ChatGPT y protección de datos en la empresa: qué puedes hacer y qué no

ChatGPT y protección de datos en la empresa: ¿es legal usarlo?

Sí. Ninguna ley prohíbe usar ChatGPT, Claude, Copilot u otra IA generativa en una empresa. Lo que regula el RGPD es qué haces con los datos personales, y eso depende de tres decisiones: qué versión de la herramienta usas, qué datos metes en ella y qué contrato tienes con el proveedor. Pegar la ficha de un cliente en una cuenta gratuita personal no tiene nada que ver con usar una versión de empresa, con contrato de encargado del tratamiento, para resumir correos sin datos innecesarios.

A eso se suman dos obligaciones del Reglamento Europeo de IA: tomar medidas para que tu equipo sepa usar la IA y, si un chatbot habla con tus clientes, avisar de que es una IA. Con datos sensibles o decisiones sobre personas, hay más deberes. Lo vemos punto por punto.

Versiones de consumo o de empresa: entrenamiento, contrato y transferencias

Lo que cambia no es el modelo, sino las condiciones. Estas son las de OpenAI y Anthropic, según sus propias páginas:

OpenAI explica que en sus servicios para particulares puede usar tu contenido para entrenar salvo que desactives la opción «Mejorar el modelo para todos», y que no usa por defecto los datos de ChatGPT Business, Enterprise ni de la API, para los que ofrece un DPA. Anthropic pide a los usuarios de sus planes de consumo que elijan si permiten el entrenamiento, y en sus condiciones comerciales se compromete a no entrenar con el contenido de sus clientes e incorpora un DPA con cláusulas contractuales tipo.

Desactivar el entrenamiento en una cuenta personal reduce un riesgo, pero no la convierte en herramienta de empresa: no hay contrato con tu empresa y tú no controlas la cuenta.

El contrato de encargado del tratamiento (artículo 28)

Un proveedor que trata datos personales por cuenta de tu empresa es tu encargado del tratamiento. El artículo 28 del RGPD te obliga a elegir encargados con garantías suficientes y a firmar un contrato que fije objeto, duración, finalidad, tipo de datos y obligaciones. En las versiones de empresa, ese contrato es el DPA: guárdalo y revisa su lista de subencargados. Si una empresa externa te hace una integración y accede a los datos, también necesitas contrato con ella.

Transferencias internacionales

Si los datos salen del Espacio Económico Europeo, la transferencia necesita una base: una decisión de adecuación o garantías como las cláusulas contractuales tipo. Para Estados Unidos existe el Marco de Privacidad de Datos UE-EE. UU. (Decisión 2023/1795), que cubre a las empresas adheridas y cuya validez confirmó el Tribunal General de la UE en septiembre de 2025, como recoge la AEPD. Algunos proveedores permiten además que los datos se guarden o se procesen en Europa: OpenAI lo ofrece a clientes elegibles de sus versiones de empresa y de la API. Comprueba en tu DPA dónde se procesan los datos y con qué garantía.

Qué datos no meter nunca en ChatGPT

En una herramienta de consumo, o en cualquier herramienta de IA que tu empresa no haya aprobado, no deberían entrar nunca:

• Categorías especiales de datos (artículo 9 del RGPD): salud, origen étnico, opiniones políticas, religión, afiliación sindical, vida sexual, datos genéticos y biométricos.
• Datos de menores y de personas en situación vulnerable.
• Datos sobre condenas e infracciones penales.
• Documentos de identidad, cuentas bancarias y tarjetas, nóminas y datos económicos de personas concretas.
• Contraseñas y claves de acceso, incluidas las de programas y APIs.
• Datos de empleados: evaluaciones, bajas, sanciones, currículos.
• Información confidencial tuya o de terceros: contratos con cláusula de confidencialidad, ofertas, estrategia, código fuente. La Ley de Secretos Empresariales solo protege la información sobre la que su titular ha tomado «medidas razonables» para mantenerla en secreto; pegarla en una cuenta personal va en sentido contrario.
• Imágenes o grabaciones de otras personas para generar contenido nuevo.

Es la línea que marca la AEPD en su decálogo «Cuidado con lo que le confIAs» (enero de 2026): en el trabajo, seguir las políticas de la organización y no introducir información interna ni datos de empleados o clientes. Algunos de estos datos sí pueden tratarse con IA en un sistema de empresa bien analizado (piensa en la automatización de una clínica), pero eso exige un diseño específico, no copiar y pegar.

