IA en la gestoría: qué datos de tus clientes puedes usar
Cómo usar ChatGPT, Claude o Copilot en una gestoría sin arriesgar los datos de tus clientes: cuentas de empresa, encargo de tratamiento y qué no subir.
En casi todas las gestorías alguien ya está usando la IA: para redactar un correo complicado, resumir una norma o preparar una respuesta a un cliente. La duda que llega después siempre es la misma: ¿qué datos de mis clientes puedo meter ahí? Manejas nóminas, DNI, cuentas bancarias y la situación fiscal de cada familia, así que la pregunta es seria.
Aquí tienes cómo lo planteo yo cuando monto la IA en un despacho. No soy abogado: si tu caso tiene matices legales, consúltalo con tu asesor de protección de datos. Pero lo que sigue es lo que tiene que estar resuelto antes de usar la IA con datos reales, y es lo mismo que dejo montado en el sistema que preparo para gestorías.
El error de verdad: la cuenta personal gratuita
El riesgo no está en la herramienta, está en cómo se usa. Cuando cada persona del despacho usa su cuenta gratuita de ChatGPT o de cualquier otra IA, pasan tres cosas:
- El despacho no sabe qué se ha subido ni dónde está.
- Según el plan, lo que escribes puede usarse para mejorar el modelo.
- Si esa persona se va, el historial se va con ella.
La solución es sencilla: una cuenta de empresa a nombre del despacho (el plan de empresa de Claude, ChatGPT o Copilot, el que elijáis), en un plan que no use vuestros datos para entrenar, y con altas y bajas que gestiona el titular.
Qué se puede subir y qué no
En mis implantaciones trabajo con un semáforo muy simple, que se queda por escrito en el protocolo del despacho:
| Nivel | Ejemplos en una gestoría | Qué hacer |
|---|---|---|
| Verde | Normativa, plantillas propias, textos de la web, procesos internos | Se sube sin más |
| Ámbar | Correos de clientes, borradores de escritos, listados con nombres | Se sustituyen nombre, NIF y cuentas por [CLIENTE], [NIF]… antes de subir |
| Rojo | DNI, nóminas completas, cuentas bancarias, datos de salud | No se sube nunca a una herramienta de uso general; solo por el flujo que el despacho haya autorizado |
La IA trabaja igual de bien con «[CLIENTE]» que con el nombre real. Anonimizar cuesta segundos y quita casi todo el riesgo.
Si alguien te lo monta: encargo de tratamiento
Si contratas a alguien para montar automatizaciones que tocan datos de tus clientes, esa persona o empresa pasa a tratar datos por cuenta del despacho. Lo correcto es firmar un encargo de tratamiento (el contrato que pide el artículo 28 del RGPD) antes de empezar. En mi caso va siempre dentro de la implantación, junto al protocolo de datos.
Y una pregunta que conviene hacer a cualquier proveedor: ¿dónde se guardan los datos? En el sistema que monto para gestorías, todo vive en el Google Workspace del despacho, bajo sus cuentas; yo no guardo datos de sus clientes. Lo explico con un esquema en el apartado de datos del sistema para gestorías.
La regla que lo ordena todo
La IA propone; una persona revisa y firma. Puede ordenar documentos, leer una factura, preparar un borrador o resumir una norma. Pero nada sale hacia un cliente ni hacia Hacienda sin que alguien del despacho lo lea. Así se usa la IA para quitar trabajo, no para añadir riesgos.
Formar al equipo, que también cuenta
El Reglamento europeo de IA (artículo 4) pide a las empresas que usan IA que tomen medidas para que su equipo sepa usarla con un mínimo de criterio; lo llama «alfabetización en IA». Lo cuento en sencillo en la ley europea de IA para negocios. Más allá de la norma, es lo práctico: un protocolo que nadie conoce no protege nada. Por eso en mis formaciones de IA para equipos hay un bloque sobre datos, límites y buenas prácticas, con tareas reales del despacho. Si quieres el detalle, lo cuento en formación de IA para gestorías.
Para los riesgos de la IA en cualquier negocio, no solo en gestorías, tienes una guía más general en IA en tu negocio: riesgos y datos.
Por dónde empezar
- Cuentas de empresa para todo el equipo y fuera las personales.
- El semáforo de datos por escrito y explicado en una reunión.
- Encargo de tratamiento con cualquier proveedor que toque datos.
- Empezar por tareas en verde (normativa, plantillas) y pasar al ámbar con anonimización.
¿Quieres verlo montado? Prueba la demo del panel para gestorías, pídeme presupuesto o escríbeme por WhatsApp y te cuento cómo quedaría en tu despacho. Todo lo que incluye, protocolo de datos y encargo de tratamiento incluidos, está en el sistema para gestorías.