«Se lo pego a ChatGPT y que me lo resuma.» Esa frase se dice cada día en oficinas de Oviedo, Gijón y Avilés, y lo que se pega no siempre es un texto inocente: es un listado de clientes con DNI, el parte de baja de un empleado o un contrato firmado. La duda sobre ChatGPT y protección de datos no se resuelve con un sí o un no. Depende de tres cosas: qué plan tienes contratado, qué has firmado con el proveedor y qué datos concretos estás pegando en la ventana.

El malentendido de base es este: casi todo el mundo cree que la diferencia entre la cuenta gratis y el plan de empresa es la potencia. No lo es. El modelo que responde es prácticamente el mismo. Lo que cambia es el contrato: si tus textos se usan para entrenar, cuánto tiempo se guardan, dónde se alojan y si existe un documento firmado que te cubra ante la Agencia Española de Protección de Datos. Vamos con lo que puedes meter, lo que no, qué se firma y cómo montar una política de uso en un folio.

Quién responde ante la ley: tú, no OpenAI

Empecemos por lo incómodo. Cuando pegas datos de un cliente en una herramienta de IA, el responsable del tratamiento sigues siendo tú. El proveedor —OpenAI, Anthropic, Google— actúa como encargado: trata esos datos por cuenta tuya. Si hay una fuga o una reclamación, la AEPD no llama a San Francisco: llama a tu empresa.

El marco es el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, y en España la Ley Orgánica 3/2018. Tres artículos que conviene tener localizados: el 28, que exige contrato de encargo con cualquier proveedor que trate datos por ti; el 30, el registro de actividades donde deberías haber anotado ya que usas IA; y el 32, medidas de seguridad. Las sanciones llegan hasta 20 millones de euros o el 4 % de la facturación mundial anual. Nadie multará con 20 millones a una peluquería, pero una multa proporcionada a una pyme se cuenta en miles de euros y el daño reputacional no se paga con dinero.

Hay precedente con esta herramienta: el regulador italiano bloqueó ChatGPT en marzo de 2023 y en diciembre de 2024 sancionó a OpenAI con 15 millones de euros, entre otros motivos por falta de base legal adecuada e información insuficiente. El proveedor ha ido corrigiendo. Tu obligación como cliente sigue intacta.

La diferencia real entre la cuenta gratis y el plan de empresa

Aquí está el nudo. Simplificando los planes de ChatGPT en tres bloques:

• Cuentas de consumo (gratis, Plus, Pro). Son personales. Por defecto, lo que escribes puede usarse para mejorar los modelos salvo que lo desactives a mano. No hay contrato de encargo con tu empresa ni panel de administración: si el empleado se va, sus conversaciones con datos de tus clientes se van con él.

• Planes de equipo (Team). Espacio de trabajo compartido, usuarios gestionados por un administrador y, la clave, los datos del espacio no se usan para entrenar por defecto. Puedes firmar el acuerdo de tratamiento de datos.

• Enterprise y API. Lo mismo más controles: retención configurable, registros de auditoría, inicio de sesión único y opciones de residencia de datos en Europa.

Traducción para un negocio de veinte personas: no es «la de pago va más rápida». Es que en una cuenta personal estás cediendo datos de terceros sin cobertura contractual y en un plan de empresa no. Si tu equipo ya usa IA por su cuenta, esto no es una hipótesis, es tu situación actual: lo desglosamos en el artículo sobre el uso de IA a escondidas dentro de la empresa.

Qué datos no se pegan nunca, aunque tengas plan de empresa

Contratar el plan bueno no convierte el chat en una caja fuerte. La lista corta, para imprimir y colgar:

• Datos de salud. Diagnósticos, partes de baja, informes médicos, historiales de fisioterapia o psicología. Son categoría especial del artículo 9 del RGPD y su tratamiento está prohibido salvo excepciones tasadas.

• Documentos de identidad completos. DNI, NIE, pasaporte, número de la Seguridad Social.

• Datos laborales sensibles. Nóminas con nombre, expedientes disciplinarios, evaluaciones de desempeño, afiliación sindical, bajas por enfermedad.

• Datos bancarios. IBAN, tarjetas, remesas. Ninguna necesidad de negocio justifica pegarlos en un chat.

• Datos de menores y de cualquier persona en situación vulnerable.

• Secretos que no son datos personales pero te hunden igual: tu lista de precios de compra, el contrato con tu mayorista, el código de tu producto.

Y una regla que resuelve el 80 % de los casos sin abogado: seudonimiza. La IA no necesita saber que la clienta es Marta Fernández, del barrio de La Arena; le vale «Cliente A». Sustituye nombres por iniciales, DNI por «XXXXX», empresas por letras. El resultado te sirve igual y el riesgo baja a casi cero. Es el hábito más barato y el que más se salta la gente.