Minimizar, seudonimizar y anonimizar

El principio de minimización (artículo 5 del RGPD) pide usar solo datos «adecuados, pertinentes y limitados a lo necesario». Con la IA se traduce en hábitos muy concretos:

• Quita lo que no hace falta. Para mejorar la redacción de una respuesta a una reclamación no necesitas el nombre ni el DNI del cliente.
• Sustituye identificadores por marcadores («Cliente A») y pon los datos reales tú, fuera de la herramienta.
• Describe un caso ficticio cuando lo que buscas es orientación, como recomienda la AEPD, y recorta los documentos a la parte que importa.
• Filtra de forma automática si la IA está integrada en un proceso: el sistema puede enmascarar datos antes de enviarlos al modelo.

Ojo con los términos. Cambiar el nombre por un código es seudonimizar, y los datos seudonimizados siguen siendo datos personales, como recuerda el Comité Europeo de Protección de Datos en sus directrices sobre seudonimización. Anonimizar de verdad, de forma que nadie pueda volver a identificar a la persona, es bastante más difícil de lo que parece; la AEPD y el Supervisor Europeo lo explican en 10 malentendidos relacionados con la anonimización.

Evaluación de impacto y deber de informar

¿Necesitas una evaluación de impacto?

El artículo 35 del RGPD exige una evaluación de impacto (EIPD) antes de empezar cuando un tratamiento puede suponer un alto riesgo, «en particular si utiliza nuevas tecnologías». La lista de la AEPD concreta que hará falta en la mayoría de los casos que cumplan dos o más de sus criterios, entre ellos: perfilar o evaluar a personas, tomar decisiones automatizadas o contribuir en gran medida a ellas, tratar categorías especiales de datos, datos a gran escala o de personas vulnerables, y usar nuevas tecnologías.

En la práctica, resumir correos de proveedores con una herramienta de empresa no suele requerirla; un sistema que clasifica historias clínicas, puntúa a candidatos o analiza el rendimiento de la plantilla, muy probablemente sí. Como la IA puede encajar en el criterio de nuevas tecnologías, basta con que se sume otro para planteártelo en serio. Si además la IA actúa por su cuenta en tus sistemas, la AEPD tiene orientaciones específicas que resumimos en qué es un agente de IA.

El deber de informar

Si usas IA con datos de clientes, empleados o candidatos, tu información de privacidad debe reflejarlo (artículos 13 y 14 del RGPD):

• Los destinatarios o categorías de destinatarios, por ejemplo «proveedores de servicios de inteligencia artificial que actúan como encargados del tratamiento».
• Las transferencias internacionales, si las hay, y con qué garantía.
• Si hay decisiones automatizadas con efectos significativos: que existen, información significativa sobre la lógica aplicada y sus consecuencias previstas.

Con la plantilla hay un deber más: el Estatuto de los Trabajadores (artículo 64.4.d) da al comité de empresa derecho a conocer los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles. Y si llevas registro de actividades de tratamiento, añade el nuevo uso.

Decisiones automatizadas: qué dice el artículo 22

El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente de modo similar. Solo se admite si es necesaria para un contrato, si lo autoriza la ley o con consentimiento explícito, y aun así con garantías: como mínimo, el derecho a obtener intervención humana, a expresar el propio punto de vista y a impugnar la decisión.

Cuidado, por ejemplo, al descartar candidatos, conceder o denegar financiación o rechazar una reclamación. La salida práctica es la que ya recomendamos por fiabilidad: la IA propone; una persona decide. Pero con una revisión real, con tiempo, información y autoridad para cambiar el resultado: aprobar por rutina lo que propone la máquina difícilmente cuenta como intervención humana.

Si el sistema sirve para seleccionar personal o evaluar a trabajadores, es además de alto riesgo según el Reglamento de IA (anexo III), con obligaciones desde el 2 de diciembre de 2027. La Comisión ha propuesto retocar este artículo del RGPD en el paquete «Ómnibus Digital», pero a septiembre de 2026 sigue en negociación, según el Parlamento Europeo: hoy manda el texto vigente.

