Una de las preguntas más comunes que la gente plantea sobre herramientas de IA como ChatGPT, Claude, Gemini y Copilot es si la empresa detrás de la herramienta posee los datos que el usuario introduce. Es una pregunta sensata, y la respuesta corta es que no, por lo general estas empresas no afirman ser propietarias de sus datos en ningún sentido legal. La respuesta más larga y útil es que la propiedad es un marco equivocado para entender lo que realmente ocurre, y las preguntas que realmente importan son sobre licencias, uso para entrenamiento, retención, confidencialidad y las diferencias entre productos para consumidores y para empresas.
Esta guía explica qué sucede realmente con los datos que introduces en las herramientas de IA predominantes, qué derechos concedes al hacerlo, cómo varían las respuestas entre productos y niveles, y qué medidas prácticas deben tomar personas y empresas para protegerse. La discusión se basa en los términos de servicio y la documentación públicamente disponibles de los principales proveedores en el momento de la redacción, con la importante salvedad de que las políticas cambian con frecuencia y siempre debes comprobar los términos vigentes para cualquier producto específico.
Lo que la propiedad significa en este contexto
Lo primero que hay que aclarar es que la propiedad es un concepto jurídico que no se adapta exactamente a la pregunta que la mayoría de la gente realmente hace. Cuando escribes un mensaje en ChatGPT, sigues siendo el titular de los derechos de propiedad intelectual subyacentes que tenías sobre ese texto antes de escribirlo. Lo mismo ocurre con los archivos que subes, las imágenes que compartes o cualquier otro contenido que envíes.
Lo que los proveedores suelen recibir no es la propiedad sino una licencia. Una licencia es un permiso para usar el contenido con fines especificados. Al aceptar los términos de servicio de una herramienta de IA, normalmente estás otorgando al proveedor una licencia para procesar tu entrada, generar salidas, operar el servicio y, en algunos casos, usar los datos para mejorar los modelos subyacentes.
La cuestión práctica no es quién posee los datos. Es qué está autorizado a hacer el proveedor con ellos, durante cuánto tiempo, bajo qué controles y si puedes cambiar esos valores predeterminados. Ahí es donde reside la verdadera variación entre productos.
El uso para entrenamiento es la cuestión que más importa
La variable más importante para la mayoría de los usuarios es si el proveedor usa tus entradas para entrenar el modelo subyacente. Esto importa porque, una vez que los datos se han usado para entrenar un modelo, los rastros de esos datos pueden en principio influir en salidas futuras, incluidas las mostradas a otros usuarios.
La respuesta varía drásticamente según el producto y el nivel.
Para la versión para consumidores de ChatGPT, incluido el nivel gratuito y ChatGPT Plus, la posición predeterminada de OpenAI es usar las conversaciones para mejorar sus modelos, a menos que el usuario desactive la configuración correspondiente en los controles de datos. La configuración es sencilla de cambiar y se aplica hacia adelante. OpenAI también ha ofrecido un modo de Chat Temporal para conversaciones puntuales que no se guardan en el historial y no se usan para entrenamiento.
Para ChatGPT Team, ChatGPT Enterprise y la API de OpenAI, la predeterminación es la opuesta. El contenido del cliente no se utiliza para entrenar los modelos de OpenAI a menos que el cliente elija específicamente compartirlo. Esta es una de las distinciones más importantes entre los productos para consumidores y los de empresa en la categoría de IA, y se aplica de forma similar en la mayoría de los grandes proveedores.
Anthropic históricamente ha mantenido una posición firme de que Claude no se entrena con las entradas de los clientes por defecto para su API y ofertas comerciales. Los controles de entrenamiento y retención para el producto Claude de consumo han evolucionado con el tiempo y varían según la región y el tipo de cuenta, por lo que la opción más segura es comprobar la configuración actual dentro de tu propia cuenta de Claude en lugar de fiarse de una descripción única de los valores predeterminados.
Los productos de consumo de Google Gemini han recopilado conversaciones para la mejora del producto con valores predeterminados que varían según la región y el tipo de cuenta. Los clientes de Workspace que usan Gemini for Workspace tienen una postura distinta, en la que el contenido del cliente en los servicios centrales de Workspace no se usa para entrenar modelos generativos de IA sin permiso explícito.
Microsoft Copilot para consumidores y Microsoft 365 Copilot para empresas presentan divisiones similares. Los productos Copilot para empresas que se integran con Microsoft 365 se posicionan como que no usan el contenido del cliente para entrenar los modelos fundacionales subyacentes, y Microsoft ha establecido compromisos explícitos sobre los límites de datos alrededor de la oferta empresarial.
