Pegar en ChatGPT, Claude o Gemini el correo de un cliente, un currículum o una hoja con datos de clientes es tratar datos personales, así que se aplica el RGPD. Con el RGPD y ChatGPT, Claude o Gemini, las normas no son nuevas, pero las herramientas hacen muy fácil incumplirlas sin darse cuenta, sobre todo al usar una cuenta personal para trabajar. Esta guía explica qué cambia entre los planes personales y los de empresa, qué comprobar antes de usar IA con datos de clientes y qué no pegar nunca.
Esta guía se basa en las páginas oficiales de privacidad y de tratamiento de datos de cada proveedor y en el texto del RGPD, consultados el 28 de octubre de 2026. Los proveedores cambian sus condiciones a menudo, así que revisa los enlaces antes de contratar. No es asesoramiento jurídico. Consulta nuestra política editorial.
Respuesta rápida: para que RGPD y ChatGPT, Claude o Gemini sean compatibles, usa un plan de empresa en cualquier trabajo con datos personales (ChatGPT Business o Enterprise, Claude Team o Enterprise, Gemini en Google Workspace o las API), no una cuenta personal Free o Plus. Los planes de empresa no usan tus datos para entrenar modelos por defecto e incluyen un contrato de encargado del tratamiento, que el RGPD exige cuando un proveedor trata datos personales por cuenta tuya. Después, pega solo lo necesario, no introduzcas nunca datos sensibles, informa en tu política de privacidad y deja que una persona tome las decisiones sobre personas.
Índice
RGPD y ChatGPT: por qué se aplican las normas
Cualquier información sobre una persona identificable es un dato personal: un nombre, un correo, un historial de pedidos, un currículum o una grabación de voz. Cuando tu empresa decide tratarlo con una herramienta de IA, tu empresa es la responsable del tratamiento. El proveedor que lo trata solo siguiendo tus instrucciones es encargado del tratamiento, y el artículo 28 del RGPD exige un contrato por escrito con él: el contrato de encargado del tratamiento (en inglés, DPA).
Ese es el problema de fondo de las cuentas personales. Una cuenta Free o Plus es un contrato entre el proveedor y el empleado con condiciones de consumidor, no un contrato de encargo con tu empresa, y en la mayoría de ellas los datos pueden usarse para mejorar los modelos del proveedor.
Plan personal o de empresa: qué dice cada proveedor
| Herramienta y plan | ¿Se usa para entrenar modelos? | Contrato de encargado | Notas |
|---|---|---|---|
| ChatGPT Free, Plus, Pro | Sí, por defecto; se puede desactivar «Mejorar el modelo para todos» en Configuración > Controles de datos | No | OpenAI indica que, si valoras una respuesta, puede usar toda la conversación aunque hayas desactivado la opción |
| ChatGPT Business, Enterprise, API | No, por defecto | Sí, mediante el formulario de DPA de OpenAI; los clientes del EEE contratan con OpenAI Ireland Ltd | Residencia de datos en Europa para clientes Enterprise y Edu que cumplan los requisitos y para proyectos nuevos de la API |
| Claude Free, Pro, Max | Solo si activas la opción de entrenamiento | No | Con el entrenamiento activado, los datos se guardan hasta 5 años; desactivado, 30 días. Las conversaciones marcadas para revisión de seguridad pueden usarse igualmente |
| Claude Team, Enterprise, API | No, por defecto (las valoraciones que envíes sí pueden usarse) | Sí, incluido en las Condiciones Comerciales de Anthropic, con cláusulas contractuales tipo de la UE | El administrador puede desactivar el envío de valoraciones de los miembros |
| App de Gemini con cuenta personal de Google | Sí, mientras la Actividad esté activada, que es lo predeterminado para mayores de edad; revisores humanos pueden leer chats | No | Los chats revisados por personas se guardan hasta 3 años aunque borres tu actividad; con la Actividad desactivada, los chats se guardan igualmente 72 horas |
| Gemini en Google Workspace (ediciones de empresa) | No, sin tu permiso; no lo revisan personas fuera de tu dominio | Sí, las peticiones son datos del cliente según el Anexo de Tratamiento de Datos de Cloud de Google | Lo gestiona el administrador de Workspace |
Fuentes (en inglés): OpenAI, controles de datos, DPA y residencia de datos en Europa; Anthropic, entrenamiento en planes de consumo, entrenamiento en productos comerciales y DPA; Google, centro de privacidad de las apps de Gemini y centro de privacidad de la IA generativa en Workspace. Consultadas el 28 de octubre de 2026.
