Una alternativa a ChatGPT para la empresa, con el control de los datos en su mano
Situación a octubre de 2026
Myra AI Workspace es un entorno de trabajo con IA generativa para empresas y organismos: chat, proyectos con documentos propios, agentes y flujos de trabajo con pasos de aprobación. Lo que lo distingue de la cuenta de ChatGPT que cada empleado abre por su cuenta es que usted decide, proyecto por proyecto, qué modelo puede ver qué datos. Los modelos que aloja Myra funcionan en su propia infraestructura en la UE. Antes de seguir leyendo, un dato práctico: la interfaz solo existe en alemán y en inglés.
Lo que se le va a preguntar en España
Quien decide sobre una herramienta de IA en una empresa española acaba sentado con tres interlocutores: el delegado de protección de datos, el comité de empresa y, cada vez más, el departamento de compras con una lista de preguntas que se parece mucho a la de la AEPD.
La Agencia Española de Protección de Datos no ha prohibido nada, pero sus documentos dejan claro por dónde van los tiros. En su decálogo de enero de 2026 pide a quien use IA en el trabajo que siga las políticas de su organización y que no incluya «información que desvele datos confidenciales de tu entidad (como contratos, informes o estrategias) ni de su personal o clientes». Más útil todavía para una empresa es la política interna que la propia AEPD aprobó en noviembre de 2025 para su personal. Antes de contratar un servicio de IA generativa en la nube, la Agencia evalúa de forma documentada, entre otras cosas, si el proveedor usa las conversaciones para mejorar sus modelos, «dónde pueden almacenarse/procesarse (EE. UU./UE/otras regiones)» y cuánto tiempo se conservan los datos. Es una buena plantilla para su propio pliego.
Cuando un empleado envía datos personales a un servicio externo, ese servicio actúa como encargado del tratamiento, como recuerda la AEPD en sus orientaciones sobre IA agéntica de febrero de 2026. Hace falta, por tanto, un contrato conforme al art. 28 RGPD, y hay que mirar las transferencias internacionales y la cadena de subencargados. La LOPDGDD añade en su art. 28.2 una lista de supuestos de mayor riesgo, entre ellos la pérdida de confidencialidad de datos sujetos a secreto profesional y las transferencias habituales a países sin nivel adecuado de protección. Si su caso entra ahí, la evaluación de impacto deja de ser opcional en la práctica.
Luego está la parte laboral. El comité de empresa tiene derecho a ser informado de los parámetros y reglas de los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo (art. 64.4.d del Estatuto de los Trabajadores). Los criterios de uso de los dispositivos digitales se elaboran con participación de los representantes de los trabajadores (art. 87.3 LOPDGDD). Y desde el 5 de octubre de 2026 el Real Decreto 723/2026 obliga a informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos de toma de decisiones; la AEPD subrayó en una nota del 7 de octubre que esa obligación «no desplaza» el RGPD. Un asistente de chat no decide sobre nadie, pero si lo conecta a procesos de personal, ese debate llega.
Cómo se traduce eso en el producto
La herramienta principal es el nivel de acceso que se elige al crear cada proyecto. Un proyecto en «Local only» solo muestra en el selector los modelos que aloja Myra; los modelos en la nube, la búsqueda web y las herramientas externas quedan desactivados, y el servidor rechaza cualquier petición a un modelo en la nube. Solo el propietario del proyecto puede cambiar ese nivel, y si está activo el principio de los cuatro ojos, una segunda persona tiene que aprobarlo. En los planes de pago en autoservicio, los modelos alojados por Myra requieren el paquete adicional «EU-Gov».
Cuando un proyecto sí admite modelos externos, la persona ve antes de enviar a dónde va su texto. Junto al selector de modelo aparece un indicador con colores de semáforo. Verde («Local model», «Local + masking») quiere decir que la consulta se queda en un modelo de Myra. En ámbar («Privacy on») va a un modelo externo, pero los datos personales se sustituyen antes. Rojo («Privacy off») significa que el texto sale sin enmascarar hacia un proveedor externo, y la herramienta lo advierte. La organización puede hacer obligatorio el enmascaramiento y entonces nadie lo puede desactivar.
El enmascaramiento está incluido en todos los planes. Antes de que la consulta llegue a un modelo externo, un reconocedor que funciona en Myra cambia nombres, IBAN y otros datos personales por marcadores, y en la respuesta vuelven a aparecer los valores originales. En términos del RGPD eso es seudonimización y no anonimización, porque la correspondencia existe. Una vista previa («Preview») enseña qué se va a sustituir y lo que falte se marca a mano. Ojo con un detalle: el alemán y el inglés tienen soporte completo, mientras que otros idiomas de alfabeto latino, el español entre ellos, se tratan con menor fiabilidad. Con textos en español y números como el DNI o el NIE, revise la vista previa antes de dar el sistema por bueno.
Dónde se procesa una consulta lo fija el enrutamiento UE. Por gateway, su administrador puede activar «Route to EU-region providers only»; para toda la organización lo activa Myra a petición suya. Con eso activado, una petición dirigida a un proveedor fuera de la UE se rechaza antes de salir. De serie viene desactivado, y conviene saberlo al comparar productos.
Qué queda registrado
Es la primera pregunta del DPD y, con frecuencia, también de la representación legal de los trabajadores. Se registran los cambios de los administradores y los eventos de seguridad, por ejemplo cuando alguien desactiva el enmascaramiento; a petición, con una cadena hash que permite detectar después si el registro se ha alterado. Ese registro lo consulta Myra por API y los administradores del cliente no tienen una vista propia. Aparte está el registro de peticiones, con proveedor, tokens y costes, que de serie guarda también el texto de la consulta y de la respuesta. Ese almacenamiento del contenido se puede desactivar por gateway, y Myra puede apagar todo el registro de peticiones de su tenant si usted lo pide. Los plazos de conservación los fija usted por tenant, proyecto y usuario. En el «Ghost mode», una conversación no se guarda ni se registra.
