¿Puede una empresa usar ChatGPT con datos personales?

La respuesta corta es: depende de qué versión de ChatGPT se use, cómo se configure y qué datos se introduzcan. La respuesta larga, la que realmente protege a una empresa, exige distinguir entre el uso personal de una herramienta de IA generativa y su uso corporativo bajo un contrato que ofrezca garantías reales conforme al RGPD y a la LOPDGDD.

No todas las versiones de ChatGPT son iguales ante el RGPD

La cuenta gratuita o personal de ChatGPT no está pensada para tratar datos personales de una empresa. En este nivel, el proveedor puede utilizar el contenido de las conversaciones para entrenar sus modelos, salvo que la persona usuaria lo desactive manualmente, y no existe ningún contrato entre la organización y el proveedor que regule ese tratamiento. En cambio, las versiones ChatGPT Business, ChatGPT Enterprise y el acceso mediante API permiten firmar un contrato de encargado del tratamiento (DPA), incluyen por defecto una política de no entrenamiento con los datos introducidos y ofrecen opciones de residencia de los datos en distintas regiones, incluida Europa.

Beneficios del uso de IA generativa en la empresa

Usada correctamente, esta tecnología permite redactar contenidos, resumir documentos, automatizar tareas repetitivas y apoyar la atención al cliente con una rapidez que ninguna herramienta anterior ofrecía. El problema no es la tecnología en sí, sino la costumbre, cada vez más extendida, de que las personas empleadas introduzcan datos de clientes, contratos o información de recursos humanos en cuentas personales sin que la empresa lo sepa ni lo controle: es lo que se conoce como shadow AI.

Principales riesgos de privacidad

• Uso de cuentas personales o gratuitas para tratar datos de clientes, empleados o proveedores, sin ningún contrato que lo ampare.
• Transferencia internacional de datos personales a servidores situados fuera del Espacio Económico Europeo sin las garantías del capítulo V del RGPD.
• Pérdida de trazabilidad sobre qué información se ha compartido con la herramienta, lo que dificulta mantener actualizado el Registro de Actividades de Tratamiento (art. 30 RGPD).
• Uso de la información introducida para entrenar modelos futuros en los planes que no ofrecen garantía contractual de lo contrario.
• Falta de información a las personas afectadas cuando sus datos se procesan a través de un sistema de IA, incumpliendo el deber de transparencia.
• Uso de GPT personalizados o conectores de terceros dentro de ChatGPT, que pueden hacer que la información salga del entorno protegido por el contrato principal.

Marco normativo aplicable

• RGPD: relación responsable-encargado y contrato de tratamiento (art. 28), transferencias internacionales de datos (arts. 44 a 49), principio de minimización (art. 5), transparencia (arts. 13-14), garantías ante decisiones automatizadas (art. 22) y registro de actividades de tratamiento (art. 30).
• LOPDGDD: deber de confidencialidad del personal (art. 5), aplicable a cualquier información introducida en herramientas de IA por parte de empleados.
• Reglamento (UE) 2024/1689 (Reglamento de IA): obligaciones de transparencia del art. 50 cuando se interactúa con un sistema de IA como un chatbot, y clasificación de riesgo si el uso concreto (por ejemplo, evaluación de personas candidatas) encaja en el Anexo III.
• Precedentes relevantes: la autoridad italiana de protección de datos sancionó a OpenAI en diciembre de 2024 por diversas infracciones del RGPD relacionadas con la base jurídica del tratamiento y la falta de transparencia; la Agencia Española de Protección de Datos ha abierto actuaciones de investigación sobre la actividad de la compañía en España. Estos antecedentes confirman que el uso empresarial de IA generativa está bajo escrutinio activo de las autoridades de control.

Base de legitimación del tratamiento

Cuando una empresa introduce datos personales en ChatGPT (por ejemplo, para redactar una respuesta a un cliente o resumir un currículum), la base jurídica dependerá de la finalidad concreta: ejecución de un contrato (art. 6.1.b RGPD) si se trata de gestionar una relación con el cliente, o interés legítimo (art. 6.1.f RGPD) si se trata de tareas internas de productividad, siempre que se pondere frente a los derechos de las personas afectadas. En ningún caso el uso de una herramienta de IA es, en sí mismo, una base de legitimación: hay que identificarla para cada tratamiento concreto, igual que con cualquier otro proveedor.

¿Es obligatoria una evaluación de impacto (EIPD)?

No existe una obligación automática de EIPD por el mero hecho de usar ChatGPT, pero sí es muy probable que resulte exigible en la práctica. La Agencia Española de Protección de Datos incluye en su listado de tratamientos de alto riesgo el uso de nuevas tecnologías o soluciones tecnológicas novedosas, categoría en la que encaja el uso sistemático de IA generativa con datos personales de clientes o empleados. Si, además, el uso implica evaluar aspectos personales (por ejemplo, cribar candidaturas) o tratar datos a gran escala, la EIPD conforme al art. 35 RGPD debe considerarse obligatoria antes de generalizar el uso de la herramienta.

Medidas de proporcionalidad y buenas prácticas

• Contratar exclusivamente versiones empresariales (Business, Enterprise o API) con un DPA firmado, nunca cuentas personales para datos corporativos.
• Verificar y documentar que la política de no entrenamiento con los datos de la organización está activa y contractualmente garantizada.
• Seleccionar, cuando esté disponible, la opción de residencia de datos en Europa para minimizar el riesgo asociado a las transferencias internacionales.
• Aprobar una política interna de uso de IA generativa que indique qué datos pueden introducirse y cuáles están prohibidos (datos de salud, categorías especiales, información de menores).
• Formar a la plantilla en los riesgos del shadow AI y en el uso correcto de las herramientas corporativas autorizadas.
• Actualizar el Registro de Actividades de Tratamiento y las cláusulas informativas para reflejar el uso de IA cuando corresponda.
• Valorar la EIPD antes de extender el uso de IA generativa a procesos que evalúen a personas o traten datos a gran escala.

Conclusión

Una empresa sí puede usar ChatGPT con datos personales, pero únicamente en sus versiones corporativas, con un DPA firmado, una base jurídica identificada para cada tratamiento y, en la mayoría de los casos, con una evaluación de impacto que anticipe los riesgos. Lo que no es viable, bajo ningún concepto, es que el uso de esta tecnología en la empresa dependa de cuentas personales sin control ni contrato: eso no es innovación, es una brecha de datos esperando a ocurrir.

Este contenido tiene carácter informativo y divulgativo. La configuración concreta de cada plan de OpenAI, sus condiciones contractuales y su encaje con el RGPD pueden cambiar; conviene revisar la documentación vigente del proveedor y contar con asesoramiento legal específico antes de generalizar su uso en la organización.

#ChatGPT #InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #sipylopd #SIPY