Qué se firma: el encargo de tratamiento y sus subencargados

El artículo 28.3 del RGPD dice qué debe contener el contrato con tu proveedor. No hace falta redactarlo: OpenAI, Anthropic y Google publican su acuerdo de tratamiento de datos y se acepta desde el panel de administración de la cuenta de empresa. Lo que sí tienes que hacer es aceptarlo, descargarlo y archivarlo con tu documentación de cumplimiento. Un contrato que está en la web del proveedor pero no en tu carpeta no te sirve en una inspección.

Cuando lo tengas delante, comprueba cinco cosas:

• Objeto y duración del tratamiento, y que los datos se traten solo siguiendo tus instrucciones.

• Confidencialidad del personal del proveedor con acceso a los datos.

• Subencargados: el proveedor subcontrata nube, almacenamiento y moderación. Debe publicar la lista, avisarte de los cambios y dejarte oponerte.

• Asistencia ante brechas. Tú tienes 72 horas para notificar a la AEPD desde que conoces el incidente, así que necesitas que te avisen «sin dilación indebida».

• Devolución o supresión de los datos al terminar el contrato.

Si vas a usar IA para algo que evalúe a personas de forma sistemática —cribar currículums, puntuar clientes, fijar precios individuales—, súmale una evaluación de impacto del artículo 35 y repasa el 22, el de las decisiones automatizadas: ahí un humano tiene que poder revisar y revertir.

Dónde acaban tus datos: transferencias fuera de la UE

Los grandes proveedores son estadounidenses y procesan en servidores repartidos por el mundo. Sacar datos personales de la UE está regulado en el capítulo V del RGPD y hoy hay dos mecanismos válidos que debes verificar en el contrato: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., en vigor desde julio de 2023 y aplicable si el proveedor está certificado, y las cláusulas contractuales tipo aprobadas por la Comisión Europea, el mecanismo de reserva.

La opción cómoda, si tu plan la ofrece, es la residencia de datos en Europa: que el procesamiento y el almacenamiento se queden en centros de datos europeos. Está en los planes de empresa y en la API, no en las cuentas personales. Compruébalo en la documentación vigente antes de firmar, porque esta parte cambia cada pocos meses. Para un negocio local no se trata de montar la arquitectura de un banco, sino de poder responder tres preguntas: qué herramienta usas, con qué contrato y dónde se procesan los datos.

Entrenamiento y retención: los dos ajustes que sí controlas

Se confunden todo el rato y son cosas distintas.

Entrenamiento es si tu texto se usa para mejorar el modelo. En cuentas personales suele venir activado y se desactiva en ajustes, en el apartado de controles de datos. En planes de empresa y en la API, la posición estándar del sector es que no se entrena con datos de clientes salvo autorización expresa. Anthropic mantiene esa exclusión en sus planes comerciales y de API, mientras que en los personales cambió las condiciones y también toca revisar el ajuste. Moraleja: entra hoy en la configuración de cada cuenta de tu equipo y compruébalo tú. No lo des por hecho.

Retención es cuánto se guarda la conversación. Aunque desactives el entrenamiento, puede conservarse un plazo por seguridad y prevención de abuso —lo habitual son 30 días— y en los planes empresariales se configura o se pide retención cero en la API. Si borras un chat, desaparece de tu vista al momento y de los sistemas del proveedor en un plazo corto, no al instante. Dos ajustes, cinco minutos por cuenta: es la acción con mejor relación esfuerzo-riesgo de todo el artículo.

Tu política de uso de IA en un folio

Las políticas de treinta páginas no las lee nadie. Una de un folio, entregada y firmada, funciona y además demuestra diligencia. Ocho puntos:

• Herramientas autorizadas. Nombre y plan concretos. Lo demás, prohibido sin pedirlo.

• Cuentas de empresa obligatorias. Nada de cuentas personales para trabajo.

• Lista de datos prohibidos. La del apartado anterior, en cinco líneas.

• Regla de seudonimización. Iniciales y códigos en vez de nombres, siempre.

• Revisión humana obligatoria antes de enviar nada a un cliente o a la Administración.

• Prohibido pegar documentos completos de terceros sin quitar antes lo identificativo.

• Qué hacer si metes la pata: a quién avisas y en cuánto tiempo, sin castigo por avisar rápido. Si hay castigo, nadie avisa.

• Responsable con nombre y apellidos, y fecha de revisión semestral.

Añade dos gestos administrativos baratos: anota la IA en tu registro de actividades de tratamiento y revisa si tu información de privacidad para clientes menciona el uso de proveedores tecnológicos. Si aún estás en la casilla de salida, la guía de inteligencia artificial para pymes ordena el punto de partida y las tareas que puede automatizar un negocio local te dan por dónde empezar.

Cuando quien pega los datos es tu gestoría o tu agencia

Escena cada vez más frecuente: tú no usas IA, pero tu gestoría sí y le mandas las nóminas. O tu agencia pega tu base de clientes en una herramienta para segmentar campañas. En ese caso tú sigues siendo el responsable, tu proveedor es el encargado y la herramienta de IA es un subencargado. La cadena entera cuelga de ti.