Meta AI opera con un valor predeterminado más amplio que la mayoría de los otros grandes proveedores. Meta ha sido clara en que el contenido compartido públicamente en sus plataformas puede usarse para entrenar sus modelos de IA, con derechos de objeción más fuertes en jurisdicciones como la Unión Europea donde la normativa de protección de datos se los proporciona y controles más limitados en otros lugares. Los usuarios en distintas regiones, por lo tanto, tienen opciones significativamente diferentes sobre cómo se usa su contenido.
La cuestión de las salidas
Separada de lo que ocurre con tus entradas está la pregunta de quién posee las salidas que una herramienta de IA genera para ti. Aquí el panorama es, en general, favorable para los usuarios.
OpenAI, Anthropic, Google, Microsoft y Meta otorgan o permiten a los usuarios derechos sustanciales sobre las salidas de sus herramientas. La redacción exacta varía, pero el efecto práctico es que puedes usar las salidas con fines comerciales en la mayoría de los contextos. Los proveedores suelen reservar algunos derechos limitados para usar las salidas en relación con la operación del servicio.
La complicación más interesante es el derecho de autor. La ley de derechos de autor de Estados Unidos, tal como la interpreta actualmente la Oficina de Derechos de Autor de EE. UU., generalmente no reconoce las obras puramente generadas por IA como elegibles para protección por derechos de autor. Las obras que combinan una autoría humana sustancial con elementos generados por IA pueden ser protegibles por los derechos de autor solo en la medida de las contribuciones humanas. Esta es un área activa del derecho y se está poniendo a prueba en tribunales y entornos de política, por lo que la orientación práctica para quien produce trabajo comercial con herramientas de IA es documentar las contribuciones humanas y asumir que las normas pueden evolucionar.
Nada de esto cambia la relación básica entre tú y el proveedor de IA. Cualquiera que sea el estado del derecho de autor sobre la salida, el proveedor no afirma ser su propietario.
Confidencialidad, privacidad y quién dentro del proveedor puede ver las conversaciones
Otro conjunto de preguntas concierne a quién en el proveedor puede ver realmente tus conversaciones y en qué circunstancias. Las respuestas aquí son razonablemente consistentes entre los principales proveedores.
Todos los grandes proveedores permiten algún tipo de acceso por parte de sus empleados con fines limitados, que incluyen revisión de seguridad, detección de abusos, mejora del modelo y cumplimiento legal. Las revisiones suelen regirse por políticas internas, se limitan a personal específico y se registran. Ninguno de los principales proveedores ofrece un modelo de cero conocimiento completo en el que la propia empresa no tenga manera de acceder a los datos de la conversación.
Los productos empresariales y de API generalmente proporcionan compromisos contractuales más fuertes sobre el acceso, incluidos términos explícitos de confidencialidad, acuerdos de tratamiento de datos y, en algunos casos, la capacidad de exigir notificación al cliente antes del acceso. Los productos de consumo ofrecen compromisos más débiles y el usuario tiene menos recursos si los patrones prácticos de acceso difieren de lo esperado.
El resumen honesto es que las conversaciones con productos de IA de consumo no deberían considerarse confidenciales en el sentido legal estricto. Todo aquello que no quieras que potencialmente vea un empleado de un tercero no debería introducirse en una herramienta de IA de consumo.
Retención de datos
La retención es la pregunta de cuánto tiempo permanecen tus datos en los sistemas del proveedor después de que termina la conversación. Los valores predeterminados varían ampliamente.
OpenAI conserva por defecto el historial de conversaciones de ChatGPT para consumidores, con controles de usuario para eliminar conversaciones individuales o borrar el historial. El modo de Chat Temporal no guarda en el historial de chat, y OpenAI ha indicado que puede retener contenido de Chat Temporal brevemente para revisión de seguridad antes de su eliminación. El contenido de la API se rige por una política de retención separada, con opciones de retención cero disponibles para clientes empresariales que cumplen ciertos requisitos y bajo términos específicos.
Las políticas de retención de Anthropic siguen un patrón similar, con una retención predeterminada más larga para productos de consumo y opciones configurables para clientes empresariales. Los plazos específicos han cambiado con el tiempo y están documentados en el centro de confianza y seguridad de Anthropic.
Google conserva la actividad de Gemini según los controles de datos del nivel de cuenta del usuario, que pueden configurarse para una retención más corta o programaciones de eliminación automática a través de la cuenta de Google del usuario.
