RGPD e IA

¿Puedo usar Copilot o Gemini con datos de clientes sin incumplir el RGPD?

por

Sí, puedes usar Copilot o Gemini con datos de clientes sin incumplir el RGPD, pero solo si usas una versión empresarial con contrato de encargado del tratamiento (art. 28 RGPD), tienes una base jurídica para ese uso y controlas qué datos ve la herramienta. Con una cuenta gratuita o personal, la respuesta es no: el proveedor no actúa como tu encargado y, en muchos casos, puede usar lo que escribes para entrenar sus modelos. El Reglamento de IA añade poco aquí; la norma que manda es el RGPD, y la AEPD sanciona hoy.

En esta guía

  1. Versión de consumo o versión empresarial: la primera pregunta
  2. Qué comprobar en el DPA de tu proveedor
  3. Base jurídica, minimización y EIPD
  4. El riesgo que nadie mira: Copilot ve todo lo que tú ves
  5. Registro de actividades y política de privacidad
  6. Qué añade el Reglamento de IA
  7. Checklist de 8 puntos

Versión de consumo o versión empresarial: la primera pregunta

Las versiones de consumo (ChatGPT gratuito, la app personal de Gemini, el Copilot de una cuenta personal de Microsoft) están pensadas para particulares: no hay contrato de encargado con tu empresa y, según la configuración, las conversaciones pueden servir para entrenar los modelos del proveedor. Si un empleado pega ahí el historial de pedidos de un cliente, tu empresa acaba de comunicar datos personales a un tercero sin contrato ni base jurídica.

Las versiones empresariales (Microsoft 365 Copilot, Gemini for Google Workspace, ChatGPT Team o Enterprise) se contratan a nombre de la empresa. El proveedor actúa como encargado del tratamiento, firma un acuerdo de tratamiento de datos (DPA, el contrato del art. 28 RGPD) y en sus condiciones vigentes suele comprometerse a no usar tus datos para entrenar sus modelos generales; compruébalo en el DPA. Ese contrato es la diferencia entre un uso defendible y una brecha de datos.

La lógica es la misma que en ChatGPT con datos de clientes y empleados.

Qué comprobar en el DPA de tu proveedor

La licencia empresarial no cierra el tema. El art. 28.3 RGPD exige que el contrato recoja el objeto, la duración, la naturaleza y la finalidad del tratamiento, y una serie de garantías. Los grandes proveedores ofrecen su DPA en condiciones estándar que no vas a negociar, así que tu trabajo es leerlo y documentar qué dice. No te fíes de resúmenes de terceros: consulta el DPA vigente de tu proveedor, porque cambia.

Cuatro puntos concentran el riesgo. Transferencias internacionales: dónde se procesan los datos y con qué instrumento se cubren las salidas del Espacio Económico Europeo (capítulo V del RGPD). Subencargados: qué empresas intervienen por debajo del proveedor y cómo te avisa si cambian. Retención: cuánto tiempo conserva prompts, respuestas y registros, y si puedes acortarlo. Y el compromiso expreso de no entrenar con tus datos, incluida la desactivación de cualquier opción que lo permita en el panel de administración.

Base jurídica, minimización y EIPD

El DPA resuelve la relación con el proveedor, no el tratamiento en sí. Sigues necesitando una base jurídica (art. 6 RGPD) para cada uso: redactar la respuesta a la reclamación de un cliente encaja en la ejecución del contrato o en el interés legítimo; segmentar a todos los clientes para decidir a quién ofrecer qué, ya es otra cosa.

La minimización (art. 5.1.c) es la regla práctica más útil: el asistente solo debe recibir los datos que necesita. Para resumir una incidencia no le hace falta el DNI ni la cuenta bancaria del cliente.

