IA y RGPD: lo que debe saber una empresa antes de usarla

Sí. El RGPD no prohíbe usar inteligencia artificial: exige que, cuando una herramienta de IA trata datos personales, sepas qué datos entran, con qué finalidad y base legal, quién los trata y dónde, y que lo hayas dejado documentado. Para una pyme se resume en usar planes de empresa con contrato de encargo del tratamiento, no dar a la IA datos personales que no hagan falta y evaluar los riesgos antes de automatizar decisiones sobre personas.

Además del RGPD está el Reglamento Europeo de Inteligencia Artificial (AI Act), que no sustituye al RGPD sino que se suma a él: clasifica los usos de la IA por nivel de riesgo y fija obligaciones distintas para quien desarrolla un sistema y para quien lo usa. Lo que sigue es la visión práctica de una empresa que desarrolla con IA, no asesoramiento legal: para un caso concreto, consulta con tu delegado de protección de datos o con un abogado especializado.

Estamos empezando a desarrollar soluciones de inteligencia artificial para empresas y trabajamos sobre todo con modelos de OpenAI (ChatGPT) y de Anthropic (Claude). Ninguno de los dos es un proveedor