¿Es legal usar ChatGPT en tu empresa? Lo que dicen el RGPD y la Ley de IA

Sí: usar ChatGPT, Claude, Gemini o Copilot en el trabajo es legal en España. Ninguna norma lo prohíbe. Lo que la ley regula es cómo se usa: qué datos se introducen, con qué tipo de cuenta, quién revisa lo que sale y qué ha hecho la empresa para que el equipo lo use bien.

Las dos normas que entran en juego son el RGPD, que ordena los datos personales, y el Reglamento europeo de IA (Reglamento (UE) 2024/1689), la llamada Ley de IA. Esto es lo que pide cada una a una empresa que usa estas herramientas.

Lo que pide el RGPD

El RGPD no se fija en la herramienta, sino en los datos. Si en ChatGPT solo entran textos sin datos de personas (un borrador de una oferta genérica, una fórmula de Excel, un resumen de un artículo público), el RGPD apenas tiene nada que decir.

Cambia cuando se pegan datos personales de clientes, pacientes o empleados: un nombre con su teléfono, un DNI, una nómina, un correo con el historial de una reclamación. Entonces la empresa está comunicando esos datos a un proveedor, y necesita:

• Una base legal para tratarlos con esa finalidad.
• Un contrato de encargo del tratamiento con el proveedor, que suele venir con las cuentas de empresa o la API y casi nunca con una cuenta personal gratuita.
• Garantías si los datos salen del Espacio Económico Europeo, como las cláusulas contractuales tipo.
• Informar a las personas de que sus datos pueden tratarse con estas herramientas, en la política de privacidad.

Lo desarrollamos en RGPD y ChatGPT: qué datos personales puede usar tu empresa. Para los datos de salud y otras categorías especiales, la regla práctica es no pegarlos nunca en una herramienta general.

Lo que pide la Ley de IA

La Ley de IA no prohíbe usar asistentes generales en el trabajo. A una empresa que los usa le toca, sobre todo, una cosa ya en vigor y, según para qué los use, alguna más:

• Formación del equipo (artículo 4). Desde el 2 de febrero de 2025, quien usa IA en la empresa debe tener una formación suficiente para su puesto. Es una obligación de medios: se valoran las medidas razonables que tomas y que puedas acreditarlas. Más detalle en la guía de formación obligatoria en IA.
• Aviso de IA (artículo 50). Desde el 2 de agosto de 2026, si un chatbot atiende a tus clientes, deben saber que hablan con una IA. Lo explicamos en el aviso de IA de tu chatbot.
• Decisiones sobre personas. Si usas la IA para seleccionar candidatos, evaluar empleados o decidir un crédito, entras en los usos de alto riesgo, con obligaciones propias a partir del 2 de diciembre de 2027. Tienes ejemplos en qué es un sistema de alto riesgo.

Qué tipo de cuenta usar

La diferencia legal más importante no está en la marca de la herramienta, sino en la cuenta:

• Cuenta personal gratuita: sin contrato con tu empresa y con condiciones pensadas para particulares. Úsala solo para tareas sin datos personales ni información confidencial.
• Cuenta de empresa o API: suele incluir contrato de tratamiento y opciones sobre si los datos se usan para mejorar el modelo. Compruébalo en la documentación del plan que contratas, porque cambia de un proveedor a otro.

Si tu equipo mezcla las dos, empieza por aquí: cuenta personal o de empresa para usar IA.

Lo que nunca conviene pegar

• Documentos de identidad, cuentas bancarias y tarjetas.
• Datos de salud, nóminas y expedientes de empleados.
• Contratos, ofertas o información de clientes marcada como confidencial.
• Contraseñas, claves de acceso y datos de conexión a sistemas.

Cuando hace falta el contexto, se pueden cambiar los datos por marcas («Cliente A», «[DNI]») antes de pegar: el resultado suele ser igual de útil.

Lista para empezar hoy

1. Haz inventario de las herramientas de IA que se usan, con qué cuenta y para qué. Tienes una plantilla de inventario.
2. Deja una política de uso por escrito: herramientas permitidas, datos que no se pegan y revisión antes de enviar. Puedes partir de la plantilla de política de uso de IA.
3. Forma al equipo y guarda constancia de quién se ha formado y cuándo, con el modelo de registro de formación.
4. Pasa a cuentas de empresa a quien trabaja con datos de clientes.
5. Revisa los avisos de tus chatbots y el contenido que publicas hecho con IA.

Un aviso en el momento de pegar

Las reglas funcionan mejor si aparecen justo cuando hacen falta. Acta Guarda, la extensión de Owtli Acta para Chrome y Edge, avisa al pegar un DNI, un IBAN o un teléfono en ChatGPT y otras IA y deja cambiarlos por marcas antes de enviar. Lo que se escribe llega a la IA, pero no se envía a Owtli: solo cuántos avisos hubo.

Si quieres saber en qué punto está tu empresa, el diagnóstico gratuito te lo dice en unos diez minutos.

Este artículo es orientativo y no es asesoramiento jurídico.