Datos en servicios de IA en la nube: qué comprobar antes de usarlos

Enviar una pregunta a un asistente, usar una API de modelos o activar una función de IA dentro de otra plataforma puede implicar tratamientos de datos distintos. Por eso, una afirmación general como «el proveedor no usa mis datos» no basta para decidir si es seguro subir un documento, código o información de clientes. La respuesta depende del servicio concreto, del tipo de cuenta y de las condiciones que se aplican a esa función.

La documentación debe leerse como un conjunto de reglas, no como una promesa resumida en una página comercial. Conviene identificar qué datos se procesan, con qué finalidad, cuánto tiempo se conservan y qué opciones están disponibles para la cuenta en cuestión. La regla práctica es verificar cada producto y configuración por separado, en lugar de extrapolar una política de un servicio a otro.

La retención responde a cuánto tiempo puede conservarse la información y para qué operaciones. Puede haber diferencias entre el contenido enviado, el historial visible para el usuario, registros de seguridad y datos asociados a una solicitud. Que una conversación deje de aparecer en una interfaz no demuestra por sí solo que todas las copias o registros hayan sido eliminados; esa conclusión requiere documentación específica del servicio.

El uso para mejorar o entrenar modelos es otra cuestión. OpenAI indica que los controles de ChatGPT permiten elegir si las conversaciones contribuyen al entrenamiento y que la disponibilidad de opciones depende, entre otros factores, del plan y la configuración del espacio de trabajo. En la misma documentación se explica que desactivar «Improve the model for everyone» impide usar conversaciones nuevas para entrenar modelos, pero estas pueden seguir apareciendo en el historial. Desactivar el entrenamiento no equivale a borrar el historial ni a establecer un plazo de retención.

También hay que distinguir el entrenamiento de la revisión de contenido con fines de seguridad o prevención de abuso. Son finalidades diferentes y pueden tener reglas diferentes. La documentación general sobre datos de empresas no sustituye a la guía concreta de una API, una función o un plan. Antes de confiar en una exclusión, comprueba si se aplica a la herramienta que usarás, qué condiciones exige y si debe solicitarse o habilitarse expresamente.

Los controles pueden variar por producto, tipo de cuenta, región o configuración administrada. En ChatGPT, OpenAI señala que las opciones disponibles dependen de si el usuario ha iniciado sesión, de su plan y de la configuración del espacio de trabajo. Esa advertencia no debe trasladarse automáticamente a otros proveedores: sirve como ejemplo de por qué el nombre de una opción no basta; hay que verificar su alcance y sus excepciones en la documentación vigente del servicio exacto.

Antes de utilizar un servicio de IA con información propia, localiza la política de datos y las instrucciones específicas del producto. Busca respuestas concretas a estas preguntas:

• Qué se envía: entradas, archivos adjuntos, resultados, metadatos y datos de uso.
• Para qué se procesa: prestación del servicio, seguridad, soporte o mejora de modelos.
• Cuánto se conserva: plazos por tipo de dato y posibles excepciones, como registros de seguridad.
• Quién puede acceder: personal del proveedor, administradores del espacio de trabajo o subencargados, según corresponda.
• Qué puede controlar el cliente: exclusión del entrenamiento, borrado, exportación, retención configurable y permisos.
• A qué cuenta se aplica: personal, empresarial, API u otra modalidad, y si una política contractual cambia la regla general.

Si la página no aclara una respuesta importante, no la rellenes con una inferencia basada en otro servicio. Consulta la documentación contractual, la configuración de administración o el canal de soporte del proveedor. Para organizaciones, la comprobación también debería cubrir quién tiene autoridad para activar controles y cómo se gestionan los datos conforme a las obligaciones internas y legales aplicables.

El Comité Europeo de Protección de Datos reúne información y trabajo de política sobre inteligencia artificial y protección de datos personales. Ese marco es relevante para evaluar responsabilidades y riesgos, pero no establece por sí solo cuánto tiempo conserva un servicio determinado una solicitud ni qué ajuste tiene activo una cuenta. Para responder esas preguntas hacen falta las condiciones y guías específicas del proveedor, además de la configuración real.

La documentación de la AEPD sobre innovación y tecnología puede servir como punto de partida institucional para localizar recursos relacionados con tecnologías emergentes. Aun así, una página temática no sustituye una evaluación jurídica del caso ni confirma que una herramienta concreta cumpla todos los requisitos aplicables. La guía regulatoria contextualiza; la documentación del servicio y la configuración determinan qué condiciones declara el proveedor para ese uso.

Las fuentes disponibles permiten sostener una conclusión acotada: en los servicios de IA, entrenamiento, retención y controles de cuenta son aspectos que deben verificarse por separado. La ayuda oficial de ChatGPT ilustra que una preferencia de entrenamiento puede afectar a conversaciones nuevas sin retirar necesariamente el historial, y que las opciones dependen del plan y del espacio de trabajo. Esto muestra por qué no conviene interpretar una opción de privacidad como una garantía universal.

No hay aquí una comparación vigente y completa de proveedores, ni evidencia suficiente para establecer plazos de retención de servicios concretos o afirmar que una opción determinada elimina la revisión humana. Tampoco se presenta un cambio reciente que justifique una noticia de última hora. La conclusión útil es metodológica: no envíes información sensible hasta identificar la política aplicable a tu servicio, cuenta y configuración, y registra cualquier punto que la documentación deje sin resolver.