El problema que nadie en tu empresa está viendo

Cada día, en miles de empresas españolas, ocurre lo mismo. Un comercial abre ChatGPT en su navegador, pega un Excel con la cartera de clientes y le pide que "haga un resumen ejecutivo para la reunión de mañana". Un técnico de soporte copia el historial de conversaciones de un usuario para que la IA le ayude a redactar una respuesta. Una persona de RRHH sube el CV de un candidato para que el modelo le sugiera preguntas de entrevista.

Cada uno de esos actos es, técnicamente, una transferencia de datos personales a un tercero sin contrato formal, sin base legal verificada y sin garantías de que esos datos no vayan a usarse para entrenar el modelo. Y el responsable ante la AEPD no es OpenAI. Eres tú.

Esto no es un riesgo teórico ni una alerta exagerada. Es lo que está ocurriendo en la mayoría de empresas tech, SaaS, fintech y healthtech españolas que han adoptado IA generativa sin haber resuelto la capa legal primero.

Por qué usar ChatGPT con datos de clientes infringe el artículo 28 del RGPD

El artículo 28 del RGPD es claro: cuando un responsable del tratamiento (tu empresa) utiliza a un tercero para tratar datos personales (OpenAI procesando los prompts que contienen esos datos), ese tercero actúa como encargado del tratamiento y la relación debe estar formalizada mediante un contrato específico de encargo del tratamiento (DPA por sus siglas en inglés).

ChatGPT Free y ChatGPT Plus son planes de consumo individual. No incluyen DPA empresarial. No ofrecen garantías RGPD para uso profesional. Si tu equipo usa cuentas individuales para trabajar con datos de clientes, la empresa está tratando datos personales a través de un encargado no formalizado. Eso es infracción del artículo 28, tipificada como grave, con sanción de hasta 300.000 euros bajo la LOPDGDD o hasta 20 millones o el 4% de la facturación mundial bajo el RGPD, lo que sea mayor.

Los tres planes de ChatGPT y lo que implica cada uno para el RGPD

No todos los planes de ChatGPT tienen el mismo tratamiento legal. La mayoría de empleados usa los planes de consumo. Ese es el problema.

El Shadow AI: el riesgo que tu departamento legal no controla

Shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados sin conocimiento ni autorización del departamento jurídico, de cumplimiento o de TI. No es un fenómeno marginal: en 2026 es la norma en la mayoría de empresas tech de tamaño medio.

El riesgo legal del Shadow AI es doble. Por un lado, la empresa pierde la trazabilidad de los datos tratados, incumpliendo el artículo 30 del RGPD sobre el Registro de Actividades de Tratamiento. Si la AEPD pregunta qué datos personales se han compartido con qué herramientas de IA y con qué garantías, la empresa no puede responder. Por otro lado, la empresa no puede acreditar que el encargado del tratamiento tiene las garantías exigidas por el artículo 28. Y en caso de brecha o sanción, la empresa responde aunque la dirección no supiera que ese uso estaba ocurriendo.

El desconocimiento no es circunstancia eximente bajo el RGPD. Es circunstancia agravante.

Las 6 obligaciones que tu empresa incumple sin saberlo

Si tu empresa usa herramientas de IA generativa y no ha trabajado específicamente la capa legal, con altísima probabilidad incumple alguna de estas seis obligaciones. Cada una puede derivar en un expediente independiente de la AEPD.