Desactivar el entrenamiento en una cuenta personal ayuda, pero no convierte al proveedor en tu encargado del tratamiento ni te da un contrato. Para datos de clientes o de empleados no basta.
RGPD y ChatGPT: siete comprobaciones antes de usar datos personales
- Cuenta de empresa y contrato de encargado (artículo 28). Usa un plan de empresa o la API para el trabajo y confirma que el contrato está firmado o aceptado. Guarda una copia o el enlace con la fecha.
- Entrenamiento desactivado. Comprueba lo que viene por defecto en tu plan y cualquier ajuste del administrador, como el envío de valoraciones.
- Adónde van los datos (artículos 44 a 49). Las transferencias fuera del EEE necesitan una base legal, como una decisión de adecuación o cláusulas contractuales tipo. Mira cuál usa el contrato y si tu plan permite elegir residencia de datos en la UE.
- Minimiza (artículo 5). Pega solo lo que la tarea necesita. Sustituye nombres y documentos de identidad por marcadores cuando el modelo no los necesite, por ejemplo «Cliente A».
- Nada de categorías especiales (artículo 9). La salud, la religión, la afiliación sindical, la orientación sexual o los datos biométricos o genéticos necesitan una base legal específica. Déjalos fuera de las herramientas de IA generales.
- Informa (artículos 13 y 14) y regístralo (artículo 30). Menciona a los proveedores de IA en tu política de privacidad y añade el tratamiento a tu registro de actividades de tratamiento.
- Las personas deciden sobre las personas (artículo 22, y artículo 35 si hay alto riesgo). La IA puede redactar u ordenar, pero las decisiones con efectos jurídicos o igual de significativos, como descartar a un candidato, las toma una persona. Evaluar personas de forma sistemática puede exigir además una evaluación de impacto.
Qué puedes pegar, con cuidado o nunca
| Normalmente sin problema (plan de empresa) | Con cuidado: minimiza o anonimiza antes | Nunca en una herramienta de IA general |
|---|---|---|
| Tus fichas de producto, páginas web públicas, plantillas internas, preguntas frecuentes anonimizadas | Correos de clientes, datos de pedidos, notas de reuniones con nombres, currículums para un resumen que revisará una persona | Datos de salud, DNI y pasaportes, datos de tarjetas bancarias, contraseñas y claves de API, documentos confidenciales de terceros que no puedes compartir |
Los secretos de empresa merecen el mismo cuidado aunque no sean datos personales: contratos, precios ofrecidos a un cliente o planes sin anunciar. Un plan de empresa con contrato de encargado reduce el riesgo, pero no quita la necesidad de pensar antes de pegar.
Un párrafo para tu política de privacidad
Lo hemos redactado como punto de partida para cualquier empresa que combine RGPD y ChatGPT, Claude o Gemini. Completa los corchetes y conserva solo lo que sea cierto en tu caso:
«Utilizamos herramientas de inteligencia artificial de [OpenAI Ireland Ltd / Anthropic / Google] para [redactar respuestas a tus consultas / resumir solicitudes de soporte]. Estos proveedores actúan como encargados del tratamiento en virtud de un contrato, tratan tus datos solo siguiendo nuestras instrucciones y no los usan para entrenar sus modelos. [Cuando los datos se transfieren fuera del Espacio Económico Europeo, la transferencia está amparada por cláusulas contractuales tipo.] Una persona de nuestro equipo revisa cualquier respuesta antes de enviarla, y ninguna decisión sobre ti la toma solo una IA.»
Si un chatbot habla directamente con tus clientes, además necesitas un aviso visible de que es una IA según el Reglamento de IA; tienes textos de ejemplo en nuestra guía del artículo 50.
