RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD

RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD

La escena se repite en cualquier pyme española. Una persona de administración pega un correo de un cliente en ChatGPT para redactar la respuesta. Alguien de RR. HH. resume con Copilot el acta de una entrevista. Comercial pide a Gemini que ordene una lista de contactos exportada del CRM. Nadie ha decidido nada y, sin embargo, la empresa acaba de realizar tres tratamientos de datos personales en servidores de terceros.

El Reglamento de IA ha acaparado la atención, pero la norma que más sanciones ha generado en España sigue siendo el RGPD. Y la AEPD, no la AESIA, es la autoridad que recibe las reclamaciones por una fuga de datos a través de un prompt. Esta guía explica qué exige el RGPD y la LOPDGDD cuando su equipo usa IA generativa, qué ha dicho la AEPD sobre los prompts, qué hacer si el daño ya está hecho y cómo encaja todo con el Reglamento de IA.

Un prompt es un tratamiento de datos

El punto de partida es simple. El artículo 4 del RGPD define «tratamiento» como cualquier operación sobre datos personales: recogida, consulta, comunicación por transmisión, difusión. Copiar un nombre, un DNI, un correo o una situación personal en una herramienta de IA es una comunicación de datos a un tercero, el proveedor de la herramienta. Es un tratamiento, con todas sus consecuencias.

Tres ideas que conviene fijar desde el principio:

• La responsabilidad es de la empresa, no de la persona que pega el dato. Usted es el responsable del tratamiento. El proveedor de IA es, en el mejor de los casos, su encargado; en el peor, un tercero sin contrato.
• No hace falta que el dato sea sensible para que exista un tratamiento. Un nombre y un teléfono bastan. Si además hay datos de salud, afiliación sindical, orientación sexual, ideología o datos de menores, entra en juego el artículo 9 del RGPD y el listón sube.
• «Lo he anonimizado» rara vez es cierto. Sustituir «Juan» por «X» no anonimiza si el contexto permite identificar a la persona. Los metadatos de un PDF, un cargo único en la empresa o una fecha concreta hacen el resto.

Si quiere una frase para la sesión de formación: un prompt es un correo que envía a un desconocido con copia a su servidor.

Qué ha dicho la AEPD sobre los prompts

La AEPD viene publicando criterios sobre inteligencia artificial desde 2020 (adecuación al RGPD de tratamientos con IA, requisitos para auditorías, decisiones automatizadas). En 2026 ha ido un paso más allá y ha entrado en el detalle de los prompts.

El 25 de agosto de 2026, el Laboratorio de Privacidad de la AEPD publicó un análisis titulado «Prompts, datos personales y confidencialidad: el nuevo perímetro de riesgo de la IA generativa». No es una guía oficial ni una resolución, y así lo advierte el propio Laboratorio, pero es la mejor radiografía disponible de cómo mira la autoridad este asunto. Cuatro ideas útiles para una pyme:

1. El riesgo está en la entrada, en la salida y en la conservación. En la entrada, por los datos que se pegan. En la salida, porque la respuesta puede inferir, inventar o reproducir datos personales y acabar influyendo en una decisión sobre alguien. En la conservación, porque muchas empresas no saben dónde se guardan los prompts, cuánto tiempo, si el proveedor accede a ellos, si sirven para entrenar el modelo y si hay subencargados fuera de la UE.
2. Las herramientas gratuitas «cuestan datos». Su uso informal y sin control es el escenario más habitual y el más difícil de defender ante la autoridad.
3. La prohibición absoluta no funciona. En palabras del Laboratorio, «suele empujar el uso a la clandestinidad». El reto «no es demonizar la herramienta, sino gobernar su uso».
4. Las medidas esperadas son las de siempre, aplicadas a la IA: inventario de herramientas y usos, clasificación por riesgo, análisis del papel del proveedor (encargado, responsable o corresponsable), minimización, política interna, formación y procedimiento de incidentes.

Si lee esa lista y le suena al contenido de una política de uso de IA en la empresa, es porque es exactamente eso. La AEPD no pide un documento nuevo: pide que gobierne el uso.

Las cinco obligaciones del RGPD que debe cubrir antes de usar IA generativa

1. Base jurídica y finalidad

Cada tratamiento necesita una base del artículo 6 del RGPD. Para usos internos de productividad (redactar, resumir, traducir documentos de trabajo con datos de clientes o empleados), la base habitual es el interés legítimo de la empresa, siempre que haya hecho la ponderación y que el uso sea previsible para las personas afectadas. Lo que no cabe es cambiar de finalidad por el camino: los datos recogidos para facturar a un cliente no se usan para perfilarlo con una IA sin más análisis. Actualice la información que da a clientes y plantilla (cláusulas informativas, registro de actividades de tratamiento del artículo 30) cuando incorpore herramientas de IA de forma estable.

