IA y protección de datos: qué deben tener en cuenta los empleados con ChatGPT y similares

En cuanto introduce datos personales en ChatGPT, Copilot o Gemini, se trata de un tratamiento completamente normal en el sentido del RGPD (art. 4, punto 2): rigen las mismas reglas que en cualquier otro caso, es decir, una base jurídica conforme al art. 6 y los principios del art. 5. La regla cotidiana más importante: no introducir datos personales reales en herramientas de IA gratuitas no autorizadas y sin contrato de encargo de tratamiento. La vía segura es anonimizar los nombres y los identificadores antes de introducirlos.

De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es una información general y no constituye asesoramiento jurídico.

¿Es un prompt de ChatGPT un «tratamiento» en el sentido del RGPD?

Sí. El art. 4, punto 2, del RGPD define el tratamiento de forma muy amplia: cualquier operación realizada sobre datos personales, ya sea por procedimientos automatizados o no. Un prompt que contiene el nombre de un cliente o un número de cliente queda comprendido, con independencia de lo breve o informal que parezca. Por tanto, como en cualquier otro tratamiento, se necesita una base jurídica conforme al art. 6, apartado 1, del RGPD y el cumplimiento de los principios del art. 5, apartado 1. Además, con muchos servicios de IA ocurre lo siguiente: las entradas se transmiten a servidores del proveedor, con frecuencia fuera de la UE, y en algunos servicios pueden reutilizarse para el entrenamiento del modelo.

La regla más importante: no introducir datos personales en herramientas de IA no autorizadas

Los nombres, los datos de contacto, la documentación de candidaturas, los expedientes de personal o las listas de clientes no deben introducirse en herramientas de IA gratuitas que su empresa no haya autorizado. El motivo: sin autorización falta, por lo general, un contrato de encargo de tratamiento conforme al art. 28 del RGPD con el proveedor, y sin ese contrato no pueden confiarse datos personales reales a un proveedor de servicios; esto vale para los servicios de IA igual que para cualquier otro proveedor de nube (más información en nuestro artículo Contrato de encargo de tratamiento (AVV)).

La vía segura: anonimizar antes de introducir los datos

¿Quiere utilizar de todos modos una herramienta de IA para una tarea con datos reales? Sustituya antes de introducirlos los datos identificativos por marcadores neutros: «Reclamación de la Sra. Meier, n.º de cliente 4711» se convierte en «Reclamación de la clienta A», y los lugares y nombres de empresas concretos se convierten en «sede X» y «empresa B». Una IA no necesita nombres reales para redactar un texto o elaborar un resumen: la minimización de datos (art. 5, apartado 1, del RGPD) y el uso de la IA no se excluyen.

Cuando la IA decide sobre personas: art. 22 del RGPD

La situación se vuelve especialmente delicada cuando los sistemas de IA preparan o toman decisiones sobre personas, por ejemplo en una preselección automatizada de candidatos o en una evaluación de solvencia. Según el art. 22, apartado 1, del RGPD, una decisión basada únicamente en un tratamiento automatizado con efectos jurídicos o que afecte significativamente solo es admisible con carácter excepcional. Una persona debe tener la posibilidad de revisar el resultado e intervenir. En la práctica: la IA puede asistir, por ejemplo preclasificando candidaturas, pero la responsabilidad y la decisión final siguen siendo de la persona.

Seguridad y evaluación de impacto en los sistemas de IA

A los sistemas de IA se les aplican los mismos requisitos de seguridad que a cualquier otro tratamiento: medidas técnicas y organizativas adecuadas, proporcionadas al riesgo (art. 32, apartado 1, del RGPD). Cuando sea probable un alto riesgo para los derechos y libertades de las personas, por ejemplo en caso de tratamiento a gran escala o de tecnología novedosa, suele ser necesaria una evaluación de impacto relativa a la protección de datos (EIPD) (art. 35, apartado 1, del RGPD). Como empleado individual no tiene que elaborar una EIPD, pero debería comunicar con antelación los nuevos proyectos de IA al delegado de protección de datos.

La alfabetización en IA es además obligatoria, conforme a otra ley

Además del RGPD, desde el 2 de febrero de 2025 rige otra obligación independiente: el art. 4 del Reglamento de IA (AI Act) de la UE (Reglamento (UE) 2024/1689) obliga a los proveedores y a los responsables del despliegue de sistemas de IA a velar por un nivel suficiente de alfabetización en IA de su personal. Según la Comisión Europea, para ello no se exige expresamente un certificado; basta con un registro interno de las formaciones. Protección de datos y alfabetización en IA son dos bases jurídicas distintas con un enfoque distinto: el RGPD regula qué datos puede confiar a una IA; el Reglamento de IA, con cuánta competencia maneja en general los sistemas de IA.

Preguntas frecuentes (FAQ)

¿Puedo introducir datos de clientes en ChatGPT?

Solo si la herramienta está autorizada por su empresa y existe un contrato de encargo de tratamiento con el proveedor. En todos los demás casos debería anonimizar antes los nombres y los identificadores.

¿Se puede utilizar la versión gratuita de ChatGPT conforme al RGPD?

Para textos anonimizados sin referencia a personas, en principio no plantea problemas. Para datos reales de clientes o de empleados, en el uso privado gratuito falta por lo general el contrato de encargo de tratamiento necesario.

¿Necesito un contrato de encargo de tratamiento con el proveedor de IA?

Sí, en cuanto el servicio de IA trate datos personales por encargo suyo (art. 28 del RGPD), exactamente igual que con cualquier otro proveedor externo con acceso a los datos.

¿Qué tiene que ver el Reglamento de IA con la protección de datos?

El Reglamento de IA (art. 4) exige, además del RGPD, una alfabetización en IA suficiente de los empleados que manejan sistemas de IA. Ambos textos rigen en paralelo y se complementan, pero no se sustituyen entre sí.

¿Desea transmitir de forma sistemática a su equipo un uso competente y respetuoso con la protección de datos de la IA? Nuestro certificado de IA trata los fundamentos de la IA y el requisito de alfabetización en IA del art. 4 del Reglamento de IA; la formación básica sobre el RGPD más profunda trata la protección de datos; ambos juntos están disponibles en el paquete de cumplimiento normativo. Cómo acreditar en su conjunto la responsabilidad proactiva, lo puede leer en nuestro artículo Responsabilidad proactiva según el RGPD.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), art. 4, punto 2, art. 5, apartado 1, art. 6, apartado 1, art. 22, apartado 1, art. 28, art. 32, apartado 1, art. 35, apartado 1 – eur-lex.europa.eu
• Reglamento (UE) 2024/1689 (Reglamento de IA, AI Act), art. 4 – eur-lex.europa.eu
• Comisión Europea, AI Literacy – Questions & Answers – digital-strategy.ec.europa.eu