ChatGPT en la empresa y RGPD: qué plan usar y qué datos no meter

Sí, puedes usar ChatGPT en la empresa sin incumplir el RGPD, pero no de cualquier forma. Depende sobre todo de dos cosas: con qué tipo de cuenta lo usas (personal, plan de empresa o API) y qué datos metes en él. En este artículo te explico las diferencias, los riesgos que veo más a menudo y un checklist para ordenarlo.

Antes de seguir: no soy abogado. Soy desarrollador y consultor e implanto herramientas de IA en organizaciones. Usa esto como mapa y valida las decisiones con tu delegado de protección de datos (DPO) o tu asesor legal.

¿Es legal usar ChatGPT en la empresa según el RGPD?

El RGPD no prohíbe herramientas concretas: regula tratamientos de datos personales. Si alguien de tu equipo pega en ChatGPT el correo de un cliente con su nombre y su teléfono, eso es un tratamiento, y tu organización es responsable de él. La pregunta útil no es «¿ChatGPT cumple el RGPD?», sino:

¿Hay un contrato que convierta al proveedor en encargado del tratamiento (artículo 28 del RGPD)?
¿Dónde se procesan los datos y con qué garantías si salen del Espacio Económico Europeo?
¿El proveedor puede usarlos para sus propios fines, como entrenar modelos?
¿Qué datos estás metiendo y con qué base legal?

Si no metes datos personales, el RGPD apenas entra en juego, pero la confidencialidad sí: contratos, ofertas o código tampoco deberían acabar en cualquier sitio.

Cuenta personal, Business, Enterprise o API: qué cambia

Esta es la diferencia más importante: «ChatGPT» no es un solo producto con unas mismas condiciones. Así lo describe OpenAI en su documentación a fecha de hoy:

Tipo de acceso	¿Entrena con tus datos por defecto?	Contrato de encargo (DPA)	Control centralizado
Cuenta personal (Free, Plus, Pro)	Sí, salvo que el usuario lo desactive en los controles de datos	No	No
Planes de empresa (Business, Enterprise, Edu)	No, salvo que el cliente lo active	Sí	Sí, desde la consola de administración
API	No, salvo que el cliente lo active	Sí	Depende de la aplicación que construyas encima

Algunos matices:

Cuentas personales. Aunque el empleado desactive la opción de mejorar el modelo, la cuenta es suya, con condiciones de consumo que aceptó a título individual. Tu empresa no tiene contrato, control ni registro de lo compartido.
API. Según OpenAI, los registros de monitorización de abusos se guardan hasta 30 días por defecto. La modalidad Zero Data Retention los excluye, pero requiere aprobación previa y no cubre todos los endpoints.
Residencia en Europa. OpenAI ofrece almacenar datos en Europa en algunos planes (Enterprise y Edu, en espacios de trabajo nuevos) y en la API mediante un endpoint europeo, con condiciones que cambian a menudo. Revisa la versión vigente.

Otros proveedores, como Anthropic, Google o Microsoft, también separan las condiciones de consumo de las de empresa. La regla general: para trabajar con datos de la organización necesitas un plan de empresa o la API, con un contrato de encargo firmado.

Transferencias internacionales: ¿qué pasa si los datos salen de la UE?

Si el proveedor procesa datos personales fuera del Espacio Económico Europeo, esa transferencia necesita una garantía según el capítulo V del RGPD. Para Estados Unidos hay dos vías habituales:

El Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework). Decisión de adecuación de la Comisión Europea del 10 de julio de 2023, que cubre a las empresas estadounidenses adheridas. El Tribunal General la avaló en septiembre de 2025, pero hay un recurso pendiente ante el Tribunal de Justicia, y los dos marcos anteriores (Safe Harbor y Privacy Shield) acabaron anulados.
Cláusulas contractuales tipo (SCC). Contratos aprobados por la Comisión que se incorporan al DPA del proveedor, con una evaluación del impacto de la transferencia.

Comprueba en qué mecanismo se apoya el DPA de tu proveedor. Almacenar los datos en Europa reduce el problema, pero con un proveedor estadounidense no lo elimina del todo; tu DPO querrá valorarlo.

Qué datos no deberías pegar en ChatGPT

Aunque tengas un plan de empresa, la minimización de datos sigue siendo una obligación. Mi lista de lo que no debería entrar en un asistente de IA sin un análisis previo:

Categorías especiales del artículo 9 del RGPD: salud, origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos o biométricos, vida u orientación sexual.
Datos penales (condenas e infracciones).
Datos de menores.
Expedientes completos de clientes, pacientes o empleados cuando con un resumen anonimizado basta.
Credenciales: contraseñas, claves de API, tokens.
Información confidencial sujeta a contratos de confidencialidad o secretos empresariales.

Sustituir nombres por marcadores («Cliente A», «[DNI]») antes de pegar el texto ayuda. Pero si tú puedes volver a identificar a la persona, es seudonimización: el dato sigue siendo personal y el RGPD sigue aplicándose.

El problema real: la IA en la sombra

En muchas organizaciones el riesgo no está en la herramienta aprobada, sino en la que nadie ha aprobado. Es la shadow AI: empleados que usan su cuenta personal de ChatGPT u otro chatbot para trabajar más rápido. Con buena intención, pero los datos de la empresa acaban en cuentas personales, sin contrato, sin registro y sin forma de borrarlos si alguien se va.

Prohibir sin más no suele funcionar. Lo que funciona es dar una alternativa aprobada igual de cómoda, explicar por qué y marcar límites claros sobre qué datos se pueden usar.

¿Necesito una evaluación de impacto (EIPD)?

