Qué puede sancionar una pyme y qué no
Una empresa puede sancionar a un trabajador por incumplimientos laborales, pero no por simple desconfianza ni por sospechas vagas. El Estatuto de los Trabajadores permite a la dirección imponer sanciones según la graduación de faltas y sanciones prevista en la ley o en el convenio colectivo aplicable. Además, las faltas graves y muy graves deben comunicarse por escrito, con la fecha y los hechos que las motivan.
En la práctica, usar ChatGPT sin permiso no debería tratarse igual en todos los casos. No es lo mismo pedir ayuda para mejorar la redacción de un correo interno que copiar en una herramienta externa un contrato, una base de datos de clientes, una propuesta comercial o información financiera del negocio.
El salto importante está en el daño potencial. Si el empleado desobedece una instrucción clara, rompe una política interna, introduce información confidencial o compromete datos personales, la empresa puede tener base para sancionar. En los casos más graves, el Estatuto contempla el despido disciplinario por incumplimiento grave y culpable, incluyendo la indisciplina o desobediencia y la transgresión de la buena fe contractual.
La clave está en la política interna y en la prueba
Para una pyme, la primera pregunta no es “¿puedo despedir?”, sino “¿había una regla clara y el trabajador la conocía?”. El empresario puede dirigir y controlar la actividad laboral, pero ese control debe respetar la dignidad del trabajador. También puede adoptar medidas de vigilancia para verificar el cumplimiento de obligaciones laborales, dentro de los límites legales.
Aquí está la letra pequeña. Si la empresa no ha explicado qué herramientas de IA se pueden usar, para qué tareas, con qué datos y bajo qué autorización, la sanción será más discutible. Y si obtiene la prueba accediendo de cualquier manera a un móvil personal, una cuenta privada o conversaciones sin garantías, el problema puede girarse contra la propia empresa.
La Ley Orgánica de Protección de Datos reconoce el derecho de los trabajadores a la intimidad en el uso de dispositivos digitales facilitados por la empresa. El empleador puede acceder a esos medios para controlar obligaciones laborales o proteger la integridad de los dispositivos, pero debe establecer criterios de uso, informar a los trabajadores y respetar garantías.
Para un negocio pequeño, esto no es teoría. Si una sanción se cae por falta de prueba o por invadir la intimidad del empleado, el coste puede acabar en salarios, indemnización, conflicto interno y tiempo perdido. La liquidez también se protege haciendo bien los procedimientos, no solo vendiendo más.
Dónde está el riesgo real para el pequeño negocio
El riesgo de ChatGPT y otras herramientas de IA generativa no está solo en que el texto salga mejor o peor. Está en lo que se introduce dentro. La AEPD recomienda establecer mecanismos para evitar que los usuarios introduzcan información personal, sensible o confidencial en sistemas no autorizados, además de formar a los usuarios para no comprometer privacidad ni datos personales.
La propia Agencia Española de Protección de Datos ha advertido de que no conviene compartir con herramientas de IA datos personales como nombre completo, DNI, teléfono o dirección, ni información delicada o sensible, incluidos datos financieros o contractuales. Para una pyme, eso puede ser justo lo que aparece en presupuestos, nóminas, contratos, reclamaciones, facturas o comunicaciones con clientes.
El problema se agrava cuando el empleado usa una cuenta personal, copia documentos internos y no avisa. En ese caso, la empresa puede perder el control sobre dónde acaban esos datos, si se conservan, si se reutilizan para entrenar modelos o si quedan asociados a un proveedor externo. Para el autónomo con empleados o la pequeña empresa, el coste real puede ser una brecha de confianza con clientes, un incumplimiento contractual o un problema de protección de datos.
También hay un riesgo de calidad. Si un trabajador entrega un informe generado por IA sin revisar, con errores o datos inventados, el daño puede llegar al cliente. En sectores como asesoría, legal, salud, formación, marketing, seguros o servicios financieros, un error aparentemente pequeño puede acabar en una reclamación.
Si la pyme está revisando sus herramientas digitales, no debería mirar la IA como algo aislado. También conviene ordenar quién accede a cuentas, pagos y servicios críticos del negocio. En esa revisión puede ser útil comparar opciones como los mejores bancos para pequeñas empresas o los mejores bancos para autónomos, siempre poniendo el foco en permisos, seguridad, usuarios autorizados y control de operaciones.
Qué debería hacer una pyme antes de sancionar
Antes de castigar, conviene ordenar la casa. La empresa debería tener una política interna sencilla, por escrito y conocida por la plantilla: qué herramientas están permitidas, qué datos no pueden copiarse nunca, qué tareas requieren validación humana y qué consecuencias puede tener saltarse esas reglas.
El Reglamento europeo de Inteligencia Artificial también empuja en esa dirección. La Agencia Española de Supervisión de Inteligencia Artificial recuerda que el artículo 4 exige a proveedores e implementadores de sistemas de IA garantizar un nivel suficiente de alfabetización en IA de su personal y de otras personas que usen estos sistemas en su nombre. No exige un certificado concreto, pero sí medidas ajustadas al contexto, al riesgo y al uso real de la herramienta.
Eso significa que la pyme no debería limitarse a decir “ChatGPT prohibido” y olvidarse. Puede ser más práctico definir usos permitidos, prohibir introducir datos personales o confidenciales, exigir revisión humana, guardar evidencias de formación y ofrecer herramientas corporativas cuando el uso sea necesario. La pregunta importante es si la IA simplifica el trabajo sin dejar el negocio vendido por el camino.
Si pese a todo hay incumplimiento, la sanción debería ser proporcional. Una amonestación puede tener sentido ante un uso puntual y sin daño. Una suspensión de empleo y sueldo puede encajar si hay desobediencia clara o reiteración, siempre según convenio. El despido disciplinario queda para escenarios graves: filtración de información sensible, incumplimiento consciente de una prohibición, daño relevante para clientes o ruptura clara de la confianza.
El autónomo o empresario pequeño no necesita más ruido tecnológico. Necesita reglas claras, pruebas bien obtenidas y sentido común. La IA puede ayudar al negocio, pero usarla sin control con datos de clientes, contratos o información interna puede salir caro.
