ChatGPT y el RGPD / AI Act: la guía de cumplimiento para su empresa
·
Actualizado el ·
Por 
Aymeric Guyard · 10 min de lectura
En resumen
- ChatGPT puede utilizarse conforme al RGPD, pero no en cualquier versión. La versión gratuita se desaconseja para cualquier dato personal (entrenamiento por defecto, no hay DPA). En la empresa: versión pro (Team/Enterprise) con DPA, entrenamiento desactivado, transferencias fuera de la UE enmarcadas y gobernanza interna. ChatGPT es también un modelo de IA de uso general sujeto al AI Act desde el 2 de agosto de 2025.
Presentación y datos tratados
ChatGPT es el asistente conversacional de OpenAI (empresa estadounidense), basado en los modelos GPT. Para el Espacio Económico Europeo, en principio es OpenAI Ireland Limited quien es responsable del cumplimiento del RGPD. ChatGPT existe en versiones Free/Plus (gran público) y Team/Enterprise (empresa): esta distinción condiciona todo el cumplimiento.
Tres flujos transitan por los servidores de OpenAI: el contenido de sus intercambios (prompts y respuestas — lo más sensible: nombres de clientes, e-mails, datos de RRHH o de salud), los datos de cuenta, y los datos técnicos (IP, navegador, uso). En Free/Plus, el entrenamiento sobre sus conversaciones está activado por defecto (desactivación manual, no retroactiva). En Team/Enterprise, los datos profesionales no se utilizan para el entrenamiento por defecto. Estando los servidores en Estados Unidos, se produce una transferencia fuera de la UE, enmarcada por cláusulas contractuales tipo (SCC).
Los riesgos para su empresa
Cuatro riesgos principales: fuga de datos, responsabilidad jurídica (la empresa responde de los actos de sus empleados), daño a la imagen, sanción regulatoria. Según el barómetro IFOP/Talan 2025, el 43 % de los usuarios de IA generativa la usan en el trabajo pero solo el 9 % mediante una herramienta proporcionada por la organización; la «shadow AI» ya está en la empresa.
Principales riesgos RGPD:
- Base jurídica ausente para transmitir los datos de un tercero a OpenAI.
- Minimización: a menudo se introduce más de lo necesario.
- Transferencia fuera de la UE: alojamiento US, riesgo de acceso por las autoridades estadounidenses (CLOUD Act, FISA), tema sensible desde Schrems II.
- Derechos de las personas difíciles de ejercer (acceso, rectificación, supresión).
- Decisión automatizada: el artículo 22 se aplica si ChatGPT alimenta una decisión que afecta a una persona.
La CNIL y el Comité Europeo de Protección de Datos (EDPB), que publicó un informe dedicado sobre ChatGPT en mayo de 2024, han confirmado que estas herramientas entran en el ámbito del RGPD desde que tratan datos personales.
Las obligaciones RGPD
- Firmar un DPA con OpenAI (únicamente Team/Enterprise/Business).
- Inscribir el uso en el registro de tratamientos.
- Realizar una EIPD en caso de riesgo elevado (datos sensibles, elaboración de perfiles a gran escala, vigilancia sistemática).
- Informar a las personas interesadas.
- Enmarcar las transferencias fuera de la UE (SCC, localización verificada).
- Asegurar y gobernar: carta IA, formación, DPO.
Las obligaciones AI Act
ChatGPT es un modelo de IA de uso general (GPAI): las obligaciones correspondientes se aplican desde el 2 de agosto de 2025. Del lado del proveedor (OpenAI): documentación técnica, información de los actores posteriores, política de derechos de autor, resumen de los datos de entrenamiento. Del lado del implementador (su empresa): transparencia (artículo 50 — señalar el uso de una IA y los contenidos generados), supervisión humana, alfabetización IA de los equipos (obligación aplicable desde el 2 de febrero de 2025). Atención: un uso en RRHH o de decisión puede hacer que el sistema pase a «alto riesgo» (Anexo III). Ver la guía AI Act.
Ciberseguridad y buenas prácticas
Riesgos ciber: fuga mediante los prompts, shadow AI mediante cuentas personales (invisible para el departamento TI), prompt injection sobre asistentes conectados a sus datos, cuentas comprometidas que exponen el historial. Las entidades NIS2 deben integrar estos riesgos.
Reflejos: versión pro + DPA; entrenamiento desactivado; nunca datos sensibles; pseudonimización; carta IA; formación; referente IA; documentación en el registro.
| Versión | DPA | Entrenamiento sobre sus datos | Uso recomendado |
|---|---|---|---|
| Free / Plus | No | Sí por defecto (opt-out) | Nunca datos personales |
| Team | Sí | No por defecto | PYME, datos no sensibles |
| Enterprise | Sí | No por defecto | ETI/grandes cuentas, residencia de los datos |
| Alternativas | Sí | No | Mistral (FR), Azure OpenAI (UE), on-premise |
Sanciones, conclusión y recomendaciones
Sanciones (dos regímenes acumulables): RGPD hasta 20 M€ o el 4 % de la facturación mundial; AI Act hasta 35 M€ o el 7 % para las prácticas prohibidas, 15 M€ o el 3 % para la mayoría de los demás incumplimientos. En marzo de 2023, la autoridad italiana (Garante) suspendió temporalmente ChatGPT y después pronunció a finales de 2024 una multa de 15 millones de euros contra OpenAI.
Recomendación: ChatGPT no está prohibido ni es «conforme por arte de magia» — todo depende de la versión, de los datos introducidos y de la gobernanza. El verdadero riesgo no es la herramienta sino su uso no enmarcado mediante cuentas personales. Retome el control en lugar de prohibir: versión pro enmarcada, carta IA, formación, documentación, gobernanza RGPD + AI Act unificada. Compare con los demás asistentes: Copilot, Gemini, Claude, Mistral.
Pase a la acción
Evalúe el nivel de riesgo RGPD y AI Act de sus usos de ChatGPT con el autodiagnóstico Data Comply One.
Descubrir el software AI Act →Probar mi cumplimiento gratuitamente