Privacidad en el control horario con IA: qué ve la IA y qué no debería ver

Las funciones de IA de un software de control horario leen los mismos datos que ya aparecen en tus informes: horas, aplicaciones, sitios web y niveles de actividad. Después, convierten esos datos en conclusiones sobre las personas, como una etiqueta de productividad, una alerta de agotamiento o un resumen diario. Por eso, la privacidad en el control horario con IA necesita dos listas claras: qué lee la IA y qué debería quedar fuera de su alcance.

Hemos preparado ambas listas para WebWork, junto con los ajustes que las controlan. También te contamos qué puede ver Claude, ChatGPT u otro asistente de IA cuando lo conectas a tu espacio de trabajo de WebWork.

Qué lee la IA de WebWork, función por función

Varias funciones de IA de WebWork utilizan el nivel de actividad como dato de entrada. WebWork cuenta los clics, los desplazamientos y las pulsaciones de teclado durante el tiempo registrado, y clasifica la actividad de cada miembro como Alta, Media o Baja. Cuenta las pulsaciones sin capturar los caracteres que se escriben.

Esto es lo que lee cada función de IA y lo que obtienes a cambio:

Por ejemplo, la IA puede etiquetar LinkedIn como Productivo para tu equipo de marketing y como Neutral para tus desarrolladores. Los managers pueden cambiar cualquier etiqueta para un solo equipo o para todo el espacio de trabajo.

La vista detallada de Smart Monitoring muestra los factores exactos que hay detrás de cada etiqueta. Échale un vistazo antes de actuar ante una etiqueta de Requiere atención o Negativo.

A qué no tiene acceso la IA de WebWork

La política de IA de WebWork establece el punto de partida: los sistemas de IA no tienen acceso a capturas de pantalla, grabaciones de pantalla, pulsaciones de teclado ni datos similares, salvo que una función de IA concreta lo requiera y un usuario o administrador la haya activado.

Esa misma política fija algunos límites más:

1. WebWork no utiliza datos de clientes ni de espacios de trabajo para entrenar modelos de IA. Sus proveedores de IA, OpenAI y Anthropic, tampoco pueden usar los datos de WebWork para entrenamiento.
2. Estos proveedores pueden conservar los datos de las solicitudes hasta 30 días para detectar usos indebidos y, después, los eliminan.
3. Cada solicitud a la IA usa solo los datos del espacio de trabajo que necesita la función que has iniciado.
4. No se procesan datos de salud, financieros ni otros datos sensibles, salvo que un usuario los incluya en un prompt.
5. La IA de WebWork no toma decisiones sobre contratación, sanciones ni retribución. Sus resultados son orientativos, y los usuarios y administradores deben validarlos antes de aplicarlos a procesos de RR. HH.

Hay dos límites más que se derivan de cómo registra WebWork la actividad. La supervisión de aplicaciones y sitios web solo funciona mientras el temporizador está activo. Y cuando haces seguimiento del uso de herramientas de IA en tu equipo, WebWork muestra qué herramientas de IA usa cada persona y cuánto tiempo pasa en ellas, sin capturar prompts ni conversaciones.

5 cosas que el control horario con IA no debería ver (ni decidir)

Algunos de estos límites vienen de la ley y otros de las recomendaciones de los organismos reguladores. Nosotros aplicaríamos los cinco a cualquier herramienta de control horario con IA, incluida WebWork.

1. Emociones y rasgos personales

Desde el 2 de febrero de 2025, el Reglamento de IA de la UE (artículo 5) prohíbe los sistemas de IA que infieren las emociones de una persona en el trabajo, salvo que existan por motivos médicos o de seguridad. La política de IA de WebWork también prohíbe usar su IA para inferir características protegidas o atributos sensibles.

2. Imágenes de la cámara

En su guía sobre la supervisión de trabajadores, la autoridad británica de protección de datos (ICO) afirma que es «especialmente improbable que los empleadores puedan justificar la captura de imágenes o vídeos de la webcam».

Por ejemplo, la ICO describe el caso de un empleador que detectó que algunos teletrabajadores empezaban más tarde de lo que indicaban sus partes de horas y que implantó una supervisión de dispositivos con capturas automáticas de la webcam. Según la ICO, esto probablemente infringe la normativa de protección de datos, porque es desproporcionado y existen formas menos invasivas de comprobar la hora de inicio. En WebWork, el informe de asistencia detecta automáticamente las entradas tardías y las salidas anticipadas.

3. Lo que escribe cada persona

La ICO considera que la supervisión de pulsaciones de teclado constituye un dato biométrico de comportamiento cuando se puede identificar a un trabajador por su ritmo de escritura, y la incluye como ejemplo de tratamiento de alto riesgo. En Reino Unido, la supervisión de alto riesgo requiere una evaluación de impacto relativa a la protección de datos (EIPD) antes de ponerse en marcha.

WebWork usa el recuento de pulsaciones para calcular los niveles de actividad y no registra las teclas en sí.

4. El contenido del trabajo de cada persona

WebWork registra el tiempo dedicado a aplicaciones y proyectos. Como explicamos en nuestro artículo sobre la supervisión de empleados respetuosa con la privacidad, los datos de control horario no incluyen el contenido del trabajo en sí.

Si te planteas supervisar correos y mensajes, la ICO indica que primero debes realizar una EIPD.

5. La decisión final sobre salario, sanciones o un puesto de trabajo

Según el artículo 22 del RGPD, las personas tienen derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado cuando produzca efectos jurídicos o les afecte de forma similarmente significativa. La ICO pone un ejemplo muy claro: pagar a los trabajadores basándose por completo en la supervisión automatizada de su productividad es una decisión exclusivamente automatizada.

