ChatGPT y protección de datos en la empresa: guía práctica

En la mayoría de las pymes españolas, la conversación sobre ChatGPT y protección de datos no empieza con una política: empieza el día en que alguien descubre que un compañero lleva meses pegando correos de clientes en un chat para que “se los redacte mejor”. Nadie lo autorizó y nadie lo prohibió, porque nadie lo había pensado. Si diriges una empresa, da por hecho que ya se usa, con reglas o sin ellas; la pregunta no es si regular ese uso, sino cuánto tardas en hacerlo.

Una aclaración antes de empezar: esto es orientación general para entender el problema y ordenar decisiones. La validación jurídica de tu caso concreto corresponde a tu asesoría o a tu delegado de protección de datos.

Resumen

Usar ChatGPT en una empresa es legal; usarlo sin reglas es lo que genera riesgo. Las claves son cuatro: saber qué hace OpenAI con los datos según el plan contratado (la diferencia entre una cuenta gratuita y una de empresa es sustancial), definir qué información no debe entrar nunca en un chat, ajustar las configuraciones que controlan el uso de datos, y escribir unas normas internas breves que todo el equipo conozca. Con eso, una pyme convierte un uso silvestre en un uso gobernado sin prohibir una herramienta que su gente ya valora.

Qué hace ChatGPT con lo que escribe tu equipo

Aquí está la distinción que más pymes desconocen, y es la primera que hay que entender. Según la documentación de privacidad empresarial de OpenAI, a fecha de esta revisión, los datos de los planes de empresa (Team, Enterprise y la API) no se usan por defecto para entrenar sus modelos. En cambio, en las cuentas individuales (gratuita y Plus), las conversaciones pueden usarse para mejorar los modelos salvo que el usuario lo desactive en los controles de datos, tal y como describe la ayuda oficial sobre controles de datos.

La traducción práctica para una empresa:

Situación	Riesgo principal
Cada empleado usa su cuenta personal gratuita	Las conversaciones pueden usarse para entrenamiento salvo ajuste manual; la empresa no ve nada ni controla nada
Cuentas Plus individuales pagadas por la empresa	Mejora la capacidad, no el gobierno: los controles siguen dependiendo de cada usuario
Plan de empresa (Team o Enterprise)	Sin entrenamiento con vuestros datos por defecto y con administración centralizada; el riesgo se desplaza a qué se pega en los chats

Fíjate en el matiz final: ni el mejor plan elimina el problema de fondo. Que OpenAI no entrene con tus datos no convierte en buena idea pegar en un chat el historial médico de un empleado. El plan resuelve el “qué hace el proveedor”; las normas internas resuelven el “qué hace tu equipo”.

Qué no debería entrar nunca en un chat

Independientemente del plan, hay información que no pinta nada en una conversación con un asistente de IA, porque el error no es solo tecnológico sino de obligaciones legales y de confidencialidad:

• Datos personales identificables de clientes o empleados: nombres con sus DNI, nóminas, direcciones, situaciones personales. El principio de minimización que exige la normativa de protección de datos (la AEPD lo explica en sus guías de cumplimiento) aplica también aquí: si la tarea no necesita el dato, el dato no entra.
• Categorías especiales: salud, afiliación sindical, creencias, orientación. Con esto no se experimenta.
• Información bajo confidencialidad contractual: documentación de clientes protegida por acuerdos, propiedad industrial, ofertas en negociación.
• Credenciales y accesos: contraseñas, claves de API, datos bancarios. Parece obvio; ocurre.

El truco práctico que mejor funciona: antes de pegar, anonimiza. “Redacta una respuesta para un cliente que reclama un retraso de entrega” funciona igual de bien que la versión con nombre, empresa y pedido. La calidad de la respuesta casi nunca depende del dato identificable.

Configuraciones y decisiones que importan

Más allá del plan, hay tres frentes concretos:

1. Controles de datos de cada cuenta. En cuentas individuales, revisar la opción de mejora del modelo y conocer los chats temporales, que según la documentación de OpenAI no se usan para entrenar y no quedan en el historial. Útil para consultas puntuales delicadas, insuficiente como política.
2. Cuentas de empresa, no personales. Trabajar con cuentas corporativas permite administrar accesos, aplicar configuraciones comunes y recuperar el control cuando alguien deja la empresa. Con cuentas personales, el día que esa persona se va, se va con su historial. Este frente conecta con algo más amplio que tratamos en nuestra guía de control de accesos y permisos con IA.
3. Un canal aprobado y conocido. Si la empresa no ofrece una vía oficial para usar IA, el equipo usará la extraoficial. La experiencia en seguridad lo repite desde hace años, y organismos como INCIBE insisten en esa idea para las pymes: la herramienta no aprobada no desaparece por ignorarla, solo se vuelve invisible.

