Cuenta personal o cuenta de empresa para usar herramientas de IA

Empezar a usar una herramienta de IA es fácil: abres una cuenta y ya está. El problema es que esa decisión, que parece técnica, tiene consecuencias sobre los datos. No es lo mismo entrar con un correo personal y un plan gratuito que hacerlo con una cuenta de empresa y un contrato detrás. La diferencia no está en que una sea de fiar y la otra no, sino en quién responde de la información y con qué reglas.

La Ley de IA no obliga a usar cuentas de empresa. Lo que hace el RGPD, cuando hay datos personales, es exigir que el tratamiento esté cubierto y que el proveedor actúe como encargado. La forma práctica de conseguirlo es una cuenta de empresa con contrato de tratamiento de datos, o anonimizar antes de enviar. Una cuenta personal y gratuita suele dejarte fuera de las dos cosas.

Qué cambia entre una cuenta personal y una de empresa

Las diferencias se notan en cuatro frentes:

• Contrato de tratamiento de datos. En una cuenta de empresa el proveedor firma como encargado del tratamiento. En una cuenta personal no hay acuerdo: tú tratas los datos y el proveedor no asume esa condición.
• Control de accesos. Una cuenta de empresa se puede dar de alta, cambiar o quitar a una persona cuando entra o sale de la plantilla, y permite ver quién ha usado qué. Con cuentas personales, la información vive en correos particulares que la empresa no controla.
• Uso de los datos para mejorar modelos. Muchos planes permiten que la información se use para entrenar o mejorar los modelos. Qué ocurre depende del proveedor y del plan, y se lee en sus condiciones.
• Historial y constancia. Una cuenta de empresa deja rastro de uso y se integra en el inventario. Las cuentas sueltas son lo que después nadie recuerda.

Qué comprobar en las condiciones del proveedor

Antes de dar el visto bueno a una herramienta, conviene leer tres cosas en sus condiciones, sin fiarse de la publicidad ni de lo que comentó un compañero:

1. Si firma contrato de encargo de tratamiento y lo pone a tu disposición, no solo en un plan superior.
2. Si usa tus datos para entrenar o mejorar modelos, si eso se puede desactivar y si la desactivación aplica a todo el plan o solo a una parte.
3. Dónde se tratan y se guardan los datos y si salen fuera de la UE. Si el proveedor está fuera, la información sale de la Unión y eso hay que valorarlo.

Es normal que cambien según el plan que contrates. Lo importante es que la respuesta esté escrita y que decidas con ella delante.

Cuándo basta con anonimizar y cuándo no

Anonimizar es quitar lo que identifica a una persona: nombres, correos, teléfonos, número de historia o de cliente, importes que permitan reconocerla. Bien hecho, la información deja de ser personal y la herramienta puede usarse para muchas tareas: reescribir un texto, ordenar ideas, resumir un documento genérico.

Pero no siempre basta. Anonimizar del todo es más difícil de lo que parece: a veces el conjunto de detalles, aunque no haya nombre, permite reconocer a alguien. Y hay información que no debería salir, aunque no sea personal: código propio, contratos, precios, estrategia. La regla sencilla es esta: si no lo mandarías por correo a alguien de fuera de la empresa, tampoco va al chat.

Cuando la tarea exige los datos reales y no se pueden anonimizar, la vía razonable es una cuenta de empresa con contrato de tratamiento y, si toca, revisar si el uso es de alto riesgo. Si la IA decide sobre personas (selección, crédito o evaluación), es alto riesgo, y sus obligaciones están aplazadas al 2 de diciembre de 2027.

Lista de comprobación antes de dar de alta una herramienta

• ¿Con qué cuenta se va a usar? De empresa, con contrato, salvo decisión consciente y anotada.
• ¿Qué datos van a pasar por ella? Si hay personales, ¿hay contrato de tratamiento?
• ¿El proveedor entrena con tus datos? ¿Se puede desactivar según el plan?
• ¿Dónde se tratan y se guardan? ¿Salen de la UE?
• ¿Quién tiene acceso y cómo se retira al salir una persona?
• ¿Para qué tareas está permitida y para qué no? Queda escrito y conocido.
• ¿Hace falta avisar a los clientes por chatbot o por contenido generado?
• ¿Alguien con nombre responde de esa herramienta?
• ¿Está apuntada en el inventario y en la política de uso?

No hace falta responder a todo con un sí para empezar. Lo que se valora es tener medidas proporcionadas y poder demostrarlas. La formación del artículo 4, en vigor desde el 2 de febrero de 2025, es una obligación de medios: se valora que haya medidas razonables y constancia de ellas, no que cada persona alcance un resultado concreto. La AESIA, la autoridad española de supervisión, puede comprobar esas medidas desde el 2 de agosto de 2026.

Si quieres ordenar esto sin perder una tarde, el diagnóstico gratuito te dice qué información sale hacia la IA y por dónde empezar. El inventario de herramientas en una tarde te ayuda a listarlas, y en ¿Se puede usar ChatGPT con datos de clientes? tienes el detalle del contrato de tratamiento.

Este artículo es orientativo y no es asesoramiento jurídico.