Mantener los datos personales fuera de los prompts de IA

Una guía de Sluis para equipos de privacidad, seguridad y plataforma. Última comprobación el 23 de septiembre de 2026.

Cada prompt que llega a un proveedor de IA es una divulgación. Esta guía trata de qué datos personales acaban normalmente en los prompts, hasta qué punto elimina cada método de detección esos datos, qué logra sustituirlos por marcadores con arreglo al derecho de la UE desde la sentencia del Tribunal de Justicia de septiembre de 2025 y qué sigue siendo obligatorio aunque la redacción funcione.

En resumen

• La coincidencia de patrones detecta identificadores estructurados: direcciones de correo electrónico, números de teléfono, IBAN, números de tarjeta, números de documento nacional de identidad y claves de API. En nuestra prueba eliminó el 57 % de los datos personales anotados. Lo que se le escapa son los nombres y las descripciones.
• Un modelo entrenado de reconocimiento de entidades cierra la mayor parte de esa brecha. En la misma prueba elevó la eliminación al 98,7 %, a un coste de aproximadamente medio segundo por segmento de texto.
• Sustituir los identificadores por marcadores puede hacer que el texto deje de ser un dato personal para el proveedor de IA. El Tribunal de Justicia lo confirmó en SEPD/JUR, pero solo cuando el proveedor no tiene una forma realista de reidentificar a la persona, incluso combinando datos.
• Para usted, los datos siguen siendo datos personales y debe seguir informando a las personas de que se envían al proveedor de IA. El Tribunal valoró esa obligación desde el punto de vista del responsable del tratamiento, en el momento de la recogida de los datos.
• Compruebe la conservación por defecto de su proveedor en el contrato, no en su página de marketing. Varios grandes proveedores han cambiado sus valores por defecto en los últimos doce meses.

Qué acaba en los prompts

Lo que los empleados pegan en las herramientas de IA depende del trabajo que hacen. Las mismas categorías aparecen en casi todas las organizaciones:

Las dos últimas filas son las que más importan. Un detector encuentra valores; no entiende que un cargo, un lugar y una fecha juntos señalan a una sola persona. Esos casos se resuelven mejor con una política: algunas tareas no deberían ir nunca a un modelo externo.

Hasta qué punto funciona la detección: nuestra medición

Medimos tres configuraciones de detección en nuestro propio gateway con 105 casos de prueba sintéticos reservados (no 105 documentos independientes), con 372 datos anotados por configuración. Si cada dato se eliminó en contexto lo juzgó el evaluador de modelos del banco de pruebas, un modelo de lenguaje independiente, no una revisión humana.

Medido el 15 de septiembre de 2026. Dos cosas que conviene tener presentes al usar estas cifras:

• Miden cuántos datos anotados se eliminaron en contexto. No miden si un documento entero pasó a ser anónimo. Un solo dato omitido puede bastar para identificar a alguien.
• Son mediciones de nuestra propia cadena de procesamiento sobre nuestro propio conjunto de prueba sintético. No hemos ejecutado productos de otros proveedores con los mismos casos de prueba. Haga una prueba similar con 50 de sus propios documentos antes de fiarse de la cifra de cualquier proveedor, incluida la nuestra.

Qué cuesta

Medido el 14 de septiembre de 2026 con un texto multilingüe de 919 caracteres, en proceso, sin contar el tiempo de red. Para un asistente de chat, medio segundo antes de que el modelo empiece a responder suele ser aceptable. Para una API de alto volumen con objetivos de latencia estrictos es una decisión de diseño.

La exhaustividad también cuesta precisión. Las reglas agresivas eliminan cosas que no son datos personales. Una regla que trate toda palabra desconocida con mayúscula inicial como un posible nombre eliminará también nombres de productos, códigos de proyecto y nombres de modelos, lo que puede empeorar las respuestas. Por eso la entregamos desactivada. Mida los falsos positivos en sus propios documentos junto con la exhaustividad.

Fallar cerrado

Decida qué ocurre cuando falla la detección: un modelo agota el tiempo, un documento no se puede analizar, un tipo de archivo es desconocido. Una cadena que falla abierta envía el texto sin redactar. Una que falla cerrada bloquea la solicitud. Para los datos personales, falle cerrado. Este único ajuste importa más que la elección del modelo.

Marcadores en lugar de borrado

Borrar los datos personales deja inservibles muchos prompts: «Redacta una respuesta a [eliminado] sobre el reembolso de 40 EUR a [eliminado]» no le da nada con lo que trabajar al modelo. Sustituirlos conserva la estructura:

Redacta una respuesta a «PERSON_NAME_1» sobre el reembolso de 40 EUR a «IBAN_1».

El gateway guarda la correspondencia entre «PERSON_NAME_1» y el nombre real, envía solo el marcador al proveedor y restablece los valores reales en la respuesta antes de que llegue al usuario. Dos detalles hacen que esto funcione en la práctica:

• Coherencia. La misma persona recibe el mismo marcador durante toda la conversación, de modo que el modelo puede seguir quién es quién.
• Información de tipo. «PERSON_NAME_1» e «IBAN_1» indican al modelo qué tipo de valor había, lo que mantiene las respuestas gramaticales y útiles.