La retención de Microsoft para los productos Copilot sigue el marco de gobernanza de datos de Microsoft 365 para clientes empresariales y un marco de privacidad de consumidores para los productos de nivel gratuito.
La retención de Meta suele estar vinculada a las prácticas de retención más amplias de la cuenta de Meta.
En todos los casos, procesos legales en curso u órdenes regulatorias pueden exigir a los proveedores conservar datos más allá de los periodos normales. Un ejemplo ampliamente divulgado es la litigación en curso del New York Times contra OpenAI, donde supuestamente órdenes judiciales han requerido que OpenAI preserve ciertos datos de salida de ChatGPT y la API que de otro modo habrían sido eliminados según las políticas normales. El alcance exacto de cualquier orden de este tipo queda regido por las presentaciones específicas en el caso. El punto más amplio es que las políticas de retención operan dentro de un contexto legal que puede anular los ajustes predeterminados.
Diferencias regionales y la cuestión del RGPD
El lugar donde vives afecta los derechos que tienes sobre tus datos con los proveedores de IA. El Reglamento General de Protección de Datos de la Unión Europea, la Ley de Protección de Datos del Reino Unido y marcos similares en otras jurisdicciones otorgan a los usuarios derechos legales específicos para acceder, corregir, eliminar y portar sus datos personales, y para oponerse a ciertos usos, incluidas algunas formas de toma de decisiones automatizada.
La Ley de Privacidad del Consumidor de California y leyes estatales similares de EE. UU. ofrecen un conjunto más limitado pero aún significativo de derechos para residentes de California y residentes de un número creciente de estados de EE. UU. con leyes de privacidad integrales.
Los principales proveedores de IA ofrecen herramientas de cumplimiento para estos regímenes, incluidos portales de solicitud de derechos de los interesados, opciones de residencia de datos regionales para clientes empresariales y términos contractuales de tratamiento de datos para clientes empresariales en sectores regulados. La experiencia práctica de ejercer estos derechos varía, y los productos de consumo tienden a ofrecer menos facilidades en la práctica de lo que a veces prometen en teoría.
Si estás sujeto al RGPD o a un régimen similar, tus derechos con respecto a las herramientas de IA son más fuertes de lo que podrían sugerir los términos de servicio predeterminados. Si no lo estás, en gran medida dependes de los compromisos del proveedor y del mosaico de leyes estatales y federales de EE. UU. que se aplican a tu situación.
Qué sucede con los archivos y otras subidas
Más allá de las entradas de texto, los usuarios con frecuencia suben archivos, imágenes, grabaciones de audio y otro contenido a las herramientas de IA. Se aplica el mismo marco general. Mantienes la propiedad, el proveedor recibe una licencia para procesar el contenido con el fin solicitado, y el uso para entrenamiento y la retención siguen las políticas más amplias del producto.
Vale la pena destacar dos precauciones específicas. Primero, los archivos a menudo contienen información más sensible de lo que el usuario se da cuenta, incluidos metadatos, comentarios incrustados e historial de revisiones. Un documento subido para resumir puede incluir mucho más que lo visible en pantalla. Segundo, los archivos que contienen datos personales de terceros conllevan obligaciones de las que el usuario, no el proveedor de IA, es responsable en virtud de la mayoría de las leyes de privacidad. Subir datos de clientes, registros de empleados u otro contenido cubierto por compromisos de privacidad puede crear riesgos de cumplimiento incluso si el propio proveedor de IA se comporta perfectamente.
El patrón del nivel empresarial
El patrón más útil que ha surgido en la industria es la marcada distinción entre los niveles de producto para consumidores y para empresas en sus condiciones de datos.
Los niveles empresariales entre los principales proveedores tienden a compartir una estructura común, aunque las funciones específicas varían según el proveedor y el nivel. Por defecto, el contenido del cliente normalmente no se utiliza para entrenar los modelos subyacentes. Los acuerdos de tratamiento de datos suelen estar disponibles cuando son necesarios para el cumplimiento normativo. Los controles administrativos generalmente permiten a las organizaciones gestionar la retención, el acceso y la auditoría. Los compromisos de confidencialidad y seguridad son más sólidos y vinculantes contractualmente de formas que los términos para consumidores no son. Los niveles empresariales superiores suelen añadir funciones como inicio de sesión único, registros de auditoría, acceso basado en roles y, en algunos casos, opciones regionales de residencia de datos o retención cero. La combinación exacta disponible depende del proveedor, del producto y del contrato específico.
