El RGPD lleva en vigor desde 2018. Las empresas llevan años gestionando bases de datos, cookies y consentimientos. Pero la irrupción masiva de herramientas de IA generativa ha creado un vector de riesgo nuevo que muchos responsables de protección de datos no tienen completamente mapeado.
Cuando un empleado abre ChatGPT y pega el email de un cliente para redactar una respuesta, está procesando datos personales con una herramienta de terceros. El RGPD tiene algo que decir sobre eso y en muchos casos, lo que dice no es favorable.
Qué es un procesamiento de datos en el contexto de la IA
El RGPD define el tratamiento de datos personales de forma amplia: cualquier operación sobre datos que identifiquen o permitan identificar a una persona física. En la práctica esto incluye pegar el nombre y email de un cliente en un prompt de ChatGPT, subir un contrato con datos de empleados a una herramienta de IA para resumirlo o procesar CVs de candidatos con sistemas de criba automatizada.
El problema con las herramientas de IA gratuitas
Las versiones gratuitas de ChatGPT, Gemini o herramientas similares tienen condiciones que, en general, no cumplen los requisitos del RGPD para el procesamiento de datos por encargo. Hay tres problemas principales.
El primero es la ausencia de DPA: las versiones gratuitas no ofrecen un contrato de encargado del tratamiento conforme al artículo 28 del RGPD, obligatorio cuando un tercero procesa datos personales por cuenta de una empresa.
El segundo es la posibilidad de uso para entrenamiento: algunas versiones gratuitas incluyen en sus términos la posibilidad de usar los inputs para mejorar el modelo, lo que significa que los datos que introduce el empleado pueden acabar formando parte del sistema.
El tercero son las transferencias internacionales: los servidores de OpenAI y Google están principalmente en Estados Unidos, lo que requiere garantías específicas bajo el RGPD para que la transferencia sea lícita.
Qué ofrecen las versiones enterprise
ChatGPT Enterprise, Microsoft 365 Copilot y Google Workspace for Business resuelven estos problemas: incluyen DPAs, garantías de no uso de datos para entrenamiento y cumplimiento con los marcos de transferencia internacional. Pero el empleado que usa la versión gratuita desde su navegador no tiene esas garantías, aunque su empresa tenga la enterprise contratada para otro departamento. Y ese es, precisamente, el escenario más habitual.
Los riesgos concretos
Hay vulneración del artículo 28 del RGPD si la empresa permite el uso de herramientas sin DPA con datos personales. Hay transferencia internacional ilícita si los datos se procesan en servidores de terceros países sin garantías adecuadas. Y hay quiebra de confidencialidad si datos estratégicos se procesan con herramientas sin garantías contractuales. Los tres pueden coexistir en una sola acción cotidiana: un empleado resolviendo una tarea con la herramienta que tiene más a mano.
Qué debe hacer la empresa
Lo primero es una auditoría: identificar qué herramientas de IA usan los empleados, con qué datos y bajo qué condiciones.
Lo segundo es una clasificación: definir qué datos pueden procesarse con qué herramientas.
Y lo tercero es política y formación: establecer por escrito qué está permitido y asegurarse de que el equipo lo entiende. Porque una norma que nadie conoce no protege de nada.
No es solo un problema de protección de datos
Es fácil tratar esto como un asunto exclusivamente jurídico y dejarlo en manos del responsable de protección de datos, pero en el fondo hay algo más. Un empleado que pega datos de clientes en una herramienta gratuita no siempre está incumpliendo a sabiendas. Muchas veces no sabe que eso es un tratamiento de datos, ni que hay diferencia entre la versión gratuita y la enterprise, ni qué implica pulsar enviar. El RGPD marca el límite legal, pero la alfabetización en IA, hoy una obligación en sí misma para las empresas, es lo que hace que el equipo entienda por qué ese límite existe. Cumplir la norma sin formar al equipo es poner una señal de tráfico donde nadie sabe leer.
Preguntas frecuentes
¿Usar ChatGPT con datos de clientes viola el RGPD?
Puede hacerlo. Si los datos son personales y se procesan con una herramienta de terceros sin base legal adecuada ni DPA firmado, existe una vulneración potencial. La versión gratuita de ChatGPT no ofrece las garantías que el RGPD exige para el tratamiento de datos por encargo.
¿Qué contrato necesito con el proveedor de IA para cumplir el GDPR?
Un DPA conforme al artículo 28 del RGPD. OpenAI Enterprise, Microsoft 365 Copilot y Google Workspace ofrecen DPAs, las versiones gratuitas generalmente no.
¿Las transferencias de datos a ChatGPT son una transferencia internacional?
Sí. OpenAI y Google tienen sus servidores principalmente en Estados Unidos. Se requieren garantías adecuadas: Data Privacy Framework EU-US o cláusulas contractuales tipo. Las versiones enterprise suelen incluirlas, las gratuitas no necesariamente.
