Cómo usar ChatGPT, Claude o Copilot con datos de clientes sin incumplir el RGPD: lista de comprobación

Índice del artículo

Lo esencial

• La AEPD reserva en su propia política interna las herramientas de IA externas para tareas sin datos personales ni información confidencial.
• Para usar IA con datos de clientes hace falta un plan empresarial con contrato de encargado del tratamiento y sin uso de los datos para entrenar.
• Las orientaciones de la AEPD sobre IA agéntica (febrero de 2026) piden minimización, mínimos privilegios, control humano y protección frente a la inyección de instrucciones.
• Hay que actualizar el registro de actividades de tratamiento y la información a los clientes cuando un proveedor de IA trate sus datos.

Usar IA generativa en el trabajo diario es ya habitual: resumir correos, redactar respuestas, preparar propuestas, clasificar incidencias. El problema aparece cuando en esas tareas entran datos personales de clientes, empleados o proveedores. Entonces la IA deja de ser solo una herramienta y pasa a ser un tratamiento de datos sujeto al RGPD.

No existe todavía una guía de la AEPD dedicada específicamente a «usar ChatGPT con datos de clientes» en empresas. Pero sí hay documentos oficiales de los que se deducen criterios claros. Esta lista los traduce a la práctica. No sustituye a un asesoramiento jurídico para tu caso.

Lo que han publicado las autoridades

• La política interna de la propia AEPD. En noviembre de 2025 la Agencia publicó su política de uso de IA generativa y, en diciembre, un anexo de implementación. Reserva las herramientas externas (cita expresamente servicios como ChatGPT, Claude, Gemini o Microsoft 365 Copilot) para tareas de bajo impacto sin datos personales ni información confidencial, siempre con revisión humana. Considera de riesgo muy alto que el proveedor reutilice los datos para entrenar. Es una norma interna de la AEPD, no una obligación para las empresas, pero indica con claridad su criterio.
• Orientaciones sobre IA agéntica. En febrero de 2026 la AEPD publicó orientaciones sobre agentes de IA, sistemas que no solo responden sino que actúan (consultan bases de datos, envían correos, crean registros). Insiste en la minimización desde el diseño, la memoria con plazos de borrado, la documentación de proveedores, el control humano y las defensas frente a instrucciones maliciosas.
• Comité Europeo de Protección de Datos. Su Opinión 28/2024, resumida en el informe anual de 2024, establece que un modelo entrenado con datos personales no es anónimo por defecto y que su licitud se valora caso por caso.

Lista de comprobación

Antes de empezar

• Inventario de usos. ¿Qué herramientas de IA usa cada persona y para qué tareas? Muchas empresas descubren usos que nadie había autorizado.
• Política interna de IA. Un documento breve: herramientas permitidas, tareas permitidas, qué datos nunca se introducen y quién responde. La política de la AEPD sirve de modelo.
• Formación. Explica a tu equipo qué datos no deben pegarse en un chatbot y por qué. El Reglamento europeo de IA también pide medidas de alfabetización en IA.

Al elegir la herramienta

• Nada de versiones gratuitas o de consumo para datos de clientes. Usa planes de empresa.
• Contrato de encargado del tratamiento (DPA). Debe existir y cumplir el artículo 28 del RGPD.
• Sin entrenamiento con tus datos. Comprueba por escrito que el proveedor no usa tus contenidos para entrenar sus modelos.
• Dónde se procesan los datos. Si salen del Espacio Económico Europeo, necesitas una garantía válida (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo). Ojo: elegir «región UE» en una plataforma no siempre implica que la IA procese los datos en la UE.
• Conservación y borrado. Cuánto tiempo guarda el proveedor las conversaciones y los registros, y cómo se borran.

Al usarla

• Minimiza. Antes de pegar un texto, elimina nombres, DNI, teléfonos y datos que la tarea no necesita. Muchas veces basta con «el cliente» en lugar del nombre.
• Nunca categorías especiales (salud, ideología, datos biométricos…) salvo con un análisis jurídico previo.
• Revisión humana de todo lo que salga hacia un cliente o tenga efectos sobre una persona.
• Sin decisiones automatizadas con efectos significativos sobre personas (por ejemplo, rechazar a un candidato) sin las garantías del artículo 22 del RGPD.

Si usas agentes o automatizaciones con IA

Basado en las orientaciones de la AEPD sobre IA agéntica:

• Mínimos privilegios. El agente solo accede a los datos y acciones imprescindibles.
• Aprobación humana para acciones con impacto: enviar comunicaciones, modificar o borrar datos, pagos.
• Acciones reversibles siempre que sea posible.
• Memoria con caducidad. Lo que el agente recuerda debe tener un plazo de borrado y limpiarse periódicamente.
• Protección frente a la inyección de instrucciones: listas de herramientas permitidas, entornos aislados y un «interruptor» para detener el agente.
• Trazabilidad: registros de qué hizo el agente y por qué.

Documentación

• Registro de actividades de tratamiento actualizado con el nuevo tratamiento y el proveedor de IA.
• Información a los interesados. Si un proveedor de IA pasa a tratar datos de tus clientes, actualiza tu política de privacidad (destinatarios y finalidades).
• Evaluación de impacto cuando el tratamiento sea de alto riesgo (por ejemplo, gran volumen de datos, decisiones sobre personas o datos sensibles).
• Revisión periódica: proveedores, contratos y usos cambian. Repasa esta lista al menos una vez al año.

Un criterio sencillo para el día a día

Si dudas, hazte esta pregunta: ¿le daría este dato a un proveedor externo sin contrato? Si la respuesta es no, tampoco se lo des a un chatbot sin contrato. Y si la tarea se puede hacer igual de bien sin datos personales, hazla sin ellos.

Fuentes y referencias

1. La Agencia publica unas orientaciones sobre inteligencia artificial agéntica — Agencia Española de Protección de Datos, 18 de febrero de 2026. Consultada el 15 de octubre de 2026.
2. Orientaciones sobre IA agéntica (v1.2) — Agencia Española de Protección de Datos, febrero de 2026. Consultada el 15 de octubre de 2026.
3. Política general interna para el uso de la IA generativa en la AEPD — Agencia Española de Protección de Datos, 27 de noviembre de 2025. Consultada el 15 de octubre de 2026.
4. Anexo de implementación de la política de IA generativa — Agencia Española de Protección de Datos, 11 de diciembre de 2025. Consultada el 15 de octubre de 2026.
5. Annual Report 2024 (incluye resumen de la Opinión 28/2024 sobre modelos de IA) — Comité Europeo de Protección de Datos (CEPD/EDPB), abril de 2025. Consultada el 15 de octubre de 2026.
6. AI Privacy Risks & Mitigations – Large Language Models — CEPD — programa de expertos (no es posición oficial), abril de 2025. Consultada el 15 de octubre de 2026.

Transparencia editorial

Investigación y borrador asistidos por IA; verificación de fuentes y edición final por el equipo editorial. ¿Has visto un error? Escríbenos a contact@talentdigitalconsulting.com y lo corregimos indicando la fecha del cambio (política de correcciones).