Myra no utiliza datos de clientes para entrenar modelos de IA. Con un modelo externo rigen también las condiciones de ese proveedor.
El contrato incluye un contrato de encargo de tratamiento en el sentido del art. 28 RGPD. Según ese contrato, el tratamiento se realiza en principio en la UE o el EEE; si usted elige un modelo de fuera de la UE, se aplican cláusulas contractuales tipo. Los nuevos subencargados se anuncian con 30 días de antelación y con derecho de oposición. El acceso va por SSO (OIDC o SAML) y la gestión de usuarios por SCIM, sin cuentas privadas. Cada respuesta va marcada como generada por IA, y al terminar el contrato puede exportar todos sus datos en formatos abiertos.
Certificaciones y lo que cubren
Myra Security es una empresa alemana de seguridad con sede en Múnich, dedicada a protección DDoS, WAF y CDN, que lleva años protegiendo infraestructuras críticas. Su sistema de gestión de la seguridad de la información está certificado según ISO 27001 sobre la base de IT-Grundschutz, la metodología de la BSI, la autoridad federal alemana de ciberseguridad. Tiene además un informe IDW PS 951 tipo 2 (el equivalente alemán a un ISAE 3402) y PCI-DSS nivel 1. La infraestructura de Myra sobre la que funciona AI Workspace cuenta con un atestado C5 tipo 2, el catálogo de requisitos de la BSI para servicios en la nube. Ese atestado cubre la infraestructura y deja fuera la aplicación.
C5 y el Esquema Nacional de Seguridad no son intercambiables. El ENS se aplica a todo el sector público y también a las empresas privadas que le prestan servicios en virtud de un contrato (art. 2.3 del Real Decreto 311/2022). Si su organización está en ese caso, pregunte a Myra antes del piloto qué documentación de conformidad puede aportar.
Myra Security GmbH no tiene matriz ni filial en Estados Unidos.
Cuándo encaja y cuándo no
| Situación | Nuestra valoración |
|---|---|
| Quiere separar por proyectos lo que puede ver un modelo externo (por ejemplo, nóminas o expedientes en «Local only») | Encaja: es justo para lo que está pensado el nivel de acceso por proyecto |
| Su plantilla trabaja sobre todo dentro de Word, Outlook y Teams y quiere la IA ahí mismo | Probablemente le sirve más Microsoft 365 Copilot; Myra no se integra dentro de Word ni de Outlook y exporta en formatos de Office |
| Necesita una interfaz en español para todo el personal | Hoy no la hay; solo alemán e inglés |
| Quiere elegir entre varios modelos, europeos y, si lo permite, internacionales | Encaja |
| Exige que los datos se almacenen en un país concreto o en su propio centro de datos | Hable con Myra: almacenamiento opcional en Suiza, otros países y on-premises bajo petición |
Si está comparando con Copilot, tiene más detalle en Alternativa a Copilot en la empresa. Para despachos, la guía ChatGPT para abogados repasa el secreto profesional, y lo que hay que saber del supervisor español de IA está en AESIA y el Reglamento de IA. Quien compare plataformas como Langdock encontrará una comparativa en inglés en Langdock alternative.
Preguntas frecuentes
¿En qué idioma está la interfaz de Myra AI Workspace?
En alemán y en inglés. No hay interfaz en español. Sí puede escribir sus preguntas en español y los modelos le responden en español, pero los menús, los avisos y la documentación los verá en inglés. Si parte de la plantilla no se maneja con soltura en inglés, conviene contarlo antes de un piloto.
¿Dónde se procesan nuestros datos?
Depende del modelo que permita. Los modelos que aloja Myra funcionan en la infraestructura propia de Myra en la UE. Para modelos externos, su administrador puede limitar el uso a proveedores de la región UE; entonces se rechaza cualquier petición fuera de esa región antes de enviarla. Esa opción viene desactivada de serie. Un proyecto en «Local only» usa exclusivamente modelos de Myra.
¿Usa Myra nuestros datos para entrenar modelos?
No. Myra no utiliza datos de clientes para entrenar modelos de IA. Si usted elige un modelo externo, se aplican además las condiciones de ese proveedor, y conviene leerlas antes de habilitarlo.
¿Puede alojarse en España?
Hoy Myra presta el servicio desde su infraestructura en la UE y, de forma opcional, puede almacenar los datos en Suiza; en ese caso la inferencia de los modelos de Myra sigue en su infraestructura de la UE. La operación en otros países, también en España, es en principio posible bajo petición, igual que una instalación on-premises en su propio centro de datos. Plazos y condiciones se hablan caso por caso.
Fuentes
- AEPD: Cuidado con lo que le confIAs, recomendaciones para usar la IA (27/01/2026), consultado el 12/10/2026
- AEPD: Política general para el uso de IA generativa en procesos administrativos de la AEPD (27/11/2025), consultado el 12/10/2026
- AEPD: Inteligencia artificial agéntica desde la perspectiva de la protección de datos (febrero de 2026), consultado el 12/10/2026
- AEPD: Nota sobre sistemas algorítmicos en el ámbito laboral (07/10/2026), consultado el 12/10/2026
- Ley Orgánica 3/2018 (LOPDGDD), arts. 28 y 87, consultado el 12/10/2026
- Estatuto de los Trabajadores, art. 64.4.d, consultado el 12/10/2026
- Reglamento (UE) 2016/679 (RGPD), art. 28 y 35, consultado el 12/10/2026
- Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 2, consultado el 12/10/2026