La pregunta que muchas empresas no se hacen
ChatGPT lleva dos años instalado en el día a día de miles de empresas españolas. Se usa para redactar correos, resumir documentos, generar propuestas comerciales y responder a clientes. El problema es que muy pocas se han preguntado qué pasa con los datos que introducen en el chat.
La respuesta corta: esos datos van a servidores de OpenAI en Estados Unidos. Y eso, bajo el RGPD, no es un detalle menor.
Qué datos se transfieren realmente
Cuando un empleado escribe en ChatGPT, el texto del prompt se envía a los servidores de OpenAI para procesarse. Si ese prompt contiene nombres de clientes, datos de contratos, correos electrónicos, números de expediente o cualquier información que identifique a una persona física, estamos ante una transferencia internacional de datos personales.
Esto ocurre incluso con la versión gratuita y con ChatGPT Enterprise. La diferencia entre planes no es si los datos se transfieren, sino cómo los gestiona OpenAI después.
OpenAI tiene su sede en San Francisco. Estados Unidos no es un país con decisión de adecuación vigente desde que el Tribunal de Justicia de la UE anuló el Privacy Shield en 2020. El nuevo marco EU-US Data Privacy Framework, adoptado en 2023, recupera el flujo de datos certificados, pero tiene condiciones: el proveedor debe estar certificado y el contrato debe cumplir los requisitos del artículo 46 del RGPD.
OpenAI y el RGPD: ¿cumple o no cumple?
OpenAI está certificada bajo el EU-US Data Privacy Framework. Esto significa que la transferencia de datos a través de sus productos tiene cobertura legal, siempre que la empresa que usa ChatGPT haya firmado el Addendum de Procesamiento de Datos (DPA) con OpenAI.
Ahí está el punto débil real. La mayoría de las empresas usan ChatGPT sin haber firmado ningún acuerdo con OpenAI, sin haber identificado qué empleados lo usan ni con qué datos, y sin haberlo registrado en el Registro de Actividades de Tratamiento (RAT) como actividad de tratamiento subcontratada.
Eso no es un problema teórico. La AEPD puede pedir el RAT en cualquier inspección, y la ausencia de un encargado del tratamiento identificado para ChatGPT es una infracción del artículo 30 del RGPD.
Las tres situaciones que generan más riesgo
No todos los usos de ChatGPT en una empresa tienen el mismo nivel de exposición. Estos son los que más problemas generan:
Pegar contratos o propuestas con datos de clientes. Es el más frecuente y el más peligroso. El empleado que pega un contrato en ChatGPT para “que me lo resuma” está transfiriendo datos de la otra parte contratante sin base legal para ello y sin informar al afectado.
Usar ChatGPT para responder reclamaciones o consultas de clientes. Si la respuesta incluye datos del reclamante, el tratamiento requiere base legal, información al interesado y un encargado del tratamiento identificado. Con ChatGPT sin DPA, no hay nada de eso.
Integrar ChatGPT en procesos automáticos. Algunas empresas conectan ChatGPT a sus CRM, a su correo o a su ERP mediante APIs. Aquí el volumen de datos transferidos puede ser muy grande, y la ausencia de medidas técnicas y organizativas es especialmente grave.
Qué debe hacer tu empresa antes de usar ChatGPT
El objetivo no es prohibir el uso de IA generativa, sino regularizarlo. Estos son los pasos mínimos:
Primero, mapea el uso actual. Averigua qué empleados usan ChatGPT, con qué frecuencia y para qué tareas. Sin ese inventario no puedes evaluar el riesgo.
Segundo, firma el DPA con OpenAI. Está disponible en el panel de OpenAI y es el contrato que convierte a OpenAI en encargado del tratamiento. Sin él, la transferencia no tiene la cobertura exigida por el artículo 28 del RGPD.
Tercero, actualiza el Registro de Actividades de Tratamiento. Añade ChatGPT como herramienta de tratamiento en las actividades donde se use, con OpenAI como encargado y la transferencia internacional documentada.
Cuarto, establece una política interna de uso. Qué datos pueden introducirse en herramientas de IA generativa y cuáles no. Datos especialmente protegidos (salud, ideología, datos financieros de clientes) nunca deberían ir a ningún modelo externo sin una evaluación de impacto previa.
Quinto, informa a los empleados. El uso de IA sin formación es el vector de riesgo más frecuente. El artículo 4 del AI Act obliga además a garantizar la formación mínima en IA para todo el personal que use estos sistemas.
ChatGPT Enterprise y ChatGPT Team: ¿son suficientes para cumplir?
ChatGPT Team y Enterprise ofrecen condiciones más favorables: por defecto no usan los prompts para entrenar modelos, incluyen el DPA y permiten una gestión centralizada de usuarios. Son opciones más adecuadas para uso empresarial, pero no eliminan por sí solas la obligación de documentar el tratamiento, actualizar el RAT y establecer políticas internas.
La herramienta puede ser legal. El uso sin gobierno interno no lo es.
El AI Act añade una nueva capa de obligaciones
Desde agosto de 2025, los proveedores de modelos de IA de uso general como GPT-4 tienen obligaciones específicas bajo el AI Act. Pero las empresas que los despliegan también tienen responsabilidades como desplegadores de IA: deben verificar que el uso es conforme al propósito para el que fue diseñado el modelo y que no se utilizan funcionalidades vetadas por el artículo 5.
La intersección entre RGPD y AI Act en el uso de ChatGPT es el punto de mayor complejidad para las empresas españolas ahora mismo. Si quieres saber exactamente en qué situación está tu empresa, el test gratuito del AI Act te da una primera orientación en menos de diez minutos.
