---
title: ¿ChatGPT cumple el RGPD? Cómo evaluar tus obligaciones de protección de datos al usar IA en la empresa
canonical_url: https://tkmstudio.com/es/library/is-chatgpt-gdpr-compliant-ai-usage-policy
language: es
last_updated: 2026-10-13
organization: TKM Studio, AI Visibility & Adoption Studio, Madrid, working worldwide
---

# ¿ChatGPT cumple el RGPD? Cómo evaluar tus obligaciones de protección de datos al usar IA en la empresa

Tu equipo ya usa ChatGPT, Copilot o Gemini. No hay una prohibición general, pero la protección de datos pone condiciones: qué plan, qué contrato, qué datos y normas escritas. Esta guía recorre las preguntas para un dueño no técnico, compara lo que cuatro proveedores declaran oficialmente y termina con una lista de diez pasos y un borrador de política que puedes adaptar.

No existe una prohibición general de la IA generativa en el trabajo. Usos concretos pueden estar limitados por la ley, por normas profesionales o por la política de tu propia organización, y la AEPD publicó en enero de 2026 un decálogo de recomendaciones para usar herramientas de IA cuyo punto sobre el trabajo es simple: sigue la política de tu organización y no introduzcas en las herramientas datos confidenciales de empleados o clientes.

Usar la IA respetando el RGPD no consiste en elegir el logotipo correcto. Son cuatro cosas: el plan que usas, el contrato que hay detrás, los datos que introduces y las normas que das a tu gente. Esta guía las toma una a una. Está escrita para dueños y responsables de oficina de pymes españolas, no para abogados, y no es asesoramiento jurídico.

## ¿Es legal usar ChatGPT en la empresa?

No hay una norma en contra. El RGPD no nombra ninguna herramienta. Pregunta, para cualquier tratamiento de datos personales, si hay base jurídica y finalidad, si quien trata datos por tu cuenta está sujeto a un contrato escrito, si la seguridad es adecuada y si se respetan las reglas de transferencia cuando los datos salen de la UE. No todo prompt contiene datos personales; una pregunta sobre un plazo fiscal no los contiene. Un prompt con el nombre, la situación o los documentos de un cliente, sí.

El papel del proveedor depende de lo que hace con los datos. Para el contenido de los clientes de empresa, los cuatro proveedores de esta guía declaran que actúan como encargados del tratamiento, es decir, que tratan por tu cuenta y según tus instrucciones, y ahí es donde el artículo 28 del RGPD exige un contrato escrito. Para otros tratamientos el mismo proveedor puede ser responsable independiente, decidiendo él las finalidades: Microsoft, por ejemplo, declara que es responsable independiente de las consultas web de Bing hechas a través de Copilot. El Laboratorio de la AEPD describió el prompt como el nuevo perímetro de riesgo en una entrada de agosto de 2026, que la propia entrada aclara que no es guía oficial de la AEPD. El primer paso no es contratar una suscripción. Es un inventario: qué herramientas, qué usos, qué datos.

## ¿Qué pasa con los datos que escribo?

Depende del plan, y la diferencia es grande. En los planes de consumo de ChatGPT, OpenAI declara que el contenido puede usarse para mejorar sus modelos salvo que lo desactives, y que el contenido asociado a valoraciones que envíes puede seguir usándose. En los planes Free, Pro y Max de Claude, Anthropic declara que tus datos se usan para entrenar solo si lo permites, con excepciones de revisión de seguridad, y que permitirlo amplía la conservación de los datos relacionados hasta cinco años. En Gemini personal con la actividad activada, Google declara que las conversaciones pueden usarse para entrenar y ser revisadas por personas, con plazos de conservación indicados en su página.

En los planes de empresa el valor por defecto se invierte: OpenAI, Anthropic, Microsoft y Google declaran que el contenido de los clientes de empresa no se usa para entrenar sus modelos por defecto, y cada uno ofrece un contrato de encargo de tratamiento, el DPA, que es el contrato escrito que el RGPD exige entre tú y quien trata datos personales por tu cuenta. Dos cautelas. Que no haya entrenamiento no significa que no haya conservación ni acceso humano; los registros, la supervisión de abusos y el acceso del soporte son preguntas aparte con sus propias respuestas en las condiciones de cada proveedor. Y un DPA es un contrato, no una base jurídica: no hace por sí solo que un uso sea lícito.