2. Contrato de encargado del tratamiento (artículo 28)

Es el punto que más pymes incumplen sin saberlo. Si el proveedor de IA trata datos personales por cuenta de su empresa, necesita un contrato de encargado con el contenido del artículo 28: instrucciones, confidencialidad, seguridad, subencargados autorizados, asistencia en derechos y brechas, devolución o borrado al final, y garantías para las transferencias internacionales. Los planes empresariales de OpenAI, Microsoft (Copilot con licencia Microsoft 365) y Google (Gemini para Workspace) incluyen ese contrato como anexo de tratamiento de datos. Las cuentas gratuitas y la mayoría de los planes individuales, no.

Dos comprobaciones concretas en el contrato: que sus datos no se usan para entrenar el modelo y que sabe dónde se alojan y procesan. Si no encuentra una de las dos, la herramienta no es apta para datos personales.

3. Minimización y semáforo de datos

El artículo 5.1 c) del RGPD exige tratar solo los datos necesarios. En IA generativa se traduce en una regla práctica: pegue el fragmento, no el expediente. Para que la plantilla lo aplique sin pensar, funciona un semáforo:

• Verde: información pública o interna sin datos personales. Uso libre en herramientas validadas.
• Naranja: datos personales ordinarios (nombre, cargo, correo, importe de una factura). Solo en herramientas con contrato de encargado y exclusión de entrenamiento, y solo lo imprescindible.
• Rojo: categorías especiales del artículo 9, datos de menores, nóminas y datos bancarios completos, expedientes disciplinarios, denuncias del canal interno, información cubierta por secreto profesional. Nunca en una herramienta generativa, salvo entorno interno validado expresamente.

Añada una técnica de anonimización rápida (sustituir identificadores por etiquetas y comprobar que el contexto no delata a la persona) y la prueba del periódico: si no pondría esa información en una portada, no la pegue.

4. Transferencias internacionales y ubicación de los datos

Los tres grandes proveedores son estadounidenses. Para transferir datos personales fuera del Espacio Económico Europeo hace falta una garantía del capítulo V del RGPD: una decisión de adecuación (el Marco de Privacidad de Datos UE-EE. UU., para empresas certificadas, mientras siga vigente), cláusulas contractuales tipo o, cada vez más, la opción de residencia de datos en la UE que ofrecen los planes empresariales. Anote en su registro qué garantía ampara cada herramienta. Si el contrato no lo dice, pregúntelo por escrito al proveedor antes de validarla.

5. Evaluación de impacto, registro y derechos

Una evaluación de impacto (EIPD) del artículo 35 es obligatoria cuando el tratamiento puede suponer un alto riesgo: perfilado sistemático, decisiones con efectos significativos, categorías especiales a gran escala, uso de tecnologías nuevas sobre datos sensibles. Redactar correos con un asistente no la exige. Cribar candidatos, evaluar el rendimiento o analizar conversaciones de clientes con IA, con bastante probabilidad sí. La lista de la AEPD de tratamientos que requieren EIPD es el punto de referencia.

Además: inscriba las herramientas en el registro de actividades de tratamiento, prevea cómo atenderá los derechos de acceso, supresión y oposición respecto de datos que han pasado por una herramienta de IA (incluida la petición de borrado al proveedor) y, si alguna decisión se basa únicamente en un tratamiento automatizado con efectos jurídicos, aplique el artículo 22: intervención humana real, no una firma al final.

El Kit de Cumplimiento AI Act para pymes cubre estos cinco puntos con el registro de sistemas de IA (campos para contrato de encargado, entrenamiento, ubicación y garantía de transferencia), las normas de uso con el semáforo de datos y una guía de implantación pensada para una empresa sin departamento jurídico.

Cuenta gratuita, cuenta de pago, cuenta corporativa

La pregunta que más se repite en nuestras sesiones es «¿me vale con pagar la suscripción?». La respuesta corta: depende de qué suscripción.

El criterio operativo que recomendamos: toda herramienta generativa que reciba datos de clientes, proveedores o plantilla se usa con cuenta corporativa administrada por la empresa. Las cuentas personales quedan reservadas a usos en verde, y la política lo dice por escrito. Es la misma lógica que explicamos para los despachos en el artículo sobre IA en asesorías y gestorías, donde la condición de encargado del tratamiento añade todavía una capa más.

