Tu equipo ya usa ChatGPT. Lo sepas o no.
Para redactar correos, resumir contratos, preparar presupuestos o contestar a un cliente enfadado.
Y muchas veces, copiando y pegando información que nunca debería salir de la empresa:
- nombres, emails y teléfonos de clientes
- nóminas y datos de empleados
- currículums de candidatos
- historiales de pacientes
- contratos con DNI y cuentas bancarias
El problema no es usar inteligencia artificial. El problema es usarla sin reglas.
En este artículo te explicamos qué dice el RGPD cuando usas ChatGPT con datos personales, qué cambia con el AI Act y qué tiene que hacer tu empresa para usarlo sin acabar delante de la AEPD.
¿Se puede usar ChatGPT en la empresa?
Sí. Usar ChatGPT en una empresa es legal.
Lo que no es legal es meter datos personales en él sin control.
Cuando un empleado pega en ChatGPT el email de un cliente, el currículum de un candidato o el informe de un paciente, la empresa está tratando datos personales. Y eso significa que se aplican el RGPD y la LOPDGDD. Exactamente igual que con cualquier otro proveedor.
Y no importa que lo haga:
- desde su móvil personal
- con una cuenta gratuita
- “solo para ahorrar tiempo”
Si lo hace por trabajo, la responsable es la empresa.
¿Mis datos en ChatGPT son privados o públicos?
Ni una cosa ni otra. Y aquí está el malentendido.
Lo que escribes en ChatGPT no se publica en internet. Pero tampoco se queda en tu ordenador.
Las conversaciones se guardan en los servidores de OpenAI. Y, según el tipo de cuenta, pueden usarse para entrenar sus modelos.
Cuentas personales (Free, Plus y Pro)
- Por defecto, OpenAI puede usar tus conversaciones para mejorar sus modelos.
- Se puede desactivar en la configuración, en “Controles de datos” > “Mejorar el modelo para todos”.
- La mayoría de usuarios no lo ha tocado nunca.
- Y no hay contrato de protección de datos entre tu empresa y OpenAI.
Cuentas de empresa (ChatGPT Business, Enterprise y API)
- OpenAI se compromete a no entrenar sus modelos con tus datos por defecto.
- Ofrece un contrato de encargado del tratamiento (DPA), firmado en Europa con OpenAI Ireland Limited.
- La empresa controla quién usa la herramienta y qué se guarda.
Y un detalle que casi nadie revisa: los enlaces para compartir conversaciones.
Cualquiera que tenga el enlace puede ver el chat. En 2025 se conocieron casos de conversaciones compartidas que acabaron apareciendo en Google.
👉 Privado no significa confidencial.
Qué dice el RGPD cuando usas ChatGPT con datos personales
El RGPD no menciona ChatGPT. No le hace falta.
Sus principios se aplican igual que a tu gestoría, a tu CRM o a tu proveedor de email. Esto es lo que tienes que tener en cuenta:
1. Necesitas una base legal
No puedes usar los datos “porque sí”.
Si recogiste los datos de un cliente para prestarle un servicio, usarlos en una herramienta externa para otra finalidad puede no estar cubierto.
Ejemplo: Redactar la respuesta a la consulta de un cliente → normalmente cubierto por la relación contractual. Pegar toda tu base de clientes para “analizar perfiles” → cuidado.
2. Tienes que informar
Si tratas datos con herramientas de IA, tus textos legales deben reflejarlo.
Revisa tu cláusula de protección de datos y la información de tu web. Si la copiaste de internet hace cinco años, seguro que no lo recoge.
3. Minimización: solo los datos imprescindibles
Para resumir un contrato, ChatGPT no necesita el DNI ni la cuenta bancaria del cliente.
Para redactar un email, no necesita el nombre completo.
Antes de pegar nada, quita lo que no haga falta. O sustitúyelo por datos ficticios.
4. Contrato con el proveedor
Cuando tu empresa usa ChatGPT para tratar datos de terceros, OpenAI actúa como encargado del tratamiento.
Y todo encargado necesita contrato.
Con una cuenta personal gratuita ese contrato no existe. Con una cuenta de empresa, sí: hay que aceptarlo y guardarlo.
5. Transferencias internacionales
OpenAI es una empresa estadounidense. Parte del tratamiento puede realizarse fuera de la Unión Europea, también en las cuentas de empresa.
Hay que comprobar qué garantías ofrece el contrato y dejarlo documentado. No vale con “es una empresa grande, seguro que cumple”.
6. Datos sensibles: línea roja
Datos de salud, de menores, de afiliación sindical, biométricos…
Si eres una clínica, un fisioterapeuta, un psicólogo o un centro educativo, no metas historiales ni informes en ChatGPT. Ni “anonimizados” a medias.
Aquí el riesgo es máximo y la sanción también.
7. Evaluación de impacto
Si vas a usar IA de forma habitual con datos personales, sobre todo si son sensibles o a gran escala, puede ser obligatoria una evaluación de impacto en protección de datos.
La propia AEPD tiene una guía específica: “Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial”.
¿Hay que cumplir la ley de IA al usar ChatGPT?
Sí. Aunque tu empresa no haya desarrollado ninguna inteligencia artificial.
El Reglamento Europeo de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) distingue entre:
- Proveedor: quien desarrolla el sistema (OpenAI, en el caso de ChatGPT).