## Gratis o Plus frente a Business o Enterprise: qué cambia de verdad

- Contrato: los planes de consumo funcionan con condiciones de consumidor; los planes de empresa incluyen un DPA que fija qué puede hacer el proveedor con tus datos como encargado.
- Entrenamiento: los planes de consumo pueden usar tu contenido para entrenar salvo que lo desactives o no lo permitas; los de empresa no lo hacen por defecto.
- Control de administración: los planes de empresa permiten crear y eliminar usuarios y fijar reglas del espacio de trabajo, lo que importa el día que alguien se va.
- Ubicación: las opciones para mantener los datos en la UE existen en algunos planes de empresa, difieren entre proveedores y planes, y están cambiando. Ver la tabla.

## ¿Cumplen el RGPD ChatGPT, Claude, Copilot y Gemini?

El cumplimiento no es una propiedad de una herramienta. Los proveedores tienen sus propias obligaciones, y tú tienes las tuyas por el uso que haces. Lo que puedes comprobar es lo que cada proveedor declara en sus documentos oficiales. Los datos de abajo se comprobaron el 12 de octubre de 2026 y enlazan a las páginas del propio proveedor en la lista de fuentes; las opciones de residencia y de enrutamiento están cambiando, así que lee la página vigente del plan que vas a contratar. Inferencia, en la tabla, es el momento en que el modelo calcula la respuesta a tu prompt; dónde se almacenan los datos y dónde ocurre la inferencia pueden ser lugares distintos.

| Proveedor y plan | DPA | Entrenamiento con tu contenido | Ubicación de datos y tratamiento en la UE | Diferencia del plan de consumo |
| --- | --- | --- | --- | --- |
| ChatGPT Business y Enterprise | Sí | No se usa por defecto | La residencia de datos en la UE, incluida la inferencia en la región, se ofrece en planes concretos y se está desplegando por plan; la región de almacenamiento no es la región de tratamiento; comprueba la página vigente de tu plan | Free y Plus: el contenido puede usarse para entrenar salvo que lo desactives; el contenido asociado a valoraciones enviadas puede seguir usándose |
| Claude Team y Enterprise | Sí, bajo las condiciones comerciales de Anthropic | No se usa por defecto, salvo las valoraciones que envíes y los programas a los que te apuntes expresamente | Datos almacenados en Estados Unidos; el tratamiento regional en la UE está disponible a través de AWS Bedrock o Google Vertex, que es un servicio y un contrato aparte, no un ajuste dentro del plan Team | Free, Pro y Max: entrenamiento solo si lo permites, con excepciones de revisión de seguridad; permitirlo amplía la conservación de los datos relacionados hasta 5 años |
| Microsoft 365 Copilot | Sí, DPA y Product Terms | Prompts, respuestas y datos de Microsoft 365 no se usan para entrenar los modelos base | Servicio EU Data Boundary con excepciones declaradas: los modelos de Anthropic como subencargado quedan fuera del límite, las consultas web de Bing quedan fuera con Microsoft como responsable independiente, y algunas opciones de enrutamiento pueden tratar fuera de la UE; comprueba la página vigente | Copilot personal funciona bajo condiciones de consumidor aparte |
| Gemini en Google Workspace | Sí, Cloud DPA; los prompts son datos del cliente | No se usa sin permiso | El tratamiento regional de los datos en uso depende de la edición y de opciones como Enterprise Data Regions o Assured Controls; comprueba la página vigente | Gemini personal con actividad activada: se usa para entrenar, posible revisión humana, plazos de conservación indicados en la página de Google |

Dos cosas destacan. Primero, un plan de empresa con DPA es la base de los cuatro; no es una mejora, es el mínimo para un uso de trabajo con datos personales. Segundo, mantener los datos en la UE no es el valor por defecto en ninguno: es una opción concreta en planes concretos, con excepciones y reglas de enrutamiento en la letra pequeña, y almacenar en la UE no significa que todo el tratamiento ocurra en la UE. Si un cliente o tus normas profesionales exigen tratamiento en la UE, lee esa línea antes de contratar, no después.

