Qué datos no deberían salir de la gestoría cuando se usa una IA
Pegar una nómina o una factura en un chat de IA para que la resuma se hace en un momento. En cuanto la pegas, ese documento sale del despacho y lo trata otra empresa, con sus condiciones.
Aquí cuento qué datos miraría antes de dejar que salgan, qué comprobaría de un servicio de IA antes de usarlo y cómo monto una automatización para que lo que no debe salir no salga.
Por qué lo miro así
Trabajo en la seguridad informática de una multinacional industrial, con datos sensibles y bajo RGPD. He llevado el ciclo de vulnerabilidades, que va de encontrar un fallo de seguridad a demostrar que está arreglado.
De ahí viene cómo miro una automatización. Antes de mover un dato, pregunto qué puede salir mal, a cuánta gente alcanza y quién lo vería.
Los datos que más cuidado piden
Estos son los que miraría primero en un despacho.
Lo de salud. Un parte de baja es un dato de salud aunque no diga la enfermedad, y la ley lo protege más que el resto. También lo es el grado de discapacidad que sale en una nómina o en una renta.
La afiliación a un sindicato. Si una nómina descuenta la cuota sindical, ya dice que esa persona está afiliada, y la ley también la protege más que el resto.
Lo que identifica a una persona y su dinero. El DNI, el IBAN, las nóminas, los contratos y las declaraciones de la renta, con la situación familiar de cada uno.
Las facturas de un autónomo. Llevan su nombre y su NIF, así que también son datos personales, aunque parezcan papeles de empresa.
Lo que no es personal y tampoco es vuestro. Las cuentas de una sociedad, lo que factura o a quién vende, en general no son datos personales, aunque si la sociedad es de una sola persona pueden llegar a serlo. Tampoco deberían salir, porque os los han dado para que los llevéis vosotros.
Antes de pegar un documento en un chat de IA
Lo que hace un servicio con lo que pegas lo dicen sus condiciones. Léelas para la cuenta con la que entras tú, la personal o la de empresa, y comprueba seis cosas.
- En qué país trata y guarda los datos. Si es fuera del Espacio Económico Europeo, que es la Unión Europea más Islandia, Noruega y Liechtenstein, tienes que saber en qué se apoya ese envío. A algunos países la Comisión Europea ya los da por seguros, y para el resto, por lo general, el servicio tiene que dar garantías por escrito.
- Si usa lo que pegas para entrenar o mejorar su IA, y si eso se puede apagar en tu cuenta. Si lo usa para algo suyo, ya no lo trata solo para lo que el despacho le pidió.
- Cuánto tiempo guarda lo que pegas, y si lo puedes borrar.
- Si hay un contrato entre el servicio y el despacho que diga qué hace con los datos y que solo los usa para lo que le pedís. Puede ser electrónico, pero tiene que quedar por escrito.
- Si lo permiten los contratos que tenéis con la gente que lleváis. Cuando el despacho lleva las nóminas de una empresa, por lo general trata esos datos por encargo de ella, y para meter otro servicio por medio hace falta que esa empresa lo haya autorizado antes por escrito, para ese servicio en concreto o en general. Si es en general, hay que avisarla antes del cambio para que pueda oponerse.
- Quién del despacho lo va a usar, y con qué cuenta. La cuenta personal de alguien del equipo no es una cuenta del despacho.
Si alguna respuesta es no lo sé, ese documento no se pega.
Y si la pregunta se puede hacer sin el documento entero, quita antes lo que no hace falta, como el nombre, el DNI o la cuenta del banco.
Cambiar el nombre por un número ayuda, pero no lo vuelve anónimo. Si en el despacho se puede saber de quién es, sigue siendo un dato personal.
Cómo lo monto para que no salga
Antes de tocar nada, te digo dónde vive cada dato y si algo tiene que salir.
Lo que se puede hacer con reglas fijas no necesita una IA. Sacar los números de una factura con texto y comprobar que el IVA cuadra son cuentas, y para eso no hace falta mandarla a ningún sitio. La herramienta de ejemplo que he publicado lo hace en el ordenador de quien la usa, y la he probado con la conexión a internet cortada. Lo cuento en la guía de las facturas.
La IA solo la uso donde un error se ve y se arregla antes de que cuente, como leer un escaneado o dejar un borrador, y lo confirma una persona del despacho.
