Tienes que escribir un correo complicado a un cliente. Pegas todo el hilo en ChatGPT y le pides que te haga sonar más tranquilo. O metes un presupuesto y le pides que mejore la redacción. O el contrato de un proveedor, para que te explique una cláusula que no entiendes.
Casi todo el mundo hace esto, la mayoría no se lo piensa dos veces y, en ciertos casos, es un problema real de protección de datos. Aquí está dónde se sitúa la línea de verdad, sin alarmismos.
Información general, no asesoramiento legal. Si manejas muchos datos sensibles, que te revisen la configuración en condiciones.
La respuesta corta
Depende de dos cosas: qué hay en el texto y qué versión de la herramienta estás usando. El mismo mensaje puede ser perfectamente correcto o una infracción según esas dos respuestas, y por eso los consejos generales tipo "no uses nunca IA en el trabajo" o "no pasa nada" son igual de inútiles.
Lo que casi nadie sabe
Según el RGPD, si alguien trata datos personales por tu cuenta, necesitas un contrato de encargado de tratamiento con esa empresa. No es un trámite: es la base que permite entregarle esos datos.
OpenAI ofrece contrato de encargado de tratamiento para sus planes de empresa: ChatGPT Business, Enterprise y la API. No lo ofrece para la versión gratuita de consumo.
Ese único dato resuelve casi todo. Pegar los datos personales de un cliente en el ChatGPT gratuito significa que datos de los que tú eres responsable los está tratando una empresa con la que no tienes contrato de encargado. Hacer lo mismo desde una cuenta de empresa con el contrato firmado es una situación legal completamente distinta.
Otros proveedores funcionan igual, con planes de consumo y de empresa en condiciones distintas. La pregunta que hay que hacerle a cualquier herramienta de IA es simplemente: ¿hay contrato de encargado y lo hemos aceptado?
Qué cuenta aquí como dato personal
Más cosas de las que la gente supone. Un nombre, un correo, un teléfono, una dirección, un NIF, la foto de alguien, una matrícula o cualquier combinación que permita identificar a una persona. En el hilo de correo con un cliente, normalmente es todo.
Hay datos aún más estrictos: la información de salud y todo lo que revele ideología, religión, afiliación sindical, orientación sexual o datos biométricos. Esa categoría no debería entrar nunca en una IA de uso general, sin matices.
Las situaciones que de verdad pillan a los negocios pequeños
- Pegar el contrato o el presupuesto de un cliente para reescribirlo. Datos personales y confidencialidad comercial de una sentada.
- Resumir un hilo de WhatsApp con un cliente. Ese cliente nunca aceptó que sus mensajes se enviaran a un tercero.
- Subir un Excel de clientes para limpiarlo o quitar duplicados. La costumbre más arriesgada de la lista, porque son cientos de personas de golpe.
- Cribar candidaturas o currículums. Este caso pesa más, y lo vemos abajo.
- Que tu equipo haga cualquiera de estas cosas desde sus cuentas personales, algo de lo que no te enterarás salvo que les hayas dicho dónde está el límite.
Seis reglas que te mantienen del lado correcto
- Anonimiza por defecto. Cambia nombres y direcciones por marcadores. "Redacta una respuesta firme pero educada a un cliente que discute una factura" funciona igual de bien que pegar el hilo real y no tiene ningún riesgo.
- Usa un plan de empresa si de verdad hay datos reales de clientes, y asegúrate de que el contrato de encargado está aceptado y no solo disponible.
- No pegues nunca datos de categorías especiales. Salud, biometría y demás. Sin excepciones y sin trucos de anonimización.
- Revisa el ajuste de entrenamiento. Comprueba si lo que escribes se usa para mejorar el modelo y desactívalo cuando puedas. Los planes de empresa normalmente no entrenan con tus datos por defecto; los de consumo pueden hacerlo.
