IA generativa · Privacidad · Cumplimiento empresarial
Usar una herramienta de IA con información de clientes, empleados o candidatos no es automáticamente ilegal. Sí exige conocer qué datos se introducen, quién los trata, con qué finalidad, qué contrato y configuración se aplican y qué medidas permiten demostrar el cumplimiento.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
¿Es ilegal usar ChatGPT con datos de clientes?
No por definición. La respuesta depende del caso concreto. Hay que identificar si el prompt contiene datos personales, cuál es la finalidad empresarial, qué base jurídica sostiene el tratamiento y qué papel desempeña cada interviniente. También debe comprobarse si la herramienta reutiliza la información, dónde puede accederse a ella y durante cuánto tiempo se conserva.
Una consulta genérica sin información identificable no presenta el mismo riesgo que subir un expediente, un historial de soporte o una base de candidatos. Antes de implantar la herramienta conviene integrar privacidad, contratación y gobierno interno. Nuestro servicio de abogados de inteligencia artificial y AI Act para empresas revisa ese encaje jurídico y organizativo.
Qué obligaciones debe revisar la empresa
Finalidad, base jurídica y transparencia
La empresa debe definir para qué utiliza los datos y evitar usos posteriores incompatibles. La base jurídica no se deduce de que la herramienta sea útil: debe analizarse conforme al artículo 6 del RGPD y, si existen categorías especiales, al artículo 9. Cuando proceda, la información facilitada a clientes, empleados o candidatos debe explicar el tratamiento de forma clara.
Relación con el proveedor
Si el proveedor trata datos personales por cuenta de la empresa, debe analizarse el artículo 28 del RGPD y formalizarse el encargo con el contenido exigido. No basta con dar por hecho que existe un contrato adecuado por utilizar una modalidad empresarial. Hay que revisar la versión vigente de las condiciones, los subencargados, las instrucciones documentadas, la asistencia ante derechos y brechas y el destino de los datos.
Minimización y confidencialidad
El control más eficaz suele ser reducir la información antes de enviarla. Deben retirarse nombres, identificadores y detalles innecesarios, y valorarse si es posible trabajar con datos sintéticos, agregados o correctamente anonimizados. La pseudonimización puede reducir el riesgo, pero los datos continúan sujetos al RGPD si la organización puede reidentificar a la persona.
Seguridad, permisos y trazabilidad
La organización debe limitar quién utiliza la herramienta, con qué cuenta y para qué tareas. Son relevantes la autenticación, los permisos, el registro de actividad, la gestión de incidentes y la separación entre pruebas y producción. También debe existir un canal para notificar que un prompt ha incluido información indebida o que una salida ha expuesto datos.
Evaluación de impacto y decisiones automatizadas
No toda herramienta de IA requiere una evaluación de impacto. Puede ser necesaria cuando el tratamiento probablemente genere un alto riesgo, por ejemplo por escala, perfilado, datos sensibles, vigilancia o efectos relevantes sobre personas. Si el sistema interviene en decisiones con efectos jurídicos o similares, debe revisarse además el artículo 22 del RGPD y la existencia de intervención humana real.
Cómo evaluar una herramienta antes de autorizarla
| Pregunta | Evidencia necesaria | Riesgo si falta |
|---|---|---|
| ¿Qué datos recibirá? | Casos de uso, categorías y ejemplos permitidos | Envíos excesivos o no previstos |
| ¿Quién los trata? | Contrato, roles, subencargados y contactos | Falta de control del encargado |
| ¿Se reutilizan o conservan? | Condiciones y configuración verificadas | Finalidades incompatibles o retención excesiva |
| ¿Dónde puede accederse? | Localizaciones y garantías de transferencia | Transferencias no evaluadas |
| ¿Qué puede hacer el usuario? | Permisos, formación y registros | Uso informal o difícil de auditar |
Checklist de implantación
- Inventariar las herramientas de IA autorizadas y sus finalidades.
- Definir qué información no puede introducirse en prompts o archivos.
- Revisar contrato, roles, subencargados, conservación y transferencias.
- Documentar la base jurídica y actualizar el registro de actividades cuando corresponda.
- Valorar una EIPD según el riesgo real del caso de uso.
- Configurar cuentas corporativas, accesos, registros y supervisión.
- Formar a los equipos con ejemplos ligados a su trabajo.
- Preparar un procedimiento para errores, brechas y ejercicio de derechos.
- Revisar periódicamente cambios del servicio y nuevas integraciones.
Errores frecuentes
Los problemas más habituales no proceden de una única marca o modalidad. Aparecen cuando cada empleado elige su herramienta, se copian documentos completos sin necesidad, se confía en una configuración por defecto o se desconoce qué integraciones tienen acceso al correo, CRM o almacenamiento. Una política útil debe traducirse en controles técnicos y decisiones verificables, no limitarse a prohibiciones generales.
También es un error equiparar automáticamente cualquier fallo con una sanción. Ante un incidente, la empresa debe conservar evidencias, determinar si existen datos personales afectados, valorar el riesgo y documentar si procede notificar a la autoridad y a las personas. El análisis jurídico debe basarse en los hechos confirmados.
Preguntas frecuentes
¿Puedo introducir datos personales si tengo una cuenta empresarial?
No debe asumirse de forma automática. La empresa debe verificar contrato, finalidad, base jurídica, configuración, minimización, seguridad, retención y transferencias del servicio concreto.
¿Es obligatorio anonimizar todos los prompts?
No existe una regla general que exija anonimizar todo. Sí debe aplicarse minimización y evitar datos identificables cuando no sean necesarios. Si la anonimización es efectiva, la información deja de ser dato personal; la pseudonimización no produce ese efecto por sí sola.
¿Cuándo puede ser necesaria una EIPD?
Cuando el tratamiento probablemente entrañe un alto riesgo para los derechos y libertades, atendiendo a la escala, los datos, las personas afectadas, el perfilado, la vigilancia y las consecuencias del sistema.
Fuentes oficiales
- Reglamento (UE) 2016/679, artículos 5, 6, 13, 22, 28, 30, 32 y 35.
- Agencia Española de Protección de Datos, Innovación y Tecnología.
- Comité Europeo de Protección de Datos, directrices.
Fuentes consultadas el 25 de septiembre de 2026. Este artículo no sustituye el análisis del servicio, contrato y tratamiento concretos.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.