Para cualquier organización en la que importe, aunque sea modestamente, el contenido introducido en herramientas de IA, el nivel empresarial suele ser la opción adecuada. La diferencia de precio varía según el proveedor y el número de usuarios, pero para la mayoría de las organizaciones el coste es modesto en relación con el valor de los controles.
Orientación práctica para individuos
Para las personas que utilizan herramientas de IA de consumo, la orientación práctica es directa.
Trate las conversaciones en herramientas de IA de consumo como potencialmente visibles para el proveedor. No introduzca nada que no le gustaría que viera un tercero en el improbable caso de una revisión interna.
Revise las opciones de entrenamiento y control de datos en los productos que usa con regularidad y configúrelas según su preferencia. Los valores predeterminados difieren según el producto y la región, y los controles suelen estar ocultos en la configuración de la cuenta en lugar de presentarse de forma destacada.
Utilice modos de conversación temporales o de incógnito para preguntas puntuales que no quiera que se guarden.
No ponga en una herramienta de IA de consumo información sobre otras personas que ellas no deseen compartir, especialmente datos personales sensibles de terceros.
No asuma que eliminar significa borrado inmediato y permanente en todos los sistemas. Retenciones legales, copias de seguridad y sistemas operativos pueden extender el plazo real de conservación.
Orientación práctica para empresas
Para las empresas, la orientación es algo más compleja pero sigue la misma lógica.
Use el nivel empresarial de cualquier producto de IA que los empleados utilicen para contenido de trabajo. La postura predeterminada sobre entrenamiento y confidencialidad de los niveles empresariales es sustancialmente mejor que la de los niveles de consumo, y la diferencia de coste es pequeña.
Establezca una política escrita sobre qué datos se pueden y no se pueden introducir en las herramientas de IA, qué niveles están aprobados y qué categorías de contenido requieren controles adicionales. Asegúrese de que los empleados conozcan la política y entiendan la diferencia entre productos de consumo y empresariales.
Firme acuerdos de tratamiento de datos con cualquier proveedor de IA cuyas herramientas se utilicen para contenido cubierto por leyes de privacidad, contratos con clientes o regulaciones del sector. Los acuerdos suelen estar disponibles y son una parte importante para cumplir sus propias obligaciones de cumplimiento.
Para industrias reguladas, evalúe las certificaciones específicas y los compromisos contractuales que ofrece cada proveedor, ya que varían según el producto y el nivel. Informes SOC 2, certificaciones ISO, compromisos sectoriales como acuerdos de asociado comercial HIPAA cuando el proveedor los ofrezca para el producto específico, y opciones regionales de residencia de datos son todos insumos relevantes para esa evaluación.
Revise periódicamente los términos de servicio y los términos de tratamiento de datos de los proveedores que utiliza, porque los términos cambian con cierta frecuencia y las modificaciones no siempre se comunican de forma destacada.
A qué equivale todo esto
La cuestión principal de si las herramientas de IA como ChatGPT son propietarias de sus datos tiene una respuesta tranquilizadora. No lo son. La propiedad permanece con usted.
Las preguntas más importantes son sobre qué licencia otorga cuando envía contenido, si su contenido se utiliza para entrenar modelos futuros, quién puede verlo, cuánto tiempo se conserva, cuáles son sus derechos legales en su jurisdicción y cómo difieren las respuestas entre niveles de consumo y empresariales.
El patrón general en la industria es razonablemente favorable para los consumidores que se toman el tiempo de configurar los controles, y sustancialmente más sólido para las empresas que usan el nivel empresarial apropiado. Los mayores riesgos provienen de valores predeterminados que no coinciden con las expectativas del usuario, de introducir contenido sensible en productos de consumo cuando habrían sido apropiados los productos empresariales, y de no revisar los términos periódicamente conforme cambian.
Para las personas, la postura correcta es la precaución informada. Use las herramientas, configure los ajustes y evite introducir contenidos que no le gustaría que se vieran. Para las empresas, la postura adecuada es estandarizar en productos de nivel empresarial, establecer políticas claras, firmar los acuerdos apropiados y tratar la gobernanza de datos de IA como parte de la práctica más amplia de seguridad de la información y privacidad en lugar de como una preocupación separada.
La tecnología avanza rápidamente y las políticas evolucionan con ella. Tratar la gobernanza de datos de IA como una decisión única es un error. Tratarla como una práctica continua que actualiza a medida que los productos y las leyes evolucionan es la postura que se mantiene con el tiempo. La propiedad nunca fue realmente la cuestión. Entender a qué accedió realmente y elegir el nivel y los ajustes que se ajusten a sus necesidades sí lo es.