¿Puede mi empresa vigilar mis prompts de IA en el trabajo? Sí. Lo difícil es saber de quién son los registros
Las herramientas de IA para empresas llegan con el registro activado de serie, y tanto en el Reino Unido como en España la ley permite, en líneas generales, que la empresa mire. Lo que ninguna norma, ningún contrato y ningún regulador ha resuelto todavía es qué puede hacer esa empresa con un registro de cómo piensa su plantilla.
¿Puede mi empresa vigilar mis prompts de IA en el trabajo? En sistemas corporativos, da por hecho que sí. La documentación de Microsoft sobre los registros de auditoría de Copilot y las aplicaciones de IA señala que cada interacción genera automáticamente un registro: quién preguntó, cuándo, en qué aplicación y qué archivos utilizó el asistente para construir la respuesta. Los compromisos de privacidad para empresas de OpenAI ponen el control de acceso y de conservación en manos de los administradores del espacio de trabajo. Las organizaciones compran la versión corporativa precisamente por esa visibilidad, y no hace falta configurar nada para activarla.
La pregunta interesante está un peldaño más abajo. El derecho laboral y de protección de datos lleva un cuarto de siglo perfilando cuándo puede una empresa observar a su plantilla. Apenas ha empezado a resolver qué puede hacer con un registro, legible por máquinas, de cómo razona esa plantilla. Esa distancia entre la visibilidad ya asentada y la propiedad todavía sin resolver es donde vive hoy el riesgo, para la empresa y para quien escribe el prompt.
¿Puede mi empresa vigilar mis prompts de IA en el trabajo? Lo que permite realmente la ley
En el Reino Unido, la vigilancia en el trabajo es lícita cuando se hace de forma abierta y proporcionada. La ICO, el regulador británico de protección de datos y equivalente funcional de la AEPD española, publicó en octubre de 2023 su guía sobre la vigilancia de los trabajadores: la empresa necesita una base jurídica, debe informar sobre la naturaleza, el alcance y los motivos de cualquier control, debe realizar una evaluación de impacto cuando el riesgo sea alto, y solo puede recurrir a la vigilancia encubierta en circunstancias excepcionales. Nada de esto prohíbe registrar los prompts; el efecto es obligar a hacerlo a la vista de todos y a rendir cuentas por ello. El planteamiento es prácticamente calcado al artículo 5 del RGPD y a la doctrina que aplica la propia AEPD en España.
La jurisprudencia europea apunta en la misma dirección, y esta parte afecta directamente a España. En el asunto Bărbulescu contra Rumanía, la Gran Sala del Tribunal Europeo de Derechos Humanos concluyó que una empresa que leyó los mensajes de un trabajador sin haberle avisado adecuadamente había vulnerado su derecho a la vida privada, y fijó los criterios que hacen defendible la vigilancia laboral: aviso previo, alcance limitado, motivos legítimos y valoración de medios menos invasivos. España, como firmante del Convenio Europeo de Derechos Humanos, queda sujeta a esa misma doctrina, y el Tribunal Constitucional español ha seguido una lógica muy similar en sus propias sentencias sobre el control empresarial de dispositivos y comunicaciones. Leída con atención, la sentencia es un manual para vigilar de forma lícita, no un escudo contra la vigilancia. Una empresa que impone el uso de un asistente de IA, anuncia el registro en su política de uso aceptable y lo limita a las cuentas corporativas superará el filtro sin dificultad.
¿De quién es un registro de cómo piensas?
Visibilidad y propiedad son preguntas distintas, y es en la segunda donde la redacción de los contratos se queda corta. Empecemos por el argumento más fuerte a favor de la empresa: la propiedad intelectual. En el Reino Unido, la Ley de Propiedad Intelectual, Diseños y Patentes de 1988, artículo 11(2), atribuye a la empresa la obra creada por un trabajador en el marco de su empleo, salvo pacto en contrario. La Ley de Patentes de 1977, artículo 39, hace lo mismo con las invenciones. España llega a una conclusión muy parecida por otra vía: el artículo 51 del Texto Refundido de la Ley de Propiedad Intelectual atribuye a la empresa los derechos de explotación del software creado por el trabajador en el ejercicio de sus funciones, y la Ley de Patentes 24/2015 hace lo propio con las invenciones laborales. Un prompt redactado con cuidado es defendible como obra, y un flujo de trabajo impuesto por la empresa encaja de lleno en el ejercicio de esas funciones. Si el análisis terminara ahí, la empresa se lo quedaría todo.
No termina ahí, porque el registro de prompts es dos cosas a la vez. Es un conjunto de trabajo entregable, y es también un dato personal sobre el trabajador: un registro con marca de tiempo de cómo una persona identificada razona, ordena un problema y corrige sus propios errores. Los datos personales arrastran el principio de limitación de la finalidad: se recogen para fines específicos y explícitos, y no se pueden tratar después de forma incompatible con ellos. Es el mismo principio, letra por letra, que consagra el artículo 5.1.b) del RGPD y que la AEPD exige respetar a cualquier empresa española. Una organización que dijo a su plantilla que registraba el uso del asistente por seguridad y calidad, y que más tarde usa esos registros para entrenar un sistema que reproduce el criterio de una persona especialista, o para justificar la reclasificación de un puesto, está persiguiendo una finalidad nueva. Tendría que justificar la compatibilidad o volver a informar abiertamente a su plantilla antes de hacerlo. La reutilización silenciosa es exactamente lo que este principio existe para impedir.