Automatizaciones y agentes
Cuando conectas un modelo de IA a tu correo o a tu CRM mediante Zapier, Make o n8n, hay dos encargados del tratamiento: la plataforma de automatización y el proveedor de IA. Necesitas contrato con los dos, y sus datos pueden estar en sitios distintos: Zapier los guarda en EE. UU., Make permite elegir una región en la UE y n8n Cloud aloja en Fráncfort. Los comparamos en Make vs Zapier, y nuestra guía de agentes de IA para pymes explica cómo mantener una aprobación humana en el flujo.
Errores habituales
- Que el equipo use cuentas personales para trabajar con clientes. Es el fallo más común. Dales una herramienta de empresa aprobada en lugar de prohibir la IA.
- Creer que «entrenamiento desactivado» equivale a cumplir el RGPD. Sigues necesitando contrato de encargado, base para las transferencias y política de privacidad.
- Pegar hojas de cálculo enteras cuando la tarea necesita tres columnas.
- Dejar que la IA descarte candidatos o clientes por su cuenta. Choca con el artículo 22 y, desde diciembre de 2027, con las normas de alto riesgo del Reglamento de IA.
- No tener una norma escrita. Una norma de una página sobre herramientas permitidas y datos prohibidos sirve también para la obligación de alfabetización en IA; consulta nuestra guía de alfabetización en IA.
Más allá del RGPD y ChatGPT, para ver el conjunto de normas, plazos y ayudas, consulta IA en la empresa en España: normas, plazos y ayudas. En España, la autoridad de protección de datos es la AEPD.
Preguntas frecuentes
RGPD y ChatGPT: ¿es legal usar ChatGPT con datos de clientes?
Puede serlo si usas un plan de empresa o la API con contrato de encargado del tratamiento, tienes base legal para el tratamiento y para cualquier transferencia fuera del EEE, pegas solo lo necesario, informas en tu política de privacidad y no introduces datos sensibles. Usar una cuenta personal Free o Plus con datos de clientes es difícil de justificar porque no hay contrato de encargo con tu empresa.
¿ChatGPT, Claude y Gemini entrenan con los datos de mi empresa?
En sus planes de empresa y en sus API, OpenAI, Anthropic y Google indican que no usan tus datos para entrenar por defecto. En los planes personales depende de los ajustes: ChatGPT entrena por defecto salvo que lo desactives, Claude solo si activas la opción y la app de Gemini usa la actividad para mejorar mientras esté activada.
¿Cómo consigo un contrato de encargado del tratamiento con OpenAI, Anthropic o Google?
OpenAI ofrece un formulario de DPA para clientes de ChatGPT Business, Enterprise y la API, y los clientes del EEE contratan con OpenAI Ireland Ltd. El DPA de Anthropic, con cláusulas contractuales tipo de la UE, forma parte automáticamente de sus Condiciones Comerciales. En Google Workspace, las peticiones a Gemini son datos del cliente según el Anexo de Tratamiento de Datos de Cloud.
¿Basta con desactivar el entrenamiento en una cuenta personal?
No. Reduce el riesgo, pero no crea un contrato de encargo entre el proveedor y tu empresa, que es lo que exige el artículo 28 del RGPD cuando un proveedor trata datos personales por cuenta tuya.
¿Puedo pegar currículums en una IA para preseleccionar candidatos?
Solo con cuidado: en un plan de empresa con contrato de encargado, informando a los candidatos, minimizando los datos y con una persona que tome la decisión. Un descarte totalmente automático puede vulnerar el artículo 22 del RGPD, y la IA usada en selección de personal pasa a ser de alto riesgo según el Reglamento de IA desde el 2 de diciembre de 2027.
Fuentes oficiales
- EUR-Lex: RGPD, Reglamento (UE) 2016/679
- OpenAI: controles de datos en ChatGPT
- OpenAI: Data Processing Addendum (en vigor desde el 1 de enero de 2026)
- OpenAI: residencia de datos en Europa
- Anthropic: uso de datos para entrenamiento (planes de consumo)
- Anthropic: uso de datos para entrenamiento (productos comerciales)
- Anthropic: Data Processing Addendum
- Google: centro de privacidad de las apps de Gemini
- Google: centro de privacidad de la IA generativa en Google Workspace