## ¿Necesito un DPA?

Si el proveedor trata datos personales por tu cuenta, sí: el artículo 28 del RGPD exige un contrato escrito con cualquier encargado. En los cuatro proveedores de arriba el DPA existe y forma parte de las condiciones de empresa; tu trabajo es asegurarte de que el plan que contratas está cubierto, guardar una copia y anotar la herramienta en tu registro de encargados. Los planes de consumo no ofrecen DPA. Eso no hace ilícito por sí solo todo uso en una cuenta personal, pero significa que cualquier uso con datos personales carece del contrato que exige el RGPD, que es una razón clara para mantener el trabajo con datos personales fuera de las cuentas personales.

## ¿Mis datos salen de la UE, y cuáles son las excepciones?

A menudo, sí. Claude declara que los datos se almacenan en Estados Unidos salvo que uses sus opciones aparte de tratamiento regional en la UE. ChatGPT ofrece residencia en la UE en planes concretos y la está desplegando. El EU Data Boundary de Copilot tiene excepciones para ciertos modelos de subencargados, para las consultas web y para algunas opciones de enrutamiento. Workspace regionaliza el tratamiento según la edición y las opciones.

Una transferencia fuera de la UE necesita un mecanismo válido. El Marco de Privacidad de Datos UE-EE. UU. cubre a los destinatarios certificados y dentro de su alcance; las cláusulas contractuales tipo exigen evaluar la transferencia, no solo firmar. Los DPA de los proveedores nombran el mecanismo en que se apoyan. Lo que una pyme tiene que hacer es saber que la transferencia ocurre, saber con qué base, y poder decirlo si un cliente pregunta. Las excepciones importan más que el titular: un producto alojado en la UE salvo por una función no está, para esa función, alojado en la UE.

## ¿Qué no debería entrar en una herramienta de IA? Una clasificación que proponemos

La clasificación en tres colores que sigue es una propuesta nuestra para una política interna. No es un estándar legal ni es de la AEPD; la entrada del Laboratorio citada arriba recomienda clasificar los usos, y esta es una forma de hacerlo. Tu empresa fija los colores; la ley fija las obligaciones que hay detrás.

- Verde, permitido en herramientas aprobadas: texto sin datos personales, preguntas generales, redacción propia que no identifica a nadie. Ojo: los datos personales públicamente accesibles siguen siendo datos personales y no pasan a verde por ser públicos.
- Ámbar, permitido solo en un plan de empresa aprobado con DPA, dentro de un caso de uso aprobado y con revisión humana del resultado: documentos internos con pocos datos personales, correspondencia rutinaria que nombra a clientes, resúmenes de tus propios expedientes.
- Rojo, no permitido en herramientas de IA en la nube según la política, salvo que una evaluación documentada apruebe un uso concreto: datos de salud, datos bajo secreto profesional, registros financieros que identifican a clientes, datos de empleados más allá del contacto laboral, credenciales, cualquier cosa que un contrato con un cliente te prohíba compartir. Tratar las cuentas personales como rojas para todo uso es una decisión que muchas empresas toman en su política, no una exigencia legal; la sugerimos porque las cuentas personales no tienen DPA.

## ¿Necesito una evaluación de impacto?

Una EIPD, evaluación de impacto en la protección de datos, es el análisis formal de riesgos que el artículo 35 del RGPD exige antes de un tratamiento que puede entrañar un alto riesgo. No hay exención por tamaño de empresa. El alto riesgo se evalúa antes de empezar el tratamiento, con los criterios de la AEPD, y combinar varios criterios, como datos de salud y una tecnología innovadora, refuerza la necesidad de una EIPD. Una oficina que redacta cartas generales sin datos personales no tiene tratamiento que evaluar. Una clínica que quiere que una herramienta de IA resuma informes de pacientes combina una categoría especial de datos con una tecnología nueva y debería evaluar antes de empezar. Entre ambos extremos, escribe qué hará la herramienta, qué datos verá y por qué el riesgo es aceptable; ese registro es lo que una autoridad o un cliente te pedirá.