Caso práctico: una distribuidora de 35 personas en Zaragoza

Una empresa de distribución de material eléctrico, 35 empleados, sin DPO, con un responsable de administración que lleva también la protección de datos. El caso es ilustrativo, pero reúne lo que vemos cada semana.

Situación de partida. Ocho personas usan ChatGPT con cuentas gratuitas o personales. Marketing genera fichas de producto; comercial redacta ofertas pegando correos de clientes; RR. HH. ha resumido con IA las entrevistas de una selección reciente. No hay registro, ni normas, ni contrato con ningún proveedor de IA. En el registro de actividades de tratamiento, la IA no aparece.

Lo que había en juego. Tres riesgos concretos, por orden de probabilidad: una reclamación de un cliente cuyos datos acabaron en una herramienta sin contrato; un conflicto laboral por los resúmenes de entrevistas (datos de candidatos tratados sin información ni base jurídica clara); y la pregunta de un cliente industrial grande en su cuestionario de homologación de proveedores: «¿dispone de una política de uso de IA y de contratos con sus proveedores de IA?».

Lo que hicieron en cuatro semanas.

1. Inventario de herramientas y usos, con el tipo de cuenta y los datos que recibía cada una. Resultado: cuatro herramientas, tres de ellas con datos naranja o rojos.
2. Contratación de un plan empresarial de una sola herramienta generativa, con contrato de encargado, exclusión de entrenamiento y procesamiento en la UE. Cierre de las cuentas personales para uso profesional.
3. Normas de uso con semáforo de datos y la regla de minimización; prohibición expresa de pegar expedientes de candidatos y datos de salud. Para la selección de personal, decisión de no usar IA hasta tener EIPD y proceso de información a candidatos.
4. Actualización del registro de actividades de tratamiento y de las cláusulas informativas; sesión de formación de 45 minutos con certificado individual, que sirve a la vez como prueba del artículo 4 del Reglamento de IA.

Coste total, aparte de las licencias: unas 20 horas internas y una revisión externa de dos horas. El cuestionario del cliente industrial se respondió con un «sí» documentado.

Qué hacer si alguien ya ha pegado datos donde no debía

Pasa en casi todas las empresas, y lo importante es la reacción. El RGPD obliga a notificar a la AEPD una violación de seguridad de datos personales en 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas (artículo 33), y a informar a los afectados cuando el riesgo sea alto (artículo 34).

El procedimiento mínimo:

1. Documente qué se pegó, cuándo, en qué herramienta y con qué cuenta. Haga captura antes de borrar.
2. Borre la conversación y, si el proveedor lo permite, solicite la eliminación de los datos y la desactivación del historial.
3. Valore el riesgo: tipo de datos, número de personas, si la cuenta tenía entrenamiento activado, si hay acceso de terceros. Un nombre y un correo en una cuenta corporativa con contrato no es lo mismo que una nómina con datos bancarios en una cuenta gratuita.
4. Decida y registre la notificación a la AEPD (o la decisión motivada de no notificar) en el registro interno de brechas. Si trata datos por cuenta de un cliente, informe a ese cliente sin dilación: él decide.
5. Cierre el ciclo: apruebe o actualice las normas de uso y forme al equipo. Un incidente gestionado bien es la mejor justificación interna para la política.

Cómo encaja todo con el Reglamento de IA

El RGPD y el Reglamento (UE) 2024/1689 se aplican a la vez, no uno en lugar del otro. Para una pyme que usa IA generativa, el reparto es este:

• Artículo 4 del Reglamento de IA (alfabetización en IA), aplicable desde el 2 de febrero de 2025 y reformulado por el ómnibus digital, publicado en el DOUE como Reglamento (UE) 2026/1744 el 24 de julio de 2026 y en vigor desde el 27 de julio: la empresa debe adoptar medidas para apoyar la alfabetización en IA de su personal. La formación sobre el semáforo de datos cumple a la vez con el RGPD y con el artículo 4.
• Artículo 50 (transparencia), aplicable desde el 2 de agosto de 2026: los chatbots avisan de que son una IA y los contenidos generados que salen de la empresa llevan marcado. Nada que ver con los datos personales, pero convive en la misma política.
• Alto riesgo (Anexo III): la IA en selección y evaluación de personal pasa a tener obligaciones reforzadas a partir del 2 de diciembre de 2027 (fecha fijada por el ómnibus). Mientras tanto, esos mismos usos ya exigen EIPD, información a candidatos y, si hay representación legal de las personas trabajadoras, información conforme al artículo 64.4 d) del Estatuto de los Trabajadores. El RGPD llega antes que el Reglamento de IA.
• Sanciones: el RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio mundial; el Reglamento de IA, hasta 35 millones o el 7 % para las prácticas prohibidas y hasta 15 millones o el 3 % para el resto de obligaciones, con el importe menor para las pymes. En la práctica, la sanción probable para una pyme por un prompt descontrolado viene de la AEPD, no de la AESIA.
• Ley española: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, decayó con la disolución de las Cortes (Real Decreto 806/2026, BOE del 6 de octubre) y la convocatoria de elecciones para el 29 de noviembre de 2026. Tendrá que presentarse de nuevo; cuando una futura ley entre en vigor, fijará el régimen sancionador nacional. No afecta a nada de lo anterior: el RGPD, la LOPDGDD y el Reglamento de IA ya se aplican.

