ChatGPT en la empresa: ¿qué dicen el RGPD, la AI Act y el secreto empresarial?
·
Actualizado el ·
Por 
Aymeric Guyard · 5 min de lectura
El verdadero riesgo no es la herramienta, es la versión
No todas las ofertas de OpenAI son equivalentes jurídicamente, y la mayoría de los incidentes provienen de ahí.
| Versión | Entrenamiento con sus datos | Marco contractual | Uso profesional |
|---|---|---|---|
| ChatGPT gratuito / Plus (cuenta individual) | Sí por defecto (desactivable en la configuración) | Condiciones de uso general, sin acuerdo de encargo del tratamiento | Debe prohibirse para cualquier dato personal o confidencial |
| ChatGPT Team / Enterprise | No por defecto | Acuerdo de tratamiento de datos (DPA), compromisos de confidencialidad, administración centralizada | Aceptable con parametrización y carta |
| API OpenAI | No por defecto | DPA, retención limitada | Para las integraciones desarrolladas por la empresa |
OpenAI propone asimismo opciones de residencia de los datos en Europa para sus ofertas profesionales y su API; verifique este punto en su contrato, así como el plazo de conservación de las conversaciones y los encargados del tratamiento posteriores enumerados en el DPA.
RGPD: las cuatro reglas que se aplican a cada prompt
- Minimización (artículo 5): un prompt que contenga el nombre de un cliente, un expediente de RRHH o un historial médico constituye un tratamiento de datos personales. La regla de oro operativa: anonimizar o seudonimizar antes de enviar, y prohibir los datos sensibles (salud, opiniones, biometría) en las herramientas generalistas.
- Base jurídica e información (artículos 6 y 13): el uso interno se apoya en general en el interés legítimo, siempre que se informe a los interesados (empleados a través de la carta y la política de confidencialidad de RRHH, clientes si sus datos transitan por la herramienta).
- Encargo del tratamiento (artículo 28): sin DPA, no pueden tratarse datos personales. Este es el criterio que descalifica las cuentas individuales gratuitas para cualquier uso que implique a terceros.
- Transferencias fuera de la UE (capítulo V): verifique el mecanismo de transferencia (cláusulas contractuales tipo, certificación Data Privacy Framework) y la opción de tratamiento en Europa cuando exista.
La autoridad francesa de protección de datos (CNIL) ha publicado recomendaciones sobre el desarrollo y la utilización de los sistemas de IA y ha hecho de los datos de entrenamiento una prioridad de control; el comité europeo de protección de datos ha coordinado, por su parte, los trabajos de las autoridades sobre ChatGPT.
AI Act: sus dos obligaciones inmediatas como responsable del despliegue
Al utilizar ChatGPT, su empresa es responsable del despliegue de un sistema de IA (véase el artículo sobre las obligaciones del AI Act 2026). Existen dos obligaciones en vigor:
- Alfabetización en IA (artículo 4): formar a los empleados que lo utilizan, en un nivel proporcional a su función. La prueba de formación es el primer documento solicitado en caso de inspección o litigio.
- Transparencia (artículo 50): si ChatGPT alimenta un agente expuesto a sus clientes (chatbot, respuestas automatizadas), las personas deben saber que están interactuando con una IA; los contenidos generados publicados para informar al público deben ser señalados, salvo revisión humana con responsabilidad editorial.
Los usos de recursos humanos (selección de candidatos, evaluación) estarán sujetos al régimen de «alto riesgo» el 2 de diciembre de 2027: es mejor cartografiarlos desde ahora.
Secreto empresarial: el riesgo que todo el mundo olvida
La protección del secreto empresarial (artículos L.151-1 y siguientes del código de comercio francés, derivados de la directiva 2016/943) se basa en tres condiciones, entre ellas «medidas de protección razonables» adoptadas por la empresa. Introducir una fórmula, un plan estratégico o un código fuente en una herramienta de uso público, sin marco contractual de confidencialidad, puede analizarse como una divulgación incompatible con dichas medidas: la información corre el riesgo de perder su protección jurídica, independientemente de cualquier incidente técnico. Las cláusulas de confidencialidad firmadas con sus propios clientes pueden, además, prohibir este tipo de intercambio. La solución es organizativa: clasificar la información y reservar los elementos confidenciales a las herramientas bajo contrato de empresa.
La carta de uso de la IA en 8 puntos
- Lista de herramientas validadas por la empresa (y de las versiones: cuenta de empresa, no cuenta personal).
- Datos prohibidos en todas las circunstancias: datos sensibles, datos nominativos de clientes fuera de herramienta bajo DPA, secretos empresariales, códigos de acceso.
- Norma de anonimización antes de cualquier prompt que contenga información interna.
- Revisión humana obligatoria antes de cualquier uso externo de un contenido generado (cliente, publicación, contrato): la empresa sigue siendo responsable de los errores y alucinaciones.
- Señalización de la IA en los contenidos y agentes expuestos al público (artículo 50).
- Prohibición de utilizar la IA para decisiones individuales que tengan un efecto jurídico sobre una persona sin validación humana documentada.
- Formación inicial obligatoria y recordatorios anuales (artículo 4 AI Act), con trazabilidad.
- Canal de notificación de incidentes (fuga de datos en un prompt, salida problemática) vinculado al procedimiento de violación de datos.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el software AI Act →Evaluar mi cumplimiento de IA →Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 5, 6, 13, 28, 35 y capítulo V, EUR-Lex.
- Reglamento (UE) 2024/1689 (AI Act), artículos 4, 26 y 50, EUR-Lex.
- Directiva (UE) 2016/943 sobre el secreto empresarial y artículos L.151-1 y siguientes del código de comercio francés, Légifrance.
- CNIL, recomendaciones sobre el desarrollo de sistemas de IA; EDPB, trabajos coordinados sobre ChatGPT.