## ¿Qué exige el Reglamento de IA a una pyme en 2026?

Menos de lo que sugieren los titulares, tras la entrada en vigor del Reglamento Ómnibus Digital (UE) 2026/1744 el 27 de julio de 2026. El artículo 4 sobre alfabetización en IA pide ahora a proveedores y responsables del despliegue que tomen medidas para apoyar el desarrollo de la alfabetización en IA de su personal, sin prescribir un nivel. Una formación breve y una política escrita son las medidas habituales de una pyme; si bastan depende de cómo usa la IA, y las medidas deben ajustarse al uso. Una empresa que usa un chatbot o un modelo descargado es responsable del despliegue.

La transparencia del artículo 50, el deber de informar a las personas de que interactúan con un sistema de IA, se aplica con carácter general desde el 2 de agosto de 2026; la transición al 2 de diciembre de 2026 afecta solo a las obligaciones de marcado de los proveedores para sistemas concretos ya en el mercado. Las obligaciones de los sistemas de alto riesgo del capítulo III, secciones 1 a 3, ligadas al anexo III, pasan al 2 de diciembre de 2027. Para una oficina que usa IA para redactar y resumir, el Reglamento de IA no es la parte difícil; el RGPD sí.

## ¿Cómo hago una política de uso de IA? Un borrador que puedes adaptar

La AEPD publicó su propia política interna de IA generativa y un anexo de implementación en diciembre de 2025, con un resumen en inglés en enero de 2026. Está escrita para la administración de la propia AEPD, pero su estructura sirve a cualquier organización: inventario de herramientas, aprobación por caso de uso, lista de comprobación para contratar y prohibición de herramientas no registradas. Los puntos de abajo son nuestra adaptación de esa estructura para una pyme. Son un punto de partida para tu propio documento, no asesoramiento jurídico, y las decisiones que contienen, como la formación anual o excluir las cuentas personales, son decisiones organizativas, no exigencias legales.

- Alcance: esta política cubre toda herramienta de IA usada para el trabajo, en cualquier dispositivo. Las cuentas personales no se usan para trabajo con datos personales o confidenciales.
- Herramientas aprobadas: solo pueden usarse las herramientas del inventario de la empresa, en las cuentas de la empresa. El inventario indica para cada herramienta el plan, el DPA, la ubicación de los datos y la base de transferencia, la conservación de prompts y resultados, y quién administra el acceso.
- Finalidad y aprobación por uso: cada caso de uso (por ejemplo, resumir expedientes de clientes) lo aprueba la persona responsable antes de empezar, con nota de su finalidad, los datos que implica, su color y la base jurídica de cualquier dato personal.
- Minimización: los usuarios introducen solo los datos que la tarea necesita. Quitar nombres no es anonimizar; un expediente que aún puede vincularse a una persona sigue siendo dato personal.
- Reglas de datos: los datos de categoría roja no se introducen en herramientas de IA en la nube salvo que una evaluación documentada apruebe el uso concreto. Los datos ámbar, solo en planes de empresa aprobados y dentro del caso de uso aprobado.
- Acceso: las cuentas son personales de cada usuario, se eliminan el día en que la persona se va y se revisan cuando cambian las funciones.
- Conservación y borrado: los historiales de chat y los archivos subidos se borran en el plazo fijado para cada herramienta en el inventario y, en todo caso, cuando termina el caso de uso.
- Derechos de las personas: las solicitudes de personas cuyos datos se usaron en una herramienta las gestiona la persona responsable, que sabe qué herramienta guarda qué.
- Revisión humana: el resultado de la IA lo revisa una persona antes de salir de la empresa o de actuar sobre él. Quien lo envía es responsable de él.
- Lista de contratación: antes de añadir una herramienta, la empresa comprueba y anota el DPA, el valor por defecto de entrenamiento, registros y conservación, ubicación de datos y transferencias, y cómo se eliminan usuarios.
- Formación: cada usuario recibe una formación breve sobre esta política antes del acceso; la empresa fija el intervalo de refresco y registra la asistencia.
- Incidentes: quien introduzca datos que no debía, o vea un resultado inesperado con datos personales, lo comunica sin dilación a la persona designada para incidentes, que decide si aplica el procedimiento de brecha.
- Revisión: esta política y el inventario se revisan con un intervalo fijado y siempre que cambie una herramienta, un plan o una condición del proveedor.

