RGPD e IA

ChatGPT, Copilot y RGPD: qué necesitas para usarlos con datos de clientes o empleados

por

Si alguien en tu empresa pega en ChatGPT el correo de un cliente para redactar la respuesta, o pide a Copilot que resuma las evaluaciones del equipo, está tratando datos personales con un proveedor externo. No es ilegal, pero tiene condiciones. Esta guía explica cuáles son según el RGPD, qué ofrecen OpenAI, Microsoft y Google en sus planes de empresa y qué medidas necesitas para no exponerte a la Agencia Española de Protección de Datos, que hoy sí sanciona (hasta 20 millones de euros o el 4 % de la facturación).

En esta guía

  1. Cuándo hay tratamiento de datos personales
  2. El contrato de encargado del tratamiento (art. 28)
  3. Transferencias internacionales
  4. Base jurídica e información a los interesados
  5. Cuándo necesitas una EIPD (art. 35)
  6. Decisiones automatizadas (art. 22) e IA agéntica
  7. Medidas prácticas y checklist

Cuándo hay tratamiento de datos personales

Hay tratamiento en cuanto lo que subes permite identificar a una persona: un nombre con su email, un teléfono, una firma en un PDF, una foto, un historial de pedidos, una nómina. Da igual que la herramienta «solo resuma» o que borres el chat después. Enviar el dato al servidor del proveedor ya es tratamiento (art. 4.2 RGPD), y tu empresa es la responsable.

No lo es pedir a la IA una plantilla de contrato en blanco, corregir un texto sin nombres o explicar una norma. Ahí no entra el RGPD, aunque sí puede entrar la confidencialidad comercial. La regla práctica: si no se lo enviarías a un proveedor externo sin contrato, no lo subas a una IA sin contrato.

El contrato de encargado del tratamiento (art. 28)

Cuando un proveedor trata datos personales por cuenta de tu empresa es un encargado del tratamiento, y el artículo 28 del RGPD exige un contrato escrito con un contenido mínimo: finalidad, tipo de datos, instrucciones, confidencialidad, seguridad, subencargados, asistencia con los derechos de los interesados y supresión al terminar. Sin ese contrato no puedes usar la herramienta con datos de clientes o empleados, por conocido que sea el proveedor.

Los tres grandes proveedores lo ofrecen, pero solo en determinados planes. OpenAI incluye un acuerdo de tratamiento de datos en ChatGPT Team, ChatGPT Enterprise y su API, y en esos planes el contenido no se usa por defecto para entrenar modelos. Microsoft cubre Microsoft 365 Copilot con los términos de protección de datos de Microsoft 365, siempre que uses cuentas corporativas del tenant de la empresa. Google hace lo mismo con Gemini para Google Workspace bajo el adendo de tratamiento de datos de Workspace. Comprueba que tu plan concreto está dentro del alcance del acuerdo y guarda copia con la fecha de aceptación.

Los planes gratuitos y personales no llevan contrato de encargado. ChatGPT Free o Plus, Gemini con un Gmail personal o Copilot con una cuenta Microsoft individual son productos de consumo: el contrato es con la persona, no con tu empresa, y el contenido puede usarse para mejorar los modelos salvo que cada usuario lo desactive. Con esas cuentas no puedes subir datos de clientes ni de empleados.

Transferencias internacionales

Los tres proveedores son estadounidenses y, aunque ofrecen residencia de datos en la Unión Europea en algunos planes, suele haber alguna transferencia a Estados Unidos (soporte, subencargados, copias de seguridad). El capítulo V del RGPD exige una garantía: la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU., cláusulas contractuales tipo o ambas. Cada proveedor documenta cuál usa en su acuerdo de tratamiento o en su página de subencargados. Anótalo en tu registro de actividades de tratamiento (art. 30) y revisa la lista de subencargados una vez al año.