Tres preguntas por correo, y guarda la respuesta:

• ¿Usáis herramientas de IA para tratar mis datos? ¿Cuáles y con qué plan?

• ¿Están declaradas como subencargados en nuestro contrato de encargo? Si no, actualizadlo.

• ¿Qué datos míos entran ahí y con qué medidas de seudonimización?

Si eres tú el proveedor —una asesoría, una clínica, una agencia—, adelántate y ponlo por escrito en tu propuesta: se ha convertido en argumento de venta, no en carga. Y ojo con el otro extremo: si tratas datos de salud o expedientes laborales, probablemente lo que tocaba no era pegar nada en un chat, sino montar una automatización cerrada donde los datos no salgan de tu entorno. Ese cálculo lo desglosamos en cuánto cuesta un chatbot de IA para una empresa. Si dudas de tu caso concreto, plantéanoslo y te decimos qué falta.

Último aviso para no mezclar normas: el RGPD regula los datos personales que tu equipo mete en la herramienta; el Reglamento europeo de IA regula otra cosa, entre otras que un bot que habla con tus clientes se identifique como IA, obligación en vigor desde el 2 de agosto de 2026 y que explicamos en qué obliga el reglamento a los chatbots. Dos normas, dos deberes, se cumplen por separado.

Preguntas frecuentes

¿Cómo funciona ChatGPT para empresas y en qué se diferencia de la cuenta normal?

De cara al usuario funciona igual: la misma ventana y los mismos modelos. Lo que añade es la capa de empresa: espacio de trabajo compartido con administrador, control de altas y bajas, garantía contractual de que el contenido no se usa para entrenar, retención configurable y posibilidad de firmar el acuerdo de tratamiento de datos. La diferencia no es de potencia, es de gobierno y de contrato.

¿Necesito el ChatGPT de pago para empresas o me vale el gratis?

Depende de qué metes. Si tu equipo lo usa para redactar textos genéricos, traducir o dar ideas sin datos de terceros, la cuenta gratuita cumple. En el momento en que entra un solo dato personal de un cliente, un proveedor o un empleado, necesitas cuenta de empresa: sin contrato de encargo estás cediendo datos de terceros sin cobertura, y el responsable eres tú, no el empleado que lo pegó.

¿Cuánto cuesta ChatGPT para empresas al mes?

Como orientación, los planes de equipo se mueven en el entorno de 20 a 30 euros por usuario y mes, con descuento en facturación anual y un mínimo de usuarios; Enterprise se negocia a medida y parte de volúmenes mayores. Los precios cambian a menudo, así que consulta la tarifa vigente. Para una empresa de cinco personas hablamos de un orden de magnitud de 100 a 150 euros al mes: menos que una hora de asesoría legal para arreglar un problema de datos.

¿Cómo se contrata ChatGPT para empresas y qué hay que firmar?

El alta son minutos: creas el espacio con el correo corporativo, das de alta a los usuarios y pagas. Lo que importa viene después, desde el panel de administración: aceptar el acuerdo de tratamiento de datos, descargarlo y archivarlo; revisar la lista de subencargados; comprobar los ajustes de entrenamiento y retención; y anotar la herramienta en tu registro de actividades. Sin esos cuatro pasos has comprado una licencia, pero no has cumplido nada.

¿Qué chatbot es gratis y por qué eso es un problema con los datos de clientes?

Hay versión gratuita de casi todos: ChatGPT, Claude, Gemini, Copilot y varios modelos abiertos. El problema no es que sean gratis, es que son cuentas personales: no hay contrato con tu empresa, no controlas la retención, el ajuste de entrenamiento suele venir activado y, si el empleado se marcha, no tienes acceso ni capacidad de borrado sobre lo que subió. Gratis para el usuario; sin cobertura para la empresa.

¿Claude o ChatGPT para empresas: cuál protege mejor los datos?

No hay ganador claro, y desconfía de quien te lo venda. Ambos ofrecen en sus planes de empresa y API contrato de encargo, exclusión del entrenamiento por defecto, controles de retención y mecanismos válidos de transferencia internacional. Las diferencias están en el detalle de cada plan y cambian cada pocos meses: el criterio no es la marca, es qué has firmado y cómo lo has configurado. Si lo que quieres comparar es capacidad y no condiciones de datos, mira qué modelo de IA elegir según el tipo de tarea; y si buscas que la IA trabaje dentro de tus herramientas, revisa cómo funciona Claude dentro de Slack para equipos pequeños.

¿Tu equipo ya usa IA y no sabes con qué cuentas ni con qué datos? Es el punto de partida más común. Escríbenos y hacemos el inventario contigo: qué herramientas hay dentro, qué contratar, qué firmar y qué política escribir. Un folio, no un máster.