## Diez pasos para evaluar el uso de IA en tu empresa

- 1. Haz la lista de todas las herramientas y usos de IA que tu personal tiene hoy, incluidas las cuentas personales, y los datos que implica cada uso.
- 2. Pasa el trabajo con datos personales a planes de empresa con DPA.
- 3. Guarda una copia de cada DPA y añade cada herramienta a tu registro de encargados.
- 4. Comprueba dónde almacena y trata los datos cada herramienta, qué excepciones aplican y con qué base de transferencia; anótalo.
- 5. Clasifica tus usos; nombra los datos rojos de tu empresa.
- 6. Decide qué usos necesitan EIPD, con los criterios de la AEPD, antes de que esos usos empiecen.
- 7. Escribe la política de uso; el borrador de arriba es un punto de partida.
- 8. Forma a todos, en proporción a cómo usan la IA, y regístralo.
- 9. Fija la revisión humana como norma para todo lo que salga de la empresa.
- 10. Revisa herramientas, planes y política con un intervalo fijado, y siempre que un proveedor cambie sus condiciones.

## Despachos de abogados: el secreto profesional va primero

Los abogados en España están sujetos al secreto profesional según el Estatuto General de la Abogacía (Real Decreto 135/2021). Ese deber no desaparece porque una herramienta tenga DPA, y el tratamiento en la UE por sí solo tampoco lo resuelve: la cuestión es si el abogado puede dar cuenta de dónde se trató un documento de un cliente y quién lo hizo, y si las normas profesionales permiten ese tratamiento. Quitar el nombre del cliente de un documento no es anonimizar si el asunto aún puede vincularse a una persona. Un despacho debería decidir, por escrito, qué categorías de trabajo pueden tocar una herramienta cloud y cuáles se quedan en sus propios sistemas, y poder mostrar esa decisión a un cliente o al colegio.

## Clínicas: los datos de salud son una categoría especial

Los datos de salud son una categoría especial según el artículo 9 del RGPD, y la Ley 41/2002 añade deberes de confidencialidad sobre la información clínica (artículos 7 y 16.6). Tratarlos exige una base jurídica del artículo 6 y una condición del artículo 9, un contrato con el proveedor y una evaluación de si hace falta EIPD, que la combinación de datos de salud y tecnología nueva hace probable. Una clínica debería tratar cualquier uso de IA con datos de pacientes como un proyecto con esas piezas en su sitio antes de empezar. El trabajo administrativo sin pacientes puede implicar igualmente datos de empleados, que también son datos personales; es menor riesgo, no riesgo cero.

## ¿Y una IA privada o local?

Para empresas cuya categoría roja es la mayor parte de su trabajo diario hay una cuarta opción: un modelo abierto que corre en una máquina en tu propia oficina, de modo que el tratamiento del modelo ocurre en tus instalaciones. Tiene sus propios costes, necesita alguien responsable de la máquina y no hace que una empresa cumpla por sí sola; las reglas de arriba se siguen aplicando, y quien la mantiene en remoto trata datos por tu cuenta bajo contrato. Describimos a quién encaja y qué implica en [la página del servicio Private AI](https://tkmstudio.com/es/services/private-ai), y nuestra evaluación termina a menudo recomendando un plan cloud de empresa.

## Preguntas frecuentes

- ¿Es seguro usar ChatGPT en el trabajo? En un plan de empresa con DPA, para los datos que tu política permite y con revisión humana, puede usarse como otro software que trata datos por tu cuenta, con las mismas comprobaciones. En una cuenta personal con datos de clientes falta el contrato que exige el RGPD.
- ¿La AEPD ha prohibido ChatGPT? No. La AEPD ha publicado recomendaciones para usar herramientas de IA y su propia política interna; no ha prohibido ninguna herramienta.
- ¿Copilot cumple por ser de Microsoft? Copilot tiene DPA y un EU Data Boundary con excepciones declaradas. El cumplimiento sigue dependiendo de tus datos, tu política y tu uso.
- ¿Cuándo consultar a un profesional? Cuando un uso implica categorías especiales de datos, cuando un contrato con un cliente restringe el tratamiento, cuando es probable una EIPD o cuando no puedes responder con seguridad a los diez pasos de arriba.