- Responsable del despliegue: quien lo usa en su actividad profesional. Es decir, tu empresa.
Y el responsable del despliegue también tiene obligaciones.
Formación del equipo (alfabetización en IA)
Desde el 2 de febrero de 2025, las empresas que usan IA deben tomar medidas para que su personal sepa usarla.
El Ómnibus Digital (Reglamento UE 2026/1744, en vigor desde el 27 de julio de 2026) ha suavizado la redacción: ya no se exige garantizar un nivel concreto, sino adoptar medidas que apoyen esa formación según el puesto y el riesgo.
Traducido: formación y normas claras. Y poder demostrarlo.
Transparencia
Desde el 2 de agosto de 2026:
- Si pones un chatbot de IA en tu web para atender a clientes, la persona tiene que saber que habla con una IA.
- Si generas imágenes, audios o vídeos que simulan personas reales, hay que indicar que son artificiales.
- Si publicas textos generados por IA para informar al público sobre asuntos de interés público y nadie los revisa, también hay que indicarlo.
Usos de alto riesgo
Si usas IA para seleccionar personal, filtrar currículums, evaluar a empleados o decidir sobre créditos, puedes estar ante un uso de alto riesgo.
Tras el Ómnibus Digital, estas obligaciones se aplican desde el 2 de diciembre de 2027. Parece lejos. No lo es.
Tienes todas las obligaciones explicadas en nuestro artículo sobre las obligaciones de la Ley de Inteligencia Artificial para las empresas.
Los errores más habituales al usar ChatGPT en la empresa
Ninguno se hace con mala intención. Todos pueden acabar en sanción:
- Pegar el Excel de clientes para “segmentarlos”.
- Subir contratos completos con DNI, direcciones y cuentas bancarias.
- Pedir que redacte el informe de un paciente con su historial.
- Usar la cuenta personal del empleado para temas de trabajo.
- Filtrar currículums con IA sin que nadie revise el resultado.
- Compartir conversaciones por enlace con datos de clientes.
- No tener ninguna norma escrita sobre qué se puede hacer y qué no.
Eso no es mala suerte.
Es falta de normas.
Qué pasa si se filtran datos a través de ChatGPT
Si datos personales salen del control de la empresa, puede tratarse de una brecha de seguridad.
Y una brecha tiene plazos:
- ⏱️ 72 horas para notificarla a la AEPD si supone un riesgo para las personas.
- Comunicarla a los afectados si el riesgo es alto.
- Documentarla siempre, aunque no se notifique.
Las multas del RGPD pueden llegar a 20 millones de euros o el 4 % de la facturación anual. Te lo contamos en detalle en sanciones por incumplir la LOPD.
Y ojo: las sanciones del AI Act son independientes. Un mismo uso indebido puede incumplir las dos normas.
Cómo usar ChatGPT en tu empresa cumpliendo el RGPD
Vamos a lo práctico. Esto es lo mínimo:
1. Haz inventario
Quién usa IA en la empresa, con qué herramientas y para qué. Te sorprenderá el resultado.
2. Usa cuentas de empresa
Nada de cuentas personales para trabajar. Con una cuenta de empresa tienes contrato, control de usuarios y el compromiso de no entrenar con tus datos.
3. Aprueba una política de uso de IA
Un documento sencillo que diga:
- qué herramientas están permitidas
- para qué se pueden usar
- qué datos no se meten nunca
- quién revisa los resultados
- qué hacer si alguien comete un error
Puede formar parte de tu protocolo de protección de datos.
4. Configura bien la herramienta
Revisa el historial, la memoria, los enlaces compartidos y, en cuentas personales, la opción de entrenamiento. Lo que no necesites, desactívalo.
5. Anonimiza antes de pegar
Nombres ficticios, sin DNI, sin teléfonos, sin direcciones. Si el dato no es necesario, no entra.
6. Actualiza tu documentación
Registro de actividades de tratamiento, textos informativos, contrato con OpenAI y, si procede, evaluación de impacto.
7. Forma a tu equipo
El mayor riesgo no es la herramienta. Es el error humano.
Una formación corta y práctica evita la mayoría de problemas. Y además te ayuda a cumplir la obligación de alfabetización del AI Act.
8. Revisa periódicamente
Las herramientas cambian cada pocos meses. Sus condiciones, también. Lo que hoy cumple, dentro de un año puede no hacerlo.
Si quieres ir un paso más allá, te explicamos cómo montar un sistema completo en compliance en inteligencia artificial.
ChatGPT y protección de datos: el problema no es la herramienta, es la improvisación
Prohibir ChatGPT en la empresa no funciona. El equipo lo seguirá usando, pero a escondidas.
Lo que funciona es:
- elegir bien la herramienta
- poner normas claras
- formar al equipo
- documentarlo todo
La AEPD no va a sancionar a tu empresa por usar inteligencia artificial.
La sancionará por usarla mal con datos de personas.
Y eso se puede evitar.
Beatriz Sancho es especialista en protección de datos y cumplimiento normativo. Con experiencia en el sector energético y financiero, completó un Máster en Protección de Datos y Acceso a la Abogacía. Tras ejercer en Canarias, regresó a Zaragoza y en 2023 se unió a DEME Soluciones 360, aportando su experiencia legal en auditoría y consultoría.