Qué dice la ley

El Tribunal de Justicia: SEPD/JUR, 4 de septiembre de 2025

El asunto (C-413/23 P) se refería a la Junta Única de Resolución, que sustituyó los nombres de las personas que habían presentado observaciones por códigos de 33 dígitos generados al azar, conservó la tabla que vinculaba los códigos con los nombres y pasó 1 104 observaciones a Deloitte. El Tribunal sostuvo:

1. Las opiniones son datos personales sobre su autor (apartados 58 a 60). El texto que su personal escribe en un prompt es, por regla general, un dato personal sobre ellos.
2. Los datos seudonimizados no son automáticamente datos personales para todos. La existencia de una tabla de correspondencia significa que los datos seudonimizados nunca pueden tratarse como anónimos en todos los casos (apartado 73). Pero la seudonimización «puede, según las circunstancias del caso, impedir efectivamente que personas distintas del responsable del tratamiento identifiquen al interesado de tal manera que, para ellas, el interesado no sea o deje de ser identificable» (apartado 86).
3. Para el destinatario, eso depende de dos condiciones (apartado 77): que el destinatario no pueda deshacer la seudonimización y que no pueda identificar a la persona «mediante otros medios de identificación, como el cotejo con otros factores».
4. Su obligación de informar no cambia. Si debía informar a las personas de que sus datos irían a un destinatario se juzga desde la posición del responsable del tratamiento, en el momento de la recogida (apartados 111 y 112). Lo que el destinatario pueda o no identificar después es irrelevante para esa obligación.

Aplicado a los prompts:

Las directrices del CEPD siguen siendo un borrador

Las Directrices 01/2025 sobre seudonimización del CEPD se publicaron para consulta en enero de 2025; la consulta se cerró el 14 de marzo de 2025. No hemos encontrado una versión definitiva. El borrador sostiene que los datos seudonimizados siguen siendo datos personales cuando pueden atribuirse mediante información adicional. Es anterior a la sentencia y todavía no está claro cómo la reflejará el texto definitivo.

En la práctica: trate los prompts como datos personales en sus propios registros y en su EIPD; use las dos condiciones de la sentencia para valorar la posición del proveedor y deje por escrito su razonamiento.

Lo que sigue siendo obligatorio

• Nombrar al proveedor de IA como destinatario en su aviso de privacidad, o la categoría de destinatario, como deja claro el apartado 111 de la sentencia.
• Realizar una EIPD cuando el uso pueda entrañar un alto riesgo, por ejemplo con datos de RR. HH., de salud o de clientes a gran escala.
• Mantener un registro de actividades de tratamiento que incluya al proveedor de IA como encargado del tratamiento o destinatario.
• Comprobar la situación de la transferencia si el proveedor o su matriz están fuera de la UE. Nuestra guía sobre la exposición a la CLOUD Act lo trata.

Qué conservan los proveedores

Los valores por defecto de conservación cambiaron varias veces en el último año. Las posiciones siguientes son las comunicadas por los proveedores en anuncios y páginas de ayuda; confírmelas con las condiciones que firme realmente.

La orden judicial del New York Times que obligaba a OpenAI a conservar indefinidamente los registros de salida de ChatGPT se levantó en octubre de 2025, con excepciones para los registros ya conservados y las cuentas señaladas en el caso. Se sigue citando como un riesgo vigente; ya no es una obligación sin límite de tiempo.

Lista de comprobación

• Casos de uso asignados a los datos que introducen en los prompts
• Tareas que nunca deben ir a un modelo externo definidas en la política de uso de la IA
• Capas de detección elegidas por caso de uso, con un modelo entrenado siempre que aparezcan nombres
• La cadena falla cerrada cuando la detección da error o agota el tiempo
• Exhaustividad y falsos positivos medidos en al menos 50 de sus propios documentos
• Marcadores usados en lugar de borrado, coherentes dentro de una conversación
• El aviso de privacidad nombra al proveedor de IA o la categoría de destinatario
• EIPD realizada para los usos de alto riesgo
• Ajustes de conservación y de entrenamiento del proveedor confirmados en las condiciones firmadas

Fuentes

• Tribunal de Justicia de la Unión Europea, SEPD/JUR, asunto C-413/23 P, sentencia de 4 de septiembre de 2025, apartados 23 a 28, 58 a 60, 72 a 77, 85, 86, 111 y 112
• Comité Europeo de Protección de Datos, Directrices 01/2025 sobre seudonimización, versión sometida a consulta, plazo de observaciones del 17 de enero al 14 de marzo de 2025
• OpenAI, Offering Zero Data Retention for frontier models, 19 de agosto de 2026
• Anthropic, documentación sobre API y conservación de datos
• El levantamiento de la orden de conservación del New York Times (auto del 9 de octubre de 2025) y el esquema de conservación de Anthropic para el otoño de 2026 proceden de la prensa, incluidos Engadget y CNBC.
• Cifras de detección y de latencia: mediciones de Sluis del 15 y el 14 de septiembre de 2026. El método se describe en la documentación de protección de datos de Sluis.