Qué no pegar nunca en ChatGPT: datos de clientes y RGPD

✅ Probado por ImpulsaIA según nuestra metodología pública. ℹ️ Algunos enlaces pueden ser de afiliado: si contratas a través de ellos recibimos una comisión, sin coste extra para ti. Más información.

✅ Probado por ImpulsaIA según nuestra metodología pública. ℹ️ Algunos enlaces pueden ser de afiliado: si contratas a través de ellos recibimos una comisión, sin coste extra para ti. Más información.

Son las nueve y media. Te ha entrado un email de un cliente cabreado, largo y con dos errores de facturación de por medio. Lo copias entero, lo pegas en ChatGPT y escribes: «redáctame una respuesta educada». En doce segundos tienes el borrador.

Acabas de hacer algo que suena inofensivo y que legalmente no lo es: has entregado el nombre, el correo, el historial de compras y el cabreo de una persona identificable a una empresa de California. Sin contrato de por medio. Y sin que esa persona lo sepa.

Esto no va de dejar de usar la IA. Va de que hay una línea, la línea es bastante clara, y la mayoría de la gente no sabe ni que existe. Aquí tienes dónde está, qué pasa si la cruzas y cómo ponerte en regla esta misma mañana sin gastar un euro.

Lo que de verdad ocurre cuando pegas datos de un cliente

El error de base es tratar a ChatGPT como si fuera un buscador. No lo es. Cuando escribes en Google «cómo redactar una disculpa», no le das a Google los datos de nadie. Cuando pegas el email completo, sí.

En lenguaje del RGPD: tú eres el responsable del tratamiento de los datos de tus clientes. La herramienta de IA a la que se los mandas pasa a ser un encargado del tratamiento. Y el artículo 28 del Reglamento dice que entre responsable y encargado tiene que haber un contrato firmado. Si no lo hay, la infracción existe desde el primer prompt, aunque nadie se entere nunca.

Hay un segundo problema, menos jurídico y más práctico: el plan gratuito y los de pago personales entrenan el modelo con lo que escribes, por defecto. Tú no controlas dónde acaba eso. Es la diferencia entre enseñarle un documento a un asesor con secreto profesional y dejarlo fotocopiado en una sala de espera.

La lista corta: esto no se pega nunca

Si te cuesta acordarte de normativa, quédate con esta lista. Nada de lo que hay aquí debe entrar jamás en un chat de IA sin un plan de empresa firmado detrás:

• DNI, NIE o pasaporte de cualquier persona física. Tampoco número de la Seguridad Social.
• Datos de salud: bajas, partes médicos, alergias, adaptaciones de puesto. Son categoría especial, el nivel máximo de protección.
• Nóminas, contratos laborales y currículums. Un CV es un paquete de datos personales de alguien que te los dio para otra cosa.
• IBAN, tarjetas y extractos bancarios, tuyos o de terceros.
• Contraseñas, claves de API y tokens. Esto no es RGPD, es sentido común, y aun así pasa todos los días.
• Documentos con cláusula de confidencialidad: contratos con NDA, presupuestos de un cliente, planos, precios pactados.
• Tu base de datos de clientes, entera o en trozos. «Analízame este Excel» es la forma más rápida de ceder mil registros de golpe.
• Datos de menores y cualquier cosa que revele ideología, religión, salud, orientación sexual o afiliación sindical.

La regla de los tres segundos: antes de pulsar Enter, pregúntate si una persona concreta podría ser identificada con lo que has pegado. Si la respuesta es sí o quizá, no lo pegues así.

Lo que sí puedes pegar (que es casi todo)

Aquí viene la buena noticia, porque el 90 % del trabajo útil no necesita ningún dato personal:

• El caso, sin los nombres. «Un cliente reclama porque le hemos facturado dos veces un pedido de 340 €» funciona exactamente igual de bien que pegar el email entero. Y ya no hay datos personales.
• Tus propios textos: descripciones de producto, condiciones, textos de la web, tus notas.
• Datos agregados: «he vendido un 12 % menos este trimestre», sin listados.
• Plantillas y estructuras. Le pides el molde y luego rellenas tú los huecos con los datos reales, en tu ordenador.

Ese último punto es la técnica que más rendimiento da: convertir el trabajo en plantillas reutilizables en vez de en consultas de usar y tirar. Es justo lo que explicamos en la guía de cómo escribir buenos prompts, con 20 ejemplos, y encaja igual de bien con el flujo de responder emails de clientes con IA: el borrador lo hace la IA con el caso anonimizado, los nombres los pones tú al final.

Gratis, Plus y plan de empresa no son lo mismo

Esta es la parte que casi nadie mira y que cambia por completo tu situación legal:

• Gratis, Plus y Pro (cuenta personal): por defecto tus conversaciones sí se usan para entrenar. Se puede desactivar, pero viene activado de fábrica.
• Planes de empresa y la API: por defecto no se entrena con tus datos, salvo que lo actives tú expresamente.
• Contrato de encargado: OpenAI publica un anexo de tratamiento de datos (DPA) que, si estás en el Espacio Económico Europeo, se firma con su filial irlandesa. Es lo que te da cobertura para el artículo 28.
• Residencia de datos en Europa: existe, pero solo en los planes altos y no viene activada: hay que configurarla al crear el espacio de trabajo.