• 1
  DPA firmado con cada proveedor de IA (art. 28 RGPD). Cada herramienta de IA que accede a datos personales de tus clientes o empleados necesita un contrato de encargo del tratamiento vigente, con las cláusulas mínimas del artículo 28. Esto incluye ChatGPT, Copilot, Gemini, Claude, herramientas de transcripción de reuniones, asistentes de CRM y cualquier API de IA que integres en tu producto.
• 2
  Base legal identificada para cada tratamiento (art. 6 RGPD). No basta con tener el DPA. También necesitas una base legal válida para el tratamiento concreto que estás haciendo con la IA. El interés legítimo no funciona para todo. El consentimiento no puede ser la respuesta automática a todo. Cada caso de uso de IA con datos personales necesita su análisis propio.
• 3
  Evaluación de Impacto (EIPD) cuando procede (art. 35 RGPD). Si el sistema de IA realiza perfilado de personas, toma o informa decisiones automatizadas con efectos significativos, o trata datos de categoría especial (salud, biométricos, financieros, ideología...), la EIPD es obligatoria antes de empezar a usarlo. No después de recibir el requerimiento de la AEPD.
• 4
  Política interna de uso de IA documentada. Lista de herramientas autorizadas y prohibidas, datos que pueden introducirse en cada una, reglas de revisión humana según criticidad del output, y procedimiento de reporte de incidentes. La AEPD lo está considerando una obligación implícita derivada del principio de accountability del artículo 5.2 RGPD y del AI Act.
• 5
  Actualización del Registro de Actividades de Tratamiento (art. 30 RGPD). Cada nuevo caso de uso de IA con datos personales es un tratamiento nuevo que tiene que estar documentado en el RAT. Si incorporas una herramienta de IA que analiza datos de clientes y no lo añades al registro, el registro está desactualizado. Eso lo detecta la AEPD en cualquier inspección.
• 6
  Información a los interesados cuando corresponde (art. 13-14 RGPD y AI Act). Si tu producto o servicio usa IA para tomar o informar decisiones sobre tus clientes o usuarios, tienes obligación de informarles. El AI Act añade obligaciones específicas de transparencia para sistemas de IA que interactúan con personas. Un chatbot sin aviso de que es IA ya es infracción exigible desde 2025.

Plan de acción en 7 días: cómo corregirlo sin parar tu operativa

El objetivo no es prohibir el uso de IA en tu empresa. Es estructurarlo legalmente para que puedas seguir usándola sin exposición regulatoria. Esto es lo que hacemos en SCANDO UP cuando un cliente llega con este problema.

• 1Día
  Inventario de herramientas de IA en uso

  Antes de cualquier acción legal, necesitas saber qué herramientas de IA están usando tus empleados, con qué datos, para qué finalidades y desde qué cuentas (corporativas o personales). Esto incluye el Shadow AI. Sin este inventario no puedes saber qué exposición tienes.

• 2Día
  Clasificación por nivel de riesgo

  Cada herramienta se clasifica según el tipo de datos que procesa y el impacto potencial sobre personas. Bajo riesgo (apoyo interno, sin datos sensibles), riesgo medio (outputs que llegan a clientes), alto riesgo (decisiones sobre personas, datos de salud, scoring). Esta clasificación determina qué obligaciones aplican a cada una.

• 3Día
  DPA con los proveedores que lo requieren

  Para las herramientas de nivel medio y alto, obtener y firmar el DPA correspondiente. OpenAI, Anthropic, Google y Microsoft tienen DPAs estándar descargables para planes empresariales. Si usas plataformas menores, el DPA se negocia o se exige contractualmente antes de continuar el uso.

• 4Día
  EIPD para los tratamientos que lo exigen

  Para cada caso de uso de alto riesgo, una Evaluación de Impacto documentada antes de continuar el tratamiento. No es un documento genérico: es un análisis específico del riesgo para las personas afectadas y de las medidas que lo mitigan.

• 5Día
  Política interna de uso de IA

  Documento interno que recoge qué herramientas están autorizadas, qué datos pueden introducirse en cada una, qué está prohibido (datos de salud en planes gratuitos, contratos completos con cláusulas de confidencialidad, listados de clientes en cuentas no corporativas), y el procedimiento de reporte de incidentes.

• 6Día
  Actualización del Registro de Actividades de Tratamiento

  Cada nuevo tratamiento identificado se añade al RAT con su descripción, base legal, encargado del tratamiento, medidas de seguridad y plazo de conservación. El registro actualizado es lo primero que pide la AEPD en cualquier inspección o requerimiento.

• 7Día
  Formación del equipo y revisión de avisos a usuarios

  El personal que usa IA con datos personales necesita saber exactamente qué puede y no puede hacer. Y si tu producto o servicio usa IA para interactuar con o tomar decisiones sobre tus clientes, los avisos y políticas de privacidad tienen que reflejarlo correctamente.

Preguntas frecuentes sobre IA y RGPD en empresas