- Menciónalo en tu política de privacidad si las herramientas de IA tratan datos de clientes de verdad, igual que enumeras tu hosting y tu proveedor de correo. Mira qué necesita tu web por ley en España.
- Dale a tu equipo una regla clara, no un documento de políticas. Algo como: ningún nombre de cliente ni documento de cliente en ninguna IA, usa marcadores. Una frase que la gente recuerda gana a diez páginas que nadie lee.
El Reglamento Europeo de IA, en su justa medida
Vas a oír hablar mucho de esto, buena parte de boca de quien vende servicios de cumplimiento. Un poco de perspectiva.
Desde el 2 de agosto de 2026 se aplican las obligaciones del Reglamento de IA para los sistemas de alto riesgo. Pero "alto riesgo" tiene un significado concreto: usos con consecuencias serias, como cribar candidaturas de empleo, evaluar la solvencia o la identificación biométrica. Esos sí traen deberes reales de documentación, registro y supervisión humana.
Un fontanero usando ChatGPT para redactar un correo a un cliente no está operando un sistema de IA de alto riesgo, y nadie debería decirte lo contrario. El único punto donde un negocio pequeño normal puede meterse en ese terreno es la selección de personal, así que si usas IA para filtrar currículums, ahí sí conviene asesorarse.
Para todo lo demás, la norma que te ata es el RGPD, que lleva aplicándose desde siempre y es de lo que va el resto de este artículo.
El riesgo que no es legal
Conviene decirlo claro: para la mayoría de negocios pequeños, lo realista no es que llame a la puerta un inspector. Es la confidencialidad y la confianza.
Si un cliente descubriera que has pegado su contrato, su reclamación o sus circunstancias personales en una IA pública, el daño sería a la relación mucho antes de que nadie mencionara el RGPD. Ese instinto suele ser mejor guía que la norma: si no se lo reenviarías a un desconocido, no lo pegues en un chatbot.
Preguntas frecuentes
¿Puedo usar el ChatGPT gratuito para trabajar?
Sí, para muchas cosas: redactar textos genéricos, que te expliquen un concepto, estructurar un artículo, generar ideas. Lo que no deberías es meter datos identificables de clientes o empleados, porque no hay contrato de encargado que lo cubra.
¿Con un plan de pago ya cumplo?
Quitas un obstáculo importante, porque tienes contrato de encargado, pero no hace que todo sea automáticamente legal. Sigues necesitando una base jurídica, transparencia con las personas cuyos datos son y límites sensatos sobre qué entra ahí.
¿Y si quito los nombres antes?
Un texto realmente anonimizado tiene mucho menos riesgo y es lo que recomendaríamos para el uso del día a día. Ten cuidado de que el resto del detalle no identifique igualmente a alguien, cosa que en un pueblo pasa con facilidad.
¿Me aplica el Reglamento de IA a mí?
Sus obligaciones de alto riesgo, que empezaron a aplicarse el 2 de agosto de 2026, apuntan a usos con consecuencias serias como la criba de personal, la evaluación de solvencia o la biometría. Usar un asistente para redactar textos no es alto riesgo. Desconfía de quien te diga lo contrario con una factura en la mano.
¿Un chatbot de IA en mi web tiene el mismo riesgo?
Es una situación distinta y, en general, mejor controlada, porque un chatbot bien montado funciona con condiciones de empresa y contrato de encargado, solo maneja lo que el visitante decide escribir y se puede configurar para no conservar datos. Esa es justo la diferencia entre una herramienta que has montado a propósito y tu equipo pegando cosas en una cuenta personal.
Nada de esto significa evitar la IA. Significa decidir a conciencia qué herramienta maneja datos de clientes y con qué condiciones. Si quieres IA funcionando en tu negocio sin esa duda encima, nuestros chatbots con IA y la automatización están montados pensando en esto, o escríbenos y te diremos con sinceridad cuáles de tus costumbres actuales están bien y cuáles no.