Escrito por Samantha Chui Castillo, fundadora de Sensato IA, consultoría de inteligencia artificial para empresas y autónomos. Más de seis años en marketing y consultoría, con formación específica en IA aplicada a negocio.
Última revisión: septiembre de 2026.
Este contenido explica cómo aplicar el RGPD al uso de herramientas de IA. No es asesoramiento jurídico.
Respuesta rápida
Es la pregunta que frena a más pymes españolas: si meto datos de mis clientes en ChatGPT, ¿incumplo el RGPD? Sí es legal, con condiciones. La respuesta depende de tres cosas, y ninguna es complicada de entender.
Lo primero: sí, es legal
No existe ninguna norma que prohíba usar inteligencia artificial en tu empresa. Ni el RGPD ni el Reglamento Europeo de IA lo impiden.
La propia Agencia Española de Protección de Datos publicó una guía específica sobre ello: Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. No prohíbe nada: explica las condiciones que hay que cumplir.
Lo que sí existe son condiciones. Y la mayoría de pymes las incumplen sin saberlo, no por usar IA, sino por usarla igual que usarían una calculadora: sin pensar en qué información están metiendo.
Las tres preguntas que lo deciden todo
1. ¿Estás metiendo datos personales?
Un dato personal es cualquier información que permita identificar a una persona. El nombre, obviamente. Pero también el correo, el teléfono, el DNI, la dirección, una matrícula o incluso una combinación de datos que juntos señalen a alguien.
Si pegas un correo de un cliente para que te ayuden a redactar la respuesta, estás tratando datos personales. Si pides un resumen de un Excel de facturación con nombres, también.
Si en cambio pides ideas para un post de blog, o que te expliquen un concepto, o que revises un texto que ya es público, no hay dato personal y el RGPD no entra en juego.
En corto: si lo que pegas permite identificar a alguien, estás tratando datos personales. Si no, el RGPD no entra.
2. ¿Tienes base legal para ese tratamiento?
Cuando tratas datos personales necesitas una base legal. En la práctica, para una pyme suele ser la ejecución de un contrato —gestionas los datos del cliente porque le estás prestando un servicio— o el interés legítimo.
El problema no es tener base legal para tratar los datos. Es que meterlos en una herramienta de IA supone una comunicación a un tercero, y eso tiene requisitos propios.
En corto: tener base legal para guardar los datos de un cliente no te habilita para enviárselos a un tercero. Son dos permisos distintos.
3. ¿Has firmado un contrato de encargo con el proveedor?
Aquí está la clave que casi nadie mira. El artículo 28 del RGPD exige que, cuando un tercero trata datos por cuenta tuya, exista un contrato de encargo del tratamiento.
Las versiones de empresa de las principales herramientas ofrecen ese contrato. Las cuentas personales gratuitas, normalmente no.
Esa es, resumido, la diferencia legal entre que tu equipo use una cuenta personal o una cuenta de empresa. No es el precio ni las funciones: es que en un caso tienes cobertura contractual y en el otro no.
En corto: el artículo 28 del RGPD exige contrato de encargo con quien trate datos por cuenta tuya. Las cuentas personales no lo ofrecen; las de empresa, sí.
El punto que más gente desconoce
Muchas herramientas, en sus versiones gratuitas y personales, utilizan por defecto lo que escribes para mejorar sus modelos.
Eso significa que la información que tu equipo pega puede acabar formando parte del entrenamiento de un sistema que usa todo el mundo. No es que alguien vaya a poder recuperar el contrato de tu cliente escribiendo su nombre — no funciona así — pero desde el punto de vista del RGPD estás cediendo datos para una finalidad que el interesado no ha autorizado.
Las versiones de empresa de las herramientas principales no usan tus datos para entrenar. Compruébalo en las condiciones de la tuya, porque cambian con frecuencia.
Qué hacer, en cinco pasos
Paso 1: separa lo que es sensible de lo que no
La mayor parte del trabajo diario no implica datos personales. Redactar, resumir un texto propio, generar ideas, revisar ortografía, traducir contenido público. Ahí no hay problema.
El riesgo se concentra en unas pocas tareas: responder a clientes, tratar candidaturas, analizar facturación con nombres. Identifícalas y trátalas aparte.
Paso 2: pasa a cuentas de empresa
Es el paso que más riesgo elimina por menos dinero. Ganas el contrato de encargo, control de accesos y la garantía de que no se entrena con tus datos.
Paso 3: escribe las reglas en una hoja
Qué se puede meter, qué no, y qué herramientas están aprobadas. Una página que el equipo lea de verdad vale más que un protocolo de cuarenta que nadie abre.
La regla práctica que funciona: si no se lo enviarías por correo a alguien de fuera de la empresa, no lo pegues en una IA.
Paso 4: anonimiza cuando puedas
Muchas veces no necesitas el nombre para lo que estás pidiendo. Sustituir «Juan Pérez, de Talleres Pérez» por «el cliente» no cambia el resultado y elimina el problema de raíz.
Paso 5: actualiza tu registro de actividades
Si ya tienes uno —y si tratas datos personales, deberías—, añade el uso de herramientas de IA como lo que es: un encargado del tratamiento más.
Sobre el Reglamento Europeo de IA
Se habla mucho de él y conviene ponerlo en su sitio: la mayor parte de sus obligaciones afectan a quien desarrolla sistemas de IA, no a quien los usa para redactar correos.
Como pyme usuaria, lo que te aplica principalmente es la transparencia: si un sistema automatizado interactúa con personas, deben poder saberlo. Y si usas IA para decisiones que afectan a personas —selección de personal, por ejemplo— hay obligaciones adicionales, empezando por que la decisión final la tome un humano.
Lo que quiero que te lleves
El riesgo real de una pyme con la IA no es una multa por usarla. Es no tener ni idea de qué información está saliendo de la empresa cada día, porque nadie ha puesto reglas y todo el mundo hace lo que puede.
Eso se arregla en una tarde. Y no hace falta un abogado para empezar: hace falta saber qué usa tu equipo y decidir qué información puede entrar y cuál no.
Este artículo es informativo y no constituye asesoramiento legal. Para casos concretos, consulta con un profesional en protección de datos.
El manual de uso y políticas de datos va incluido en nuestro Diagnóstico: qué puede entrar en cada herramienta y qué no, adaptado a tu negocio. Reservar llamada →
Deja una respuesta