Si para una parte hace falta una IA, primero miro si se puede hacer sin que el documento salga. Hay IAs que se instalan en un ordenador propio, y tengo varias funcionando en uno mío. Si el despacho necesita una así, sé montarlo para que lo que lee no salga. Otras veces basta con pasarle solo el trozo que necesita, sin el nombre ni el DNI. Así sale menos, pero lo que queda puede seguir siendo un dato personal, y valen las mismas comprobaciones.
Si algo tiene que salir, sale lo mínimo, a un servicio que sabéis cuál es y en qué país trata los datos, con el contrato por escrito y con vuestro visto bueno antes del primer dato real.
Lo que no debe salir se diseña para que no salga.
Lo que decide el despacho
Qué servicio se usa, qué datos ve y quién lo autoriza lo decidís vosotros, con quien os lleve la protección de datos. Yo os digo por escrito qué sale, adónde y qué contrato ofrece ese servicio.
Y lo que pide criterio no lo decide ninguna IA. Si una factura se deduce, cómo se contabiliza, qué se presenta y qué se firma lo decide el gestor, como hoy.
Si quieres mirarlo con vuestro despacho delante
Eso es la auditoría. Miramos juntos cómo se hace hoy, y te entrego por escrito qué automatizaría, qué no y dónde está cada dato sensible.
En la auditoría no veo ni un dato personal de la gente que lleváis. De vuestro equipo, solo el nombre, el correo y el teléfono de quien habla conmigo. La pantalla la movéis vosotros, y lo que os enseñe funcionando va con datos inventados.
Antes de pagarla puedes ver un informe de ejemplo entero, hecho para una empresa que no existe. Si prefieres repasar antes una tarea por tu cuenta, tienes las preguntas que haría en tu gestoría antes de automatizar. Lo que cuesta y cómo trabajo, en marcpenya.com/gestorias.
Escríbeme por WhatsApp desde marcpenya.com/reserva
Marc Peña, consultor de automatización en Barcelona · contact@marcpenya.com · marcpenya.com
Preguntas frecuentes
¿Puedo usar ChatGPT con las facturas de mis clientes?
Depende de la cuenta, de sus condiciones y de lo que hayáis firmado con cada autónomo o empresa que lleváis, y se mira antes de pegar nada. Comprueba en qué país trata los datos, si los usa para entrenar su IA, cuánto tiempo los guarda y si hay un contrato con el despacho que diga que solo los usa para lo que le pedís. Si una respuesta es no lo sé, la factura no se pega. Si todo cuadra, lo decide el despacho con quien os lleve la protección de datos.
¿Qué datos de una gestoría piden más cuidado?
Los de salud, como un parte de baja o un grado de discapacidad, y la afiliación a un sindicato que deja ver una nómina. La ley los protege más que el resto. Después, el DNI, el IBAN, las nóminas, los contratos y las rentas. Y las cuentas de una empresa, que en general no son datos personales, pero os las han dado para que las llevéis vosotros.
¿Si quito el nombre, ya puedo pegar el documento?
Ayuda, pero no lo vuelve anónimo. Si en el despacho se puede saber de quién es, sigue siendo un dato personal y valen las mismas comprobaciones. Lo que sí conviene es pegar solo lo que hace falta para la pregunta.
¿Una automatización tiene que mandar los datos fuera del despacho?
No siempre. Lo que se hace con reglas fijas, como sacar los números de una factura con texto y comprobar que cuadran, no exige mandarla a ningún sitio. Si una parte necesita una IA de fuera, antes de empezar te digo adónde van los datos y qué hace falta tener por escrito. Lo que no debe salir se diseña para que no salga.
¿Quién decide qué servicio se usa y qué datos ve?
El despacho, con quien os lleve la protección de datos. Yo os digo por escrito qué sale y adónde, y lo que pide criterio, como qué se presenta o qué se firma, no lo decide ninguna IA.
Esta guía explica un método de trabajo y lo que yo comprobaría. No es asesoramiento legal ni sustituye a quien os lleve la protección de datos, que es quien tiene que mirar vuestros contratos y las condiciones de cada servicio. Tampoco dice qué hace con los datos ningún servicio de IA en concreto, porque eso lo dicen sus condiciones, y cambian. Versión de noviembre de 2026.