Qué encontró el Garante italiano

Todo arrancó en marzo de 2023, cuando una brecha de datos expuso parte de los historiales de conversación de usuarios y datos parciales de pago. El Garante reaccionó rápido: ordenó a OpenAI bloquear el servicio en Italia, la empresa lo hizo durante semanas y luego negoció su vuelta con compromisos de cumplimiento.

La investigación formal empezó en enero de 2024 y culminó con la multa de diciembre. Los problemas detectados abarcan varios frentes: falta de base legal clara para el tratamiento de datos personales en el entrenamiento del modelo, opacidad en la política de privacidad, ausencia de controles de verificación de edad suficientes (ChatGPT está restringido a mayores de 13 años pero sin garantías reales), y la gestión deficiente de la brecha de 2023. Las infracciones citadas incluyen los artículos 5, 12, 13, 24, 25 y 33 del RGPD, lo que cubre desde los principios básicos del tratamiento hasta las obligaciones de notificación de brechas.

El Garante también ordenó a OpenAI lanzar una campaña de información en medios italianos sobre el uso de datos personales para entrenar sus modelos. Esa campaña se ejecutó.

Un tribunal italiano pone en duda la sanción

En marzo de 2026, según informaciones publicadas, un tribunal italiano cuestionó la multa y devolvió el caso para una nueva evaluación legal. Los motivos exactos del tribunal no han sido detallados públicamente, pero el debate de fondo es el mismo que recorre toda la regulación de IA generativa: si el entrenamiento de modelos sobre datos públicos constituye tratamiento de datos personales en el sentido del RGPD, y qué base jurídica ampara ese tratamiento. Sin respuesta clara a esa pregunta, las sanciones son atacables.

El caso sigue abierto. OpenAI no tiene aún carta blanca en Europa.

La AEPD quedó sin competencia

En España, la AEPD abrió investigaciones contra OpenAI en abril y mayo de 2023, también a raíz de la brecha de datos y de las dudas sobre el cumplimiento del RGPD por parte de ChatGPT. Esas investigaciones están archivadas.

El motivo es técnico pero tiene consecuencias prácticas. En febrero de 2024, OpenAI actualizó su política de privacidad y designó a OpenAI Ireland Limited como responsable del tratamiento para todos los usuarios del Espacio Económico Europeo y Suiza. Con ese cambio, el establecimiento principal de la empresa en la UE pasó a estar en Irlanda, lo que activa el mecanismo de ventanilla única del RGPD (artículo 56): la autoridad de supervisión principal es ahora la Data Protection Commission (DPC) irlandesa. La AEPD puede colaborar con la DPC, pero no puede multar.

Esto no es un fallo de la AEPD: es cómo funciona el sistema. Pero explica por qué las empresas españolas que usan ChatGPT con datos de clientes no pueden esperar que la AEPD les proteja si OpenAI incumple. El regulador que vigila a OpenAI está en Dublín.

Qué riesgo asume tu empresa si usa ChatGPT con datos de clientes

Una cosa es lo que OpenAI cumple o no cumple con el RGPD. Otra es lo que cumple tu empresa cuando usa ChatGPT.

Si introduces datos personales de clientes, empleados o pacientes en ChatGPT, tu empresa actúa como responsable del tratamiento y necesita una base legal para esa cesión. En la mayoría de los casos, esa base no existe o no está documentada. Además, si usas ChatGPT a través de la API con un acuerdo de procesamiento de datos firmado con OpenAI, la situación es distinta a usar la versión gratuita o Plus sin ningún contrato. La diferencia importa.

Las autoridades de protección de datos en Alemania, Francia y los Países Bajos han emitido guías advirtiendo de estos riesgos. La tendencia regulatoria es clara: usar IA generativa con datos personales sin los controles adecuados es un incumplimiento del RGPD, independientemente de lo que haga OpenAI con esos datos en su extremo.

Tres puntos que toda empresa debería revisar ahora

Primero, el inventario. ¿Qué empleados usan ChatGPT o herramientas similares, y qué datos introducen? Muchas empresas no lo saben. Sin ese inventario, no hay cumplimiento posible.

Segundo, la base contractual. Si usas la API de OpenAI, revisa si tienes firmado un Data Processing Agreement (DPA). Si usas la versión gratuita o Plus para procesar datos de clientes, no tienes DPA y el tratamiento carece de cobertura contractual adecuada.

Tercero, la política interna. Tus empleados necesitan saber qué pueden y qué no pueden hacer con herramientas de IA generativa. Una política de uso de IA es obligatoria bajo el AI Act desde febrero de 2025 (obligación de alfabetización en IA, artículo 4) y es también la forma más directa de reducir el riesgo de incidentes.

Si no tienes claro si tu empresa está exponiendo datos personales a través de herramientas de IA, el test del AI Act te da una primera orientación en minutos, sin coste. Y si quieres una revisión más completa de tu situación frente al RGPD, el análisis legal gratuito de tu web es el punto de partida habitual para muchas de las empresas que trabajan con nosotros.

La entrada ChatGPT y el RGPD: multa de 15 millones, la AEPD sin competencia y lo que deben saber las empresas españolas se publicó primero en Adaptación RGPD.