El artículo 35 del RGPD exige una evaluación de impacto cuando un tratamiento probablemente entrañe un alto riesgo para los derechos de las personas. La AEPD publica listas de tratamientos que la requieren, y el uso de tecnologías innovadoras es uno de los criterios.

En la práctica, redactar textos o resumir documentos sin datos personales normalmente no la requiere. Evaluar empleados, cribar candidatos o tratar datos de salud con IA probablemente sí. Actualiza también el registro de actividades de tratamiento y la información que das a empleados y clientes. La decisión final es de tu DPO.

¿Y el Reglamento de IA (AI Act)? Qué exige a quien usa ChatGPT

El Reglamento (UE) 2024/1689 de inteligencia artificial distingue entre quien desarrolla un sistema de IA (proveedor) y quien lo usa en su actividad (responsable del despliegue). Si tu empresa usa ChatGPT, es lo segundo. Lo que te afecta hoy:

Alfabetización en IA (artículo 4). Se aplica desde el 2 de febrero de 2025. El Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA), publicado en julio de 2026, suavizó la redacción: ahora obliga a tomar medidas para fomentar la alfabetización en IA del personal, sin exigir un nivel concreto a cada persona. Sigue siendo una obligación, y formar a quien usa la herramienta es la forma más directa de cumplirla.
Prácticas prohibidas (artículo 5). También desde febrero de 2025. Por ejemplo, inferir las emociones de las personas en el lugar de trabajo, salvo por motivos médicos o de seguridad.
Usos de alto riesgo. Si aplicas IA a selección de personal o a decisiones sobre trabajadores, entras en el anexo III. Tras el Ómnibus, esas obligaciones se aplican a partir del 2 de diciembre de 2027.

Ten en cuenta también que hay una propuesta de reforma del RGPD (el Ómnibus Digital sobre datos) todavía en negociación. Mientras no se apruebe, el RGPD se aplica tal como está.

Checklist para usar ChatGPT en tu organización

Este es el orden que sigo cuando ayudo a una organización a poner la IA generativa en marcha:

Inventario. Pregunta qué herramientas de IA usa ya la gente y para qué, sin castigar.
Herramientas aprobadas. Con plan de empresa o API, contrato de encargo y condiciones claras de entrenamiento y retención.
Política de uso. Una página: qué herramientas, qué casos de uso, qué datos nunca, y revisión humana del resultado.
Configuración. Usuarios gestionados por la empresa, roles, retención y registro de actividad.
Registro de actividades y EIPD. Actualízalos cuando el caso lo pida.
Formación. Qué es un modelo de lenguaje, cómo pedirle las cosas y qué riesgos tiene. Cubre el artículo 4.
Revisión periódica. Los proveedores cambian sus condiciones a menudo.

Si además quieres que la IA consulte tus documentos internos, lee qué es RAG y cómo preparar esos documentos: ahí aparecen riesgos nuevos, como permisos que se filtran entre departamentos.

Dónde encaja un despliegue privado como elXat

Aquí hablo de algo que construyo yo, así que tenlo en cuenta. Para muchas organizaciones, un plan de empresa de ChatGPT bien configurado es suficiente. Un despliegue privado tiene sentido cuando quieres varios modelos sin depender de un solo proveedor y control centralizado sobre quién usa qué.

elXat es una plataforma de IA corporativa desplegada en un servidor dedicado en Frankfurt (Alemania, dentro del EEE). Da acceso a modelos de OpenAI, Anthropic, Google, Mistral y otros desde una sola interfaz, con política de Zero Data Retention: las consultas no se usan para entrenar modelos de terceros. Incluye roles, restricción de modelos por departamento, cifrado en tránsito y registro de actividad.

Eso no sustituye la política de uso, la EIPD ni la formación. Por eso la puesta en marcha incluye dos sesiones de formación: una herramienta privada mal usada sigue siendo un riesgo.

Si estás ordenando el uso de IA en tu organización y quieres contrastar opciones, puedes escribirme desde contacto.

Preguntas frecuentes

¿Puedo usar la versión gratuita de ChatGPT en mi empresa?

Para tareas sin datos personales ni información confidencial, el riesgo es bajo. Pero en las cuentas personales (Free, Plus, Pro) OpenAI puede usar las conversaciones para mejorar sus modelos salvo que el usuario lo desactive, y no hay contrato entre tu empresa y OpenAI. Para trabajar con datos de clientes o empleados necesitas un plan de empresa o la API con un contrato de encargo del tratamiento.

¿ChatGPT Business o Enterprise entrena con los datos de mi empresa?

Según OpenAI, no por defecto. Los datos de los planes de empresa (Business, Enterprise, Edu) y de la API no se usan para entrenar sus modelos salvo que el cliente lo active expresamente. Aun así, conviene revisar el contrato vigente y la configuración de retención del espacio de trabajo.

¿Necesito un contrato de encargado del tratamiento con OpenAI?

Si a través de la herramienta se tratan datos personales de los que tu organización es responsable, el artículo 28 del RGPD exige un contrato con el encargado. OpenAI ofrece un acuerdo de tratamiento de datos (DPA) para sus servicios de empresa y la API; no existe para las cuentas personales.

¿Qué me exige el Reglamento de IA si mi empresa usa ChatGPT?

Como usuario de un asistente generalista, lo principal es el artículo 4: tomar medidas para fomentar la alfabetización en IA del personal que lo usa. Además, no puedes usarlo para prácticas prohibidas y, si lo aplicas a usos de alto riesgo como la selección de personal, tendrás obligaciones adicionales. Consulta los detalles con tu asesor legal.