Ninguna herramienta hace que una empresa cumpla, y nadie puede prometer lo que responderá un modelo de IA. Lo que una empresa sí puede hacer es conocer sus usos, elegir el plan, tener el contrato, trazar la línea de datos, evaluar los usos de riesgo y formar a su gente en proporción a cómo usa la IA.

## Fuentes

- [AEPD, decálogo de recomendaciones para proteger la privacidad al usar IA, 27 de enero de 2026](https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-publica-decalogo-recomendaciones-proteger-privacidad-al-usar-ia) y https://www.aepd.es/guias/recomendaciones-ia-aepd.pdf
- [AEPD, política de uso de IA generativa (política interna)](https://www.aepd.es/documento/politica-iag-aepd.pdf) ; anexo de implementación, 12 de diciembre de 2025: https://www.aepd.es/documento/anexo-implementacion-politica-iag-aepd.pdf ; resumen en inglés, enero de 2026: https://www.aepd.es/en/guides/summary-recommendations-iag-aepd.pdf
- [Laboratorio de la AEPD, Prompts, datos personales y confidencialidad, 25 de agosto de 2026 (entrada de blog, no es guía oficial de la AEPD)](https://laboratorio.aepd.es/blog/prompts-datos-personales-y-confidencialidad-el-nuevo-perimetro-de-riesgo-de-la-ia-generativa)
- [Reglamento (UE) 2016/679 (RGPD), artículos 6, 9, 28 y 35](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Reglamento (UE) 2026/1744 (Ómnibus Digital), en vigor desde el 27 de julio de 2026](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202601744)
- [OpenAI, Enterprise privacy, actualizado el 8 de enero de 2026](https://openai.com/enterprise-privacy/) (consultado el 12 de octubre de 2026)
- [OpenAI, Data residency and inference residency for ChatGPT](https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt) (consultado el 12 de octubre de 2026)
- [OpenAI, How your data is used to improve model performance](https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance) (consultado el 12 de octubre de 2026)
- [Anthropic, condiciones comerciales y DPA](https://www.anthropic.com/legal/commercial-terms) y https://www.anthropic.com/legal/data-processing-addendum (consultado el 12 de octubre de 2026)
- [Anthropic, Is my data used for model training, 18 de agosto de 2026](https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training)
- [Anthropic, Where is my data stored, 15 de junio de 2026](https://privacy.claude.com/en/articles/7996890) ; tratamiento regional: https://claude.com/regional-compliance
- [Anthropic, Updates to consumer terms, 28 de agosto de 2025](https://www.anthropic.com/news/updates-to-our-consumer-terms)
- [Microsoft, Microsoft 365 Copilot privacy, 18 de agosto de 2026](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy) ; Copilot privacy and protections, 24 de agosto de 2026: https://learn.microsoft.com/en-us/copilot/privacy-and-protections
- [Google, Generative AI in Google Workspace privacy hub](https://knowledge.workspace.google.com/admin/generative-ai/generative-ai-in-google-workspace-privacy-hub) ; data covered by data regions, 9 de octubre de 2026: https://knowledge.workspace.google.com/admin/compliance/data-covered-by-data-regions ; privacidad de Gemini Apps: https://support.google.com/gemini/answer/13594961 (consultado el 12 de octubre de 2026)
- [Estatuto General de la Abogacía Española, Real Decreto 135/2021](https://www.boe.es/boe/dias/2021/03/24/pdfs/BOE-A-2021-4568.pdf)
- [Ley 41/2002, de autonomía del paciente, artículos 7 y 16.6](https://www.boe.es/buscar/act.php?id=BOE-A-2002-22188)

Hablemos de tu uso de la IA: https://tkmstudio.com/es/contact