La ICO añade que quienes revisan los resultados de la IA no deberían limitarse a aplicar de forma rutinaria la recomendación automática. En otro de sus ejemplos, una responsable de RR. HH. revisa los datos de localización del vehículo de un trabajador y habla con él antes de emitir una amonestación; esa decisión no es exclusivamente automatizada. Usa una alerta de agotamiento o una etiqueta de Smart Monitoring del mismo modo: como motivo para revisar los datos y hablar con la persona.

Los equipos de la UE tienen una fecha más que apuntar. El Reglamento de IA clasifica como de alto riesgo los sistemas de IA utilizados para supervisar y evaluar el rendimiento y el comportamiento de los trabajadores (anexo III). Tras la modificación del Ómnibus Digital de 2026, esas normas de alto riesgo se aplican a partir del 2 de diciembre de 2027.

La ICO señala que su guía sobre supervisión se está revisando tras la aprobación de la ley británica Data (Use and Access) Act. Este artículo no constituye asesoramiento jurídico, así que consulta la normativa aplicable allí donde trabaje tu equipo. En nuestra guía sobre si es legal supervisar a equipos en remoto encontrarás más detalles sobre el aspecto legal.

Ajustes de privacidad que debes revisar antes de activar la IA en el control horario

Estos son los ajustes de WebWork que controlan qué lee la IA y quién ve los resultados:

1. Funciones de IA y acceso. Los administradores del espacio de trabajo pueden activar o desactivar las funciones de IA de WebWork, restringir capacidades concretas, limitar qué roles o usuarios pueden usar la IA y revisar o eliminar el contenido generado por IA. Smart Monitoring es un complemento de pago, así que permanece desactivado hasta que lo actives. En su pestaña de Configuración puedes elegir qué insights recibes por correo o notificación.
2. Categorías de aplicaciones y sitios web. Revisa cómo ha etiquetado la IA las herramientas de tu equipo y cambia cualquier etiqueta por equipo o para todo el espacio de trabajo.
3. Capturas de pantalla. En Ajustes > Capturas de pantalla, puedes hacer que las capturas de pantalla se difuminen o se tomen en silencio. También puedes definir la frecuencia de 1 a 10, mostrar un aviso emergente cuando se toma una captura, desactivar las capturas de forma selectiva y configurar un modo distinto por proyecto o por contrato.
4. Quién ve qué. Los Team Managers ven los datos de sus propios equipos, los Project Managers ven los de sus propios proyectos y los usuarios estándar solo ven sus propios datos. El propietario del espacio de trabajo y los Executive Managers ven todo el espacio de trabajo. Aquí tienes el desglose completo de roles y permisos de los miembros.

Qué ve Claude o ChatGPT a través del conector MCP de WebWork

El conector MCP de WebWork vincula un asistente de IA como Claude, ChatGPT, Gemini, Microsoft Copilot o Cursor con tu espacio de trabajo. Una vez conectado, puedes preguntarle al asistente cualquier cosa para la que normalmente abrirías un informe, o pedirle que haga cambios, como aprobar partes de horas.

El acceso funciona así:

1. Solo el propietario del espacio de trabajo o un Executive Manager con el correo electrónico verificado puede conectarlo. El resto de tipos de miembro no pueden.
2. El asistente actúa como el usuario que ha iniciado sesión, con su rol y sus permisos. Como dice nuestra guía del conector: «Conectar un asistente no amplía el acceso de nadie».
3. Puede leer los informes que tú puedes abrir, como los de tiempo, actividad, descripciones de actividad, aplicaciones y sitios web, asistencia, cronología, tiempo real, GPS y tareas. Las capturas de pantalla se devuelven en modo solo lectura, indicando el miembro, el proyecto y la tarea a los que pertenece cada una.
4. El conector no guarda una copia aparte de los datos de tu espacio de trabajo.

Los cambios cuentan con sus propias salvaguardas. Para eliminar o archivar cualquier cosa necesitas confirmarlo de forma explícita, y el asistente te avisa antes de que una acción envíe un correo real, como una invitación a un miembro o la aprobación de una ausencia. Al iniciar sesión, eliges si concedes acceso de lectura, de escritura o de administrador, y tu cliente de IA te permite aprobar las herramientas una a una. Puedes desconectarlo en cualquier momento.

Un asistente conectado puede ver todo lo que ve la persona que lo conectó. En el caso del propietario del espacio de trabajo, eso incluye capturas de pantalla, historial de GPS y uso de aplicaciones de todo el espacio de trabajo. Algunas buenas prácticas ayudan:

1. Pide solo los datos que necesita la pregunta. Por ejemplo, pide las horas a nivel de equipo cuando estés planificando la capacidad. La ICO recomienda los informes analíticos agregados como forma de ver tendencias sin identificar a trabajadores concretos.
2. Si solo quieres informes, concede acceso de lectura al iniciar sesión y deja desactivados los de escritura y administrador.
3. Antes de llevar datos de empleados a un chat, revisa la configuración de tu proveedor de IA sobre el historial de conversaciones y el entrenamiento de modelos. El conector devuelve sus resultados dentro de tu conversación con ese asistente.

Incluye la privacidad en la implantación del control horario con IA

Cuéntale a tu equipo qué lee la IA antes de activarla. La ICO indica que, salvo en casos muy excepcionales, debes informar a los trabajadores de cualquier supervisión, y hacerlo de forma accesible y fácil de entender. La tabla del principio de este artículo y la política de IA de WebWork son un buen punto de partida para esa conversación.