Luego está el vacío de la consulta previa, y aquí España parte en mejor posición que el Reino Unido. Los Reglamentos de Información y Consulta de los Trabajadores de 2004 británicos solo cubren empresas de al menos 50 personas empleadas, y solo se activan cuando una solicitud formal los pone en marcha; la mayoría de las plantillas británicas no tiene ningún foro en el que la reutilización de los registros de prompts deba siquiera mencionarse. España, en cambio, modificó en 2021 el artículo 64.4.d) del Estatuto de los Trabajadores para obligar a informar a la representación legal de la plantilla sobre los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones, incluida la elaboración de perfiles con incidencia en las condiciones de trabajo y en el acceso y mantenimiento del empleo. Es una obligación de transparencia real, pero nació pensando en algoritmos de gestión de plantillas y reparto de tareas, no en registros conversacionales generados por cada empleado con un asistente de IA; sigue sin estar probado si un comité de empresa puede exigir ver, en estos términos, cómo se reutilizan esos registros. El contrato de trabajo, redactado cuando el trabajo entregable significaba documentos e invenciones, no suele decir nada sobre telemetría de comportamiento. El activo se acumula de todos modos, gobernado por cláusulas escritas para otra década.
Por qué la pregunta sobre la reutilización no se va a quedar en la teoría
El incentivo ya está sobre la mesa. Mark Zuckerberg atribuyó el plan de despidos de Meta al aumento del gasto en infraestructura de IA, y describió el cómputo y las personas como las dos grandes partidas de coste de la compañía, en el mismo periodo en que Meta anunció públicamente una inversión de más de 600.000 millones de dólares en Estados Unidos hasta 2028 destinada a infraestructura y tecnología de IA. Es la aritmética de una sola empresa, expuesta por su propio consejero delegado, y debería recalibrar cómo lee cualquiera esa disyuntiva. Cuando el gasto en personal y el gasto en infraestructura de IA compiten por la misma partida presupuestaria, cualquier conjunto de datos que haga transferible el criterio de una persona a un sistema adquiere valor, lo haya nombrado un contrato o no. Los registros de prompts son exactamente ese conjunto de datos.
Resolver el papeleo antes de que llegue el conflicto
La respuesta práctica cambia según el asiento que se ocupe. Los consejos de administración deberían tratar los registros de prompts como un activo con pasivos asociados: decidir de forma deliberada quién los posee, cuánto tiempo se conservan y para qué usos secundarios están autorizados, dejarlo por escrito en la política interna, y situar esa decisión donde corresponde, junto a la estrategia técnica, y no enterrada en la configuración de un panel de administración. Es el argumento que desarrollamos en IA práctica con control humano: la capa de gobernanza pesa más que la herramienta que hay detrás. La plantilla debería leer la política de uso aceptable y preguntar por escrito qué se registra, cuánto tiempo se conserva y si los registros pueden usarse para entrenar sistemas o rediseñar puestos. Con el marco de transparencia del RGPD y la doctrina de la AEPD, esas preguntas merecen respuesta, y una empresa incapaz de darla ya ha revelado algo útil: hasta qué punto su gobernanza va por detrás de sus herramientas.
Preguntas frecuentes
¿Puede mi empresa ver mis prompts de ChatGPT en el trabajo?
En un espacio de trabajo corporativo, da por hecho que sí. La documentación de OpenAI para empresas pone el control de acceso y conservación en manos de los administradores, y productos comparables registran cada interacción en el historial de auditoría de la organización por defecto. Incluso con una cuenta personal, la actividad en un dispositivo o una red corporativa puede quedar visible a través de la vigilancia habitual de red y de equipos. Trata como observable todo lo que escribas en sistemas de la empresa.
¿De quién son los prompts de IA que escribo en el trabajo?
En el Reino Unido, la propiedad intelectual de las obras creadas en el marco del empleo corresponde por defecto a la empresa; en España, el artículo 51 del Texto Refundido de la Ley de Propiedad Intelectual llega a una conclusión muy parecida para el software creado en el ejercicio de las funciones laborales. Los prompts en sí mismos suelen ser, por tanto, trabajo entregable de la empresa. El registro sobre ti es otra cosa: es un dato personal, y el RGPD limita su reutilización para fines incompatibles con los que se te comunicaron. Revisa las cláusulas de propiedad intelectual y de vigilancia de tu contrato, y pide por escrito la política de conservación y reutilización.
¿Puede mi empresa usar mis registros de conversaciones con IA para entrenar sistemas o evaluarme?
Solo dentro de los límites de la protección de datos. El principio de limitación de la finalidad significa que un registro recogido para un fin declarado, como la seguridad, no puede reutilizarse en silencio para algo incompatible, y en el Reino Unido la propia ICO exige informar a la plantilla sobre la naturaleza, el alcance y los motivos de la vigilancia; en España, ese mismo deber de información nace del RGPD y, para los algoritmos que afectan a las condiciones de trabajo, del artículo 64.4.d) del Estatuto de los Trabajadores. Una empresa que quiera usar esos registros para entrenar sistemas o rediseñar puestos debería decirlo abiertamente, y tienes derecho a preguntar por escrito si lo está haciendo.
Relacionado
- La pérdida de habilidades por la IA es el riesgo que tu empresa no está calculando
- El caso de negocio de la terapia con IA es un suelo, no un techo
- El oligopolio de la memoria que está inflando el coste real de la IA
- AI & Automation
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.