El calendario completo está en Reglamento de IA: qué se aplica a su pyme en 2026.

Checklist RGPD + IA generativa: 8 puntos

1. ¿Tiene un inventario de todas las herramientas generativas en uso, incluidas las cuentas personales y los módulos de IA integrados en su software?
2. ¿Cada herramienta que recibe datos personales tiene contrato de encargado del tratamiento con exclusión de entrenamiento y ubicación de datos conocida?
3. ¿Ha identificado la base jurídica y actualizado el registro de actividades de tratamiento y las cláusulas informativas?
4. ¿Existe un semáforo de datos por escrito, con las categorías especiales, los menores y los expedientes de personal en rojo?
5. ¿Ha descartado o evaluado (EIPD) los usos de IA en selección, evaluación de personal y análisis de clientes?
6. ¿Sabe qué garantía ampara las transferencias internacionales de cada proveedor?
7. ¿Su equipo ha recibido una formación fechada, con certificado, sobre qué no pegar nunca en un prompt?
8. ¿Tiene un procedimiento de incidentes con el plazo de 72 horas y una persona responsable?

Si responde «no» a tres o más, empiece por la checklist gratuita AI Act para pymes: diez preguntas y un resultado en tres minutos. Si prefiere partir de los documentos ya redactados, el Kit de Cumplimiento AI Act para pymes incluye la política corporativa, las normas de uso con el semáforo de datos, el registro de sistemas de IA, el módulo de formación con certificado y la guía de implantación. Y si quiere que alguien revise sus herramientas, sus contratos y sus prioridades con usted, la Auditoría Estratégica de IA lo hace en una sesión de dos horas con informe escrito.

Preguntas frecuentes

¿Necesito el consentimiento de los clientes para usar sus datos en ChatGPT?

No necesariamente. Para usos internos de productividad, la base jurídica habitual es el interés legítimo o la ejecución del contrato, con una herramienta que tenga contrato de encargado. Lo que sí necesita es información transparente (cláusulas actualizadas) y respetar la finalidad original. El consentimiento solo es la vía razonable en usos que las personas no esperarían, y es la base más frágil, porque se puede retirar.

¿Copilot dentro de Microsoft 365 es «seguro» para el RGPD?

Es una herramienta con contrato de encargado, exclusión de entrenamiento y controles de administración, lo que resuelve la parte contractual. No resuelve la minimización ni el acceso: Copilot ve lo que la persona puede ver. Si sus permisos de SharePoint y Teams son demasiado amplios, Copilot los convierte en un buscador de datos de personal. Revise permisos antes de desplegarlo.

Tengo una cuenta de pago individual de ChatGPT. ¿Puedo usarla con datos de clientes?

Compruebe tres cosas en el contrato: que incluye un anexo de tratamiento de datos (contrato de encargado), que excluye el entrenamiento con sus datos y que la empresa, no la persona, controla la cuenta. Los planes individuales no cumplen las tres en todos los casos. Si no puede marcar las tres, reserve esa cuenta a usos sin datos personales.

Para seguir leyendo

• Política de uso de IA en la empresa: plantilla y contenido
• Reglamento de IA: qué se aplica a su pyme en 2026
• IA en asesorías y gestorías: 6 usos reales y qué exige el Reglamento de IA, el RGPD y el secreto profesional
• Artículo 4 del AI Act: formación en IA obligatoria en pymes
• IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV
• En francés : RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD

Este artículo se ofrece con carácter general, a fecha de 20 de octubre de 2026, y no constituye asesoramiento jurídico. El caso práctico es ilustrativo. Las referencias a planes y contratos de proveedores de IA deben comprobarse en las condiciones vigentes de cada proveedor. El proyecto de ley orgánica española se menciona como decaído tras la disolución de las Cortes; cuando una futura ley entre en vigor, revise esta información. Adapte el contenido a su situación y, si es necesario, hágalo validar por un profesional.