Si en tu empresa ya se usa ChatGPT sin reglas escritas, podemos poner orden en qué datos entran, con qué cuentas y quién revisa las respuestas antes de que el uso informal crezca más.

Unas normas internas de uso en una página

No hace falta un manual de cincuenta páginas; hace falta una página que la gente lea. Una estructura que funciona:

• Herramientas y cuentas aprobadas: qué asistente se usa y con qué tipo de cuenta.
• Lista roja de datos: qué no entra nunca en un chat, con los cuatro bloques del apartado anterior adaptados a vuestro negocio.
• Regla de revisión: nada generado por IA sale hacia un cliente, un empleado o un organismo sin revisión humana. La IA propone, una persona responde.
• Casos de duda: a quién se pregunta cuando no está claro (una persona con nombre, no “el departamento”).
• Qué pasa con las excepciones: cómo se pide permiso para un uso no previsto, en lugar de hacerlo en silencio.

Dos consejos de implantación: explícala en una reunión corta en vez de mandarla por correo, y revísala cada pocos meses, porque tanto las herramientas como la documentación de los proveedores cambian con frecuencia. Y si el equipo ya está maduro para dar el paso siguiente (un asistente configurado con documentos aprobados en lugar de chats sueltos), esa evolución natural la contamos en cómo crear un GPT personalizado para tu empresa.

El papel del RGPD y de la AEPD

El marco es el mismo que ya conoces de cualquier tratamiento de datos: el Reglamento General de Protección de Datos obliga a tratar datos personales con base jurídica, finalidad y minimización, use tu empresa una hoja de cálculo o un asistente de IA. La herramienta no crea obligaciones nuevas; crea una vía nueva por la que incumplir las de siempre.

La AEPD, además, ha publicado orientaciones específicas sobre sistemas de IA y protección de datos, en la línea de que quien usa estos sistemas sigue siendo responsable del tratamiento que hace con ellos. La conclusión operativa para una pyme es poco dramática: no necesitas un departamento jurídico para usar ChatGPT, necesitas las mismas precauciones que con cualquier proveedor que toca datos, más una capa de sentido común sobre qué se pega en un chat. Y para lo que tenga implicaciones contractuales o de cumplimiento, tu asesoría tiene la última palabra.

Preguntas frecuentes

¿Es legal usar ChatGPT en una empresa española?

Sí. No existe ninguna prohibición general; lo que existe son las obligaciones de siempre (protección de datos, confidencialidad, secretos empresariales) que se aplican también a este uso. El riesgo legal no viene de usar la herramienta sino de meter en ella datos que no debían salir de la empresa, igual que ocurriría al enviárselos a cualquier tercero sin garantías.

¿La versión gratuita de ChatGPT entrena con los datos de mi empresa?

Según la documentación de OpenAI a fecha de esta revisión, las conversaciones de las cuentas individuales pueden usarse para mejorar los modelos salvo que el usuario lo desactive, mientras que los planes de empresa no usan esos datos para entrenamiento por defecto. Por eso el primer paso serio de gobierno suele ser pasar de cuentas personales sueltas a un plan de empresa administrado.

¿Tenemos que avisar a nuestros clientes de que usamos ChatGPT?

Depende de qué hagas con sus datos, y es una pregunta para tu asesoría. Como orientación: si tu equipo usa la IA para redactar y revisar textos sin introducir datos personales de clientes, el impacto es mínimo; si el uso implica tratar datos personales con un proveedor nuevo, entran en juego los deberes de información y de contrato con el encargado del tratamiento que ya conoces del RGPD.

Siguiente paso

El uso informal de ChatGPT casi nunca se frena solo: crece hasta que alguien pega en un chat lo que no debía. Si prefieres llegar antes de ese día, podemos escribir contigo las normas internas de uso de ChatGPT en una primera conversación sin compromiso, dejando la validación jurídica en manos de tu asesoría.