RGPD y ChatGPT: qué datos personales puede usar tu empresa

Mucha gente piensa que la Ley de IA y el RGPD son lo mismo. No lo son. La primera ordena el uso de la inteligencia artificial; el segundo, el tratamiento de datos personales. Cuando un empleado pega en un asistente el correo de un cliente, el problema suele ser del RGPD, y está en vigor desde hace años.

Qué cuenta como dato personal

Cualquier información sobre una persona identificada o identificable: nombre, correo, teléfono, DNI, dirección, una nómina, un historial de compras, una foto. También lo son datos que, combinados, permiten reconocer a alguien aunque no figure su nombre.

Los datos de salud, de origen, de ideología o de orientación sexual son categorías especiales con protección reforzada.

Qué ocurre cuando se pegan en una IA

Al introducir datos personales en una herramienta de IA los estás comunicando a un tercero, el proveedor. Para que eso sea correcto, el RGPD pide varias cosas:

• Una base legal para tratar esos datos con esa finalidad.
• Información a las personas sobre quién los recibe y para qué.
• Un contrato de encargo del tratamiento con el proveedor, si trata datos por cuenta de tu empresa.
• Garantías cuando los datos salen del Espacio Económico Europeo, como las cláusulas contractuales tipo.

Con una cuenta personal y gratuita, casi nunca hay contrato, y las condiciones del proveedor pueden permitir usos de los datos que tu empresa no ha previsto. Lo que haga cada proveedor figura en su documentación y en su contrato: léelos.

Cuenta personal, de empresa o a través de API

• Cuenta personal: sin contrato con tu empresa. Evita datos personales o confidenciales.
• Cuenta de empresa o API: suele venir con un contrato de tratamiento y opciones sobre el uso de los datos para mejorar el modelo. Compruébalo en la documentación del plan que contratas.
• Entorno privado o modelo local: los datos permanecen en tu infraestructura, lo que reduce el riesgo, aunque la seguridad depende de ti.

Puedes ver cómo distinguirlas en cuenta personal o de empresa para usar IA.

Reglas sencillas para el equipo

1. Quita lo que identifica antes de pegar. Cambia nombres y datos de contacto por marcadores como «Cliente A».
2. No pegues categorías especiales ni documentos completos de clientes.
3. Usa solo herramientas aprobadas, con cuenta de empresa.
4. Avisa si algo se ha pegado por error. Cuanto antes se sepa, antes se puede valorar qué hacer.
5. Anota las herramientas que tratan datos en el registro de actividades de tratamiento, si tu empresa debe llevarlo.

Si se pegaron datos de clientes

Si ya ha pasado, el siguiente paso es valorar qué datos fueron, a qué proveedor y con qué condiciones. Hay un artículo que lo detalla: qué hacer si pegan datos de clientes en una IA. Y la guía de ChatGPT y datos de clientes resume las reglas básicas. Información orientativa, no asesoramiento jurídico.

Un aviso en el momento de pegar

Si en tu equipo se pegan datos de clientes en una IA, Acta Guarda avisa en el momento y deja cambiarlos por marcas. Puedes probarlo en la portada sin instalar nada.