Reglamento de IA: formación del equipo y chatbots que avisan

Alfabetización en IA (artículo 4)

Desde el 2 de febrero de 2025, las empresas que usan sistemas de IA tienen que ocuparse de que su personal sepa manejarlos. El Reglamento Ómnibus sobre IA, el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, suavizó la redacción: ahora obliga a adoptar «medidas para apoyar la promoción de la alfabetización en materia de IA» del personal, según sus conocimientos y el contexto de uso, y aclara que no exige garantizar un nivel concreto a ninguna persona.

Sigue siendo una obligación, también para la empresa cuyos empleados usan ChatGPT para redactar anuncios o traducir, como aclara la Comisión Europea. No hace falta ningún certificado: basta con formación adaptada y, mejor, un registro interno de lo hecho. Las autoridades nacionales la supervisan desde el 2 de agosto de 2026.

Transparencia de los chatbots (artículo 50)

Desde el 2 de agosto de 2026, los sistemas de IA que interactúan directamente con personas deben diseñarse para que estas sepan que hablan con una IA, salvo que resulte evidente. La obligación es del proveedor, y proveedor es también la empresa que pone en servicio un chatbot con su propio nombre o marca, aunque lo haya encargado a un tercero. Un aviso claro en el primer mensaje lo resuelve; lo contamos en nuestra guía de chatbots con IA para empresas.

Y si publicas imágenes, audio o vídeo generados con IA que imitan de forma realista a personas o hechos reales (ultrasuplantaciones), tienes que decir que son artificiales. El calendario completo está en la página de la Comisión sobre el Reglamento de IA.

Política de uso de IA en la empresa en 10 puntos

No hace falta un documento de cuarenta páginas. La propia AEPD aprobó en noviembre de 2025 su política de uso de IA generativa, con ideas aplicables a cualquier empresa: inventario de herramientas, formación previa, revisión humana y nada de información personal o confidencial en herramientas externas no controladas. Esta es una base para adaptar:

1. Herramientas autorizadas. Una lista cerrada de herramientas y versiones, siempre de empresa y con contrato. Nada de cuentas personales para trabajar.
2. Usos permitidos y prohibidos. Por ejemplo: sí para redactar, resumir o traducir textos sin datos personales; no para decidir sobre personas ni para asesorar a clientes sin revisión.
3. Datos que no entran nunca. La lista de más arriba, adaptada a tu sector.
4. Minimización por defecto. Quitar nombres e identificadores siempre que la tarea no los necesite.
5. Revisión humana. Todo lo generado lo revisa quien lo usa, con más cuidado si sale a un cliente o se publica: responde la persona, no la herramienta.
6. Verificar antes de fiarse. Datos, cifras, normas y citas se comprueban en la fuente original.
7. Transparencia. Avisar cuando un cliente habla con una IA y cuando un contenido publicado se ha generado con ella, en los casos en que la ley lo exige.
8. Nuevos usos, con visto bueno. Todo uso nuevo con datos personales pasa antes por quien lleve la protección de datos, para valorar contrato, información y evaluación de impacto.
9. Formación. Al dar acceso y con recordatorios periódicos, registrando quién la recibe.
10. Incidentes y revisión. Un canal para avisar si se han metido datos donde no debían y una revisión anual de la política.

Por dónde empezar (y cómo lo hacemos nosotros)

1. Haz inventario de qué herramientas de IA usa ya tu equipo, con qué cuentas y para qué.
2. Pasa a versiones de empresa las que se queden y guarda sus DPA.
3. Aprueba la política de 10 puntos, da una formación corta y revisa tu información de privacidad.
4. Antes de cada uso con datos sensibles o decisiones sobre personas, valora la evaluación de impacto.

Cuando desarrollamos una solución con IA, usamos las versiones de empresa (API) de los modelos, cuyos proveedores no usan esos datos para entrenar por defecto; minimizamos qué datos se envían y te dejamos por escrito qué información sale de tus sistemas. Si es un chatbot, lo configuramos para pedir solo los datos necesarios e informar al usuario, y revisamos contigo tu política de privacidad. Si quieres ver qué puede hacer la IA en tu negocio sin comprometer los datos, empieza por nuestra guía de inteligencia artificial para empresas o cuéntanos el proceso que tienes en mente.