Cuando el uso implique perfilado, evaluación sistemática o categorías especiales de datos (salud, afiliación sindical, biometría), entra el art. 35 RGPD: evaluación de impacto antes de empezar. La AEPD mantiene la lista de tratamientos que la exigen y una guía sobre adecuación al RGPD de tratamientos que incorporan IA que sirve de plantilla. Si la herramienta decide con efectos jurídicos sobre el cliente sin intervención humana, aplica además el art. 22.

El riesgo que nadie mira: Copilot ve todo lo que tú ves

Microsoft 365 Copilot y Gemini for Workspace trabajan sobre los correos, documentos y unidades compartidas a los que cada usuario ya tiene acceso. Parece tranquilizador y es lo contrario. En muchas pymes los permisos están mal: carpetas de SharePoint o Drive compartidas con «toda la organización», nóminas en una unidad accesible, contratos en un canal abierto. Antes nadie las encontraba porque nadie buscaba; ahora el asistente las encuentra en segundos.

Antes de activar el asistente, revisa los permisos. Un Copilot que muestra a un comercial la nómina del director no es un fallo del proveedor: es una brecha de seguridad tuya (art. 32 RGPD), y según el caso notificable a la AEPD en 72 horas (art. 33).

Registro de actividades y política de privacidad

Dos obligaciones documentales que suelen olvidarse. El registro de actividades de tratamiento (art. 30 RGPD): si el asistente interviene en atención al cliente, gestión comercial o facturación, esas actividades deben reflejar el nuevo encargado y, si procede, las transferencias internacionales. Y la información a los clientes (arts. 13 y 14): tu política de privacidad debe recoger finalidades, encargados o categorías de encargados y transferencias. No hace falta nombrar el modelo, pero sí decir que se usan herramientas de IA de terceros.

Ambas salen casi solas si tienes hecho el inventario de sistemas de IA: herramienta, proveedor, DPA, datos que toca y quién la usa.

Qué añade el Reglamento de IA

Menos de lo que parece. Al usar Copilot o Gemini eres responsable del despliegue de un sistema basado en un modelo de propósito general, y las obligaciones pesadas del Reglamento (UE) 2024/1689 recaen sobre quien desarrolla el modelo. Te quedan dos cosas. El art. 4, desde el 2 de febrero de 2025: tomar medidas para apoyar la alfabetización en IA de quienes usan la herramienta; basta un registro interno de la formación, sin certificados. Y si montas un chatbot con clientes, el art. 50 (desde el 2 de agosto de 2026) exige informar de que hablan con una IA; si lo rebrandeas o lo modificas sustancialmente, puedes pasar a ser proveedor (art. 25).

Lo que sí se sanciona hoy es el RGPD: la AEPD tiene régimen sancionador activo, hasta 20 millones de euros o el 4 % de la facturación, sin depender de ninguna ley española pendiente.

Checklist de 8 puntos antes de usar Copilot o Gemini con datos de clientes

  1. Confirma que usas una versión empresarial y prohíbe en tu política interna las cuentas personales para trabajo.
  2. Descarga y archiva el DPA vigente de tu proveedor con fecha; anota transferencias internacionales, subencargados y plazos de retención.
  3. Desactiva en el panel de administración cualquier opción de uso de datos para entrenamiento y guarda captura de la configuración.
  4. Define para qué tareas concretas se puede usar el asistente con datos de clientes y cuál es la base jurídica de cada una.
  5. Revisa y limpia los permisos de SharePoint, OneDrive, Teams o Drive antes de activar el asistente para toda la organización.
  6. Haz una EIPD (art. 35) si hay perfilado o datos de categorías especiales; si concluyes que no procede, documenta por qué.
  7. Actualiza el registro de actividades de tratamiento y la política de privacidad de la web y de los contratos con clientes.
  8. Forma a la plantilla (qué no pegar, cómo reportar un error) y apunta la sesión en el registro de alfabetización del art. 4.

Casi todo esto cabe en una política de uso de IA de dos páginas. Y si no sabes en qué punto estás, el diagnóstico gratuito de Gobernaia te lo dice en tres minutos.

Fuentes

Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.