el agujero más común. Mezcla vida privada, no tiene contrato de encargado, y el “luego” no llega. El briefing termina con una frase: si no está en la herramienta de empresa, no se pega. Quien ya lo hizo, lo dice (sin castigo) y se borra lo que se pueda.

Dirección da ejemplo: tampoco usa su ChatGPT personal con la cartera. El cartel no aguanta si el jefe es la excepción.

Cuando entre alguien nuevo, el cartel se enseña el primer día, no “en el curso de IA” del mes siguiente. El incidente más tonto es el del segundo día, con ganas de ayudar y una cuenta personal. El onboarding corto evita más que el manual de bienvenida.

Si un cliente pide por escrito que sus datos no entren en sistemas de ayuda automatizada, eso es una fila en el perímetro, no un “ya lo vemos”. El cartel se actualiza. El flujo se recorta para ese cliente. Incumplir esa frase por comodidad es el incidente con nombre y apellidos.

Preguntas frecuentes

¿Podemos usar una cuenta personal “solo para pruebas”?

No con datos reales. Las pruebas con datos reales no son pruebas: son el tratamiento. Usad textos sintéticos o el contrato ya firmado.

¿Y si el cliente nos pide que usemos IA?

Entonces el perímetro se acuerda con él, por escrito. No es un permiso para pegar toda la cartera.

¿El cartel sustituye al registro de actividades?

No. El cartel enseña al equipo. El registro (aunque sea una página por flujo) es vuestra memoria. Hacen falta los dos.

Sigue con RGPD básico y seguridad mínima. Escribimos el cartel con vuestros ejemplos.