El problema: usar ChatGPT en la empresa es un riesgo #
Cada dia, millones de empleados utilizan ChatGPT para redactar correos electronicos, resumir documentos y generar informes. Parece inofensivo. Sin embargo, segun un informe de 2025, el 77% de los empleados pega datos corporativos en servicios de IA como ChatGPT, y el 82% lo hace con cuentas personales, fuera del control de la empresa.
Este fenomeno se denomina shadow AI: el uso no autorizado de herramientas de inteligencia artificial en el entorno laboral. Y el perjuicio puede ser enorme.
El caso Samsung: codigo fuente filtrado en ChatGPT #
En 2023, tres ingenieros de Samsung pegaron en ChatGPT:
- Codigo fuente propietario de semiconductores para buscar un error
- Codigo confidencial para resolver problemas de equipos
- Una grabacion completa de una reunion interna para generar las actas
Resultado: Samsung prohibio todas las herramientas de IA generativa en dispositivos y redes corporativas. No son los unicos: JP Morgan, Goldman Sachs, Apple, Deutsche Bank y Bank of America hicieron lo mismo.
RGPD y ChatGPT: que riesgos corre tu empresa #
La multa de 15 millones en Italia #
En diciembre de 2024, la Autoridad de Proteccion de Datos italiana impuso a OpenAI una multa de 15 millones de euros, la primera sancion significativa en el mundo contra una empresa de IA generativa. Las infracciones identificadas:
- Ausencia de base juridica para el tratamiento de datos personales utilizados para entrenar ChatGPT
- Falta de notificacion de la brecha de datos de marzo de 2023
- Informacion insuficiente: solo en ingles y demasiado vaga
- Ausencia de verificacion de edad para impedir el acceso a menores
Que ocurre cuando un empleado pega datos en ChatGPT #
Desde la perspectiva del RGPD, la empresa sigue siendo responsable, incluso si el empleado actuo sin autorizacion. Pegar datos personales (de clientes, empleados, pacientes) en ChatGPT sin una base juridica constituye una infraccion del RGPD por parte del responsable del tratamiento.
Las consecuencias posibles:
- Obligacion de notificacion a la autoridad de control en un plazo de 72 horas (art. 33 RGPD)
- Sanciones de hasta 20 millones de euros o el 4% de la facturacion global
- Dano reputacional incalculable
El problema de la transferencia de datos a EE. UU. #
ChatGPT procesa los datos en infraestructura estadounidense. El Marco de Privacidad de Datos UE-EE. UU. fue confirmado en 2025, pero la organizacion NOYB de Max Schrems ya ha anunciado un recurso ante el Tribunal de Justicia de la UE. Si el marco se invalida, como ocurrio con el Privacy Shield en 2020, toda transferencia de datos personales a OpenAI se convertiria potencialmente en ilegal.
Reglamento de IA: las nuevas obligaciones para las PYME #
El Reglamento europeo de Inteligencia Artificial (AI Act, Reg. UE 2024/1689) entro en vigor el 1 de agosto de 2024 con una aplicacion progresiva:
| Fecha | Que cambia |
|---|---|
| Febrero 2025 | Prohibicion de practicas de IA inaceptables + obligacion de alfabetizacion en IA para todos |
| Agosto 2025 | Obligaciones para modelos de IA de proposito general (GPAI) |
| Agosto 2026 | Obligaciones completas para sistemas de IA de alto riesgo, transparencia, supervision humana |
La obligacion de alfabetizacion en IA ya esta en vigor #
Desde el 2 de febrero de 2025, toda empresa que utilice herramientas de IA debe garantizar que su personal cuente con un “nivel suficiente de alfabetizacion en IA”. Esto se aplica a todas: desde la PYME de 5 empleados hasta la multinacional.
El riesgo no esta en la herramienta, sino en su uso #
El mismo ChatGPT puede ser:
- Riesgo minimo: para redactar borradores de correos o hacer lluvia de ideas
- Alto riesgo: para seleccionar candidatos, evaluar la solvencia crediticia o tomar decisiones que afecten a personas
Si utilizas la IA para decisiones que afectan a personas, se activan obligaciones rigurosas: evaluacion de impacto, supervision humana, registro en la base de datos de la UE.
Sanciones del Reglamento de IA #
| Infraccion | Sancion maxima |
|---|---|
| Practicas prohibidas | 35 millones de euros o 7% de la facturacion |
| Sistemas de alto riesgo | 15 millones de euros o 3% de la facturacion |
| Informacion falsa a las autoridades | 7,5 millones de euros o 1% de la facturacion |
Para las PYME, la sancion se calcula siempre sobre el importe mas bajo entre la cifra fija y el porcentaje de facturacion. Pero incluso el mas bajo puede ser significativo.
La solucion: IA privada #
La IA privada resuelve el problema de raiz: los datos nunca salen del perimetro empresarial.
En lugar de enviar datos a servidores estadounidenses, un sistema de IA privada opera sobre infraestructura controlada: europea, on-premise o en el centro de datos de tu proveedor certificado. Los modelos de lenguaje (LLM) se ejecutan localmente, los documentos permanecen donde estan y ningun dato acaba en el entrenamiento de modelos de terceros.
Que cambia con la IA privada #
| ChatGPT (cloud) | IA privada | |
|---|---|---|
| Adonde van los datos | Servidores en EE. UU. (OpenAI) | Infraestructura controlada |
| Entrenamiento con tus datos | Posible (nivel gratuito) | Nunca |
| Cumplimiento del RGPD | Complejo, arriesgado | Nativo |
| Cumplimiento del Reglamento de IA | Responsabilidad del usuario | Integrado en el diseno |
| Transferencia fuera de la UE | Si | No |
| Control de acceso | Limitado | Completo |
| Registro de auditoria | Parcial | Completo |
Como funciona PRISMA, el stack de IA privada de HTX #
En HTX hemos construido PRISMA, una plataforma de IA privada disenada para empresas que manejan datos sensibles.
Donde opera PRISMA #
PRISMA puede operar dentro del Data Center del BIC Incubatori FVG, el incubador certificado de la Region Friuli Venezia Giulia. Infraestructura dedicada, conectividad redundante, seguridad fisica y logica. Para las cargas que requieren mayor potencia, nos apoyamos en TriesteValley HPC, el cluster de computacion de alto rendimiento equipado con GPU NVIDIA.
Que hace PRISMA #
- Chat IA empresarial: un asistente de IA que responde unicamente a partir de tus documentos internos (RAG – Retrieval Augmented Generation)
- Text-to-SQL (MANTA): formula preguntas en lenguaje natural a tus bases de datos y obtiene respuestas precisas sin escribir codigo
- Clasificacion IA (KOI): modelos entrenados con tus datos para clasificar, categorizar y decidir, con plena transparencia y supervision humana
- Ningun dato sale: todo permanece en infraestructura europea, bajo tu control
Por que Trieste #
HTX opera en el polo cientifico de Trieste, la ciudad europea con la mayor densidad de investigadores por habitante (37 por cada 1.000 trabajadores). En abril de 2025 nacio aqui el AGORAI Innovation Hub, la alianza entre Generali y Google Cloud para la IA. Nuestro ecosistema incluye SISSA, ICTP, Universita’ di Trieste, Fincantieri e illycaffe'.
Que hacer ahora: 5 pasos para tu empresa #
- Realiza una auditoria de las herramientas de IA que utilizan los empleados, incluidas las no autorizadas
- Clasifica los usos por nivel de riesgo segun el Reglamento de IA (minimo, limitado, alto)
- Inicia la formacion en alfabetizacion en IA: es obligatoria desde febrero de 2025
- Redacta una politica empresarial sobre el uso de la IA que defina lo que se puede y lo que no se puede hacer
- Evalua una solucion de IA privada que mantenga los datos bajo tu control
Quieres saber mas? #
Si quieres entender como la IA privada puede funcionar en tu empresa, sin riesgos de RGPD, sin transferencias fuera de la UE, sin shadow AI, escribenos. Te respondemos en 24 horas.
Este articulo ha sido redactado por el equipo de HTX – Human Technology eXcellence. Disenamos sistemas de inteligencia artificial privada para sanidad e industria, desde nuestro centro de datos en Trieste.