Base jurídica e información a los interesados

Usar una IA no crea una base jurídica nueva ni la sustituye. Si redactas la respuesta a una reclamación de un cliente con ChatGPT, la base sigue siendo la ejecución del contrato (art. 6.1.b); si resumes una evaluación de desempeño con Copilot, sigue siendo la relación laboral y, en su caso, el interés legítimo (art. 6.1.f), que en el ámbito laboral conviene documentar con una ponderación. Lo que cambia es que has añadido un encargado y, a veces, una finalidad nueva: si usas la IA para algo distinto de lo que informaste (perfilar clientes a partir de sus correos, por ejemplo), esa finalidad necesita su propia base jurídica.

Los artículos 13 y 14 obligan a informar a clientes y empleados de quién trata sus datos y para qué. Lo razonable es actualizar la política de privacidad de la web y la información al personal para mencionar el uso de herramientas de IA generativa como encargados, la categoría de proveedor y la existencia de transferencias con su garantía. No hace falta listar cada prompt, pero el uso de IA no puede ser una sorpresa. La guía de la AEPD sobre tratamientos con IA recomienda además explicar la lógica general cuando la herramienta influye en decisiones sobre personas.

Cuándo necesitas una EIPD (art. 35)

El artículo 35 del RGPD exige una evaluación de impacto en protección de datos cuando el tratamiento puede suponer un alto riesgo para las personas. La lista de la AEPD de tratamientos que la requieren incluye supuestos habituales con IA: evaluación o perfilado de personas, decisiones automatizadas con efectos significativos, categorías especiales, tecnologías nuevas a gran escala y combinación de datos de distintas fuentes. Si usas una IA para puntuar candidaturas, evaluar el desempeño, decidir turnos o analizar clientes, lo más probable es que necesites una EIPD antes de empezar, no después.

Redactar correos o resumir reuniones, en cambio, no suele llegar a alto riesgo si hay contrato de encargado y no se suben categorías especiales. Documenta ese razonamiento en una página: la AEPD valora que hayas analizado si procedía la EIPD aunque concluyas que no.

Decisiones automatizadas (art. 22) e IA agéntica

El artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a la persona. Si dejas que la IA decida sola a quién contratar, a quién no renovar o a qué cliente denegar un pedido, necesitas una de las excepciones del artículo (contrato, ley o consentimiento explícito) y, en todo caso, intervención humana real: alguien con competencia y autoridad que revisa y puede cambiar el resultado, no alguien que hace clic en aceptar.

El punto se complica con los agentes de IA, que no solo responden sino que actúan: envían correos, cambian registros, encadenan tareas. Las orientaciones de la AEPD sobre IA agéntica, del 18 de febrero de 2026, insisten en que quien despliega un agente sigue siendo responsable de cada tratamiento que realiza, debe limitar sus permisos a lo necesario, conservar trazabilidad y garantizar revisión humana efectiva en las decisiones con efectos sobre personas. Si activas agentes con acceso a tu CRM o a tu software de RRHH, léelas antes.

Todo esto se aplica hoy. Las obligaciones para quien usa sistemas de alto riesgo en RRHH (art. 26 del Reglamento (UE) 2024/1689) no llegan hasta el 2 de diciembre de 2027 tras el Digital Omnibus de julio de 2026, pero el RGPD y la Agencia no esperan a esa fecha.

Medidas prácticas y checklist

  1. Contrata un plan de empresa con acuerdo de tratamiento de datos y guarda copia.
  2. Prohíbe por escrito subir datos de clientes o empleados a cuentas gratuitas o personales.
  3. Usa cuentas corporativas con verificación en dos pasos y da de baja los accesos cuando alguien se va.
  4. Comprueba que el entrenamiento con tus datos está desactivado y qué residencia de datos en la UE ofrece tu plan.
  5. Añade la herramienta al registro de actividades de tratamiento con su garantía de transferencia.
  6. Actualiza la política de privacidad y la información a la plantilla (arts. 13 y 14).
  7. Decide y documenta si cada uso necesita EIPD; hazla antes de evaluar o decidir sobre personas.
  8. Asegura revisión humana real y limita los permisos de los agentes.
  9. Recoge todo en una política interna de uso de IA que la plantilla conozca y firme.

Si quieres saber qué otras obligaciones tiene tu empresa además de las del RGPD, el diagnóstico gratuito de Gobernaia te lo dice en tres minutos a partir de las herramientas que ya usas.

Fuentes

Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.