Traducido: pasar del plan personal al plan de empresa no es una mejora de funciones, es un cambio de régimen jurídico. Si vas a meter información de clientes en la IA de forma habitual, ese salto no es opcional. Y si quieres que la IA conozca tu negocio a fondo sin subirle documentos sueltos a un chat público, la alternativa correcta es montarla sobre tus propios documentos en un entorno controlado, que es exactamente el debate que desmenuzamos en fine-tuning o RAG para tu pyme.

«Ya, pero yo borro el chat»

Borrar no siempre borra, y hay un precedente que lo dejó claro. En mayo de 2025, un juzgado de Nueva York, dentro del pleito de The New York Times contra OpenAI, obligó a la empresa a conservar indefinidamente los registros de conversaciones, incluidas las que los usuarios habían borrado. Afectaba a las cuentas gratuitas, Plus, Pro y Team, y a la API sin acuerdo de retención cero. Quedaban fuera los planes Enterprise y Edu.

Esa orden se levantó en octubre de 2025, así que hoy no está vigente con ese alcance. Pero la lección es permanente: lo que sale de tu ordenador deja de estar bajo tu control, y un litigio ajeno, en otro país, puede congelar durante meses datos que tú creías eliminados. Es el mismo sesgo de exceso de confianza que analizamos en las 5 claves para evitar errores al usar IA en tu pyme: la herramienta parece privada porque la usas tú solo, y no lo es.

Los cinco ajustes de diez minutos

Nada de esto cuesta dinero salvo el punto 3, y ninguno lleva más de dos minutos:

1. Desactiva el entrenamiento. Perfil → Ajustes → Controles de datos → «Mejorar el modelo para todos» → apagar. Aplica a las cuentas personales gratis, Plus y Pro.
2. Usa el chat temporal para cualquier consulta con información sensible. No queda en el historial, no alimenta la memoria y no se usa para entrenar. Hay que elegirlo a mano en cada sesión, en el desplegable de arriba.
3. Si tratas datos de clientes, pasa a un plan de empresa y firma el anexo de tratamiento de datos. Sin ese contrato, el resto de medidas son maquillaje.
4. Escribe una hoja de normas internas. Una hoja, de verdad: qué se puede pegar, qué no, qué herramientas están aprobadas y a quién se pregunta en caso de duda.
5. Apunta la IA en tu registro de actividades de tratamiento y revisa si el uso que le das exige una evaluación de impacto. Si tienes asesoría o delegado de protección de datos, esta es la conversación de quince minutos que te ahorra el susto.

Si estás empezando y todavía no tienes claro ni qué herramienta usar, hazlo en este orden: primero decide el caso de uso, luego la herramienta y luego el plan. Lo tienes desarrollado en los cinco pasos para implantar IA sin tirar el dinero y en nuestra comparativa de herramientas de IA para pequeños negocios.

Qué te pueden reclamar de verdad

Las cifras que se leen en titulares —hasta 20 millones de euros o el 4 % de la facturación mundial en el RGPD— están pensadas para multinacionales. A una pyme no le va a caer eso. Lo que sí le cae, y pasa a menudo, es más prosaico: la denuncia de un cliente o de un empleado, un requerimiento de la Agencia Española de Protección de Datos y la obligación de demostrar por escrito qué hiciste con esos datos. Sin contrato de encargado y sin registro, no hay nada que enseñar.

No es la única obligación con fecha que tienes encima: repasa también qué te toca hacer ya con la factura electrónica.

Y hay una fecha reciente que conviene tener en el radar: desde el 2 de agosto de 2026 las autoridades nacionales pueden inspeccionar y sancionar bajo el Reglamento Europeo de IA. En España, el proyecto de ley orgánica de gobernanza de la IA —aprobado por el Consejo de Ministros el 26 de mayo de 2026— sigue en tramitación parlamentaria, así que el régimen sancionador nacional aún puede cambiar. Junto a eso, hay una obligación que ya está en vigor desde febrero de 2025 y que casi nadie cumple: garantizar que tu equipo tiene formación suficiente en IA, proporcional a lo que usa. Una empresa de diez personas tiene la misma obligación que una grande.

Ese punto de la formación es más fácil de resolver de lo que parece, y además es donde antes se nota el retorno: gente que sabe lo que hace pide mejor las cosas y comete menos errores. Lo tratamos en cómo motivar y retener al talento joven en la pyme y el marco normativo completo lo desglosamos en las nuevas regulaciones de la UE sobre el uso de IA.

Cómo queda tu día a día después de esto

Casi igual, pero con un gesto nuevo. Antes de pegar cualquier cosa, tachas los nombres. Eso es todo. Sigues usando la IA para redactar, resumir, comparar y contestar; simplemente le das el caso en vez de la persona.

El resto —desactivar el entrenamiento, el plan de empresa, la hoja de normas— se hace una vez y ya no vuelves a pensarlo. Y a cambio te quitas de encima el único riesgo real que tiene esta tecnología para un negocio pequeño, que no es que la IA se equivoque: es que tú le entregues algo que no era tuyo para entregar.

Si a partir de aquí quieres montar el uso de la IA bien desde el principio, empieza por la base en nuestra guía de ChatGPT para negocios sin tecnicismos, y si tu canal principal es el móvil, mira cómo dejarlo atado en la automatización de la atención al cliente por WhatsApp.

Este artículo es información general, no asesoramiento jurídico. Para un caso concreto, consulta con tu asesoría o con un especialista en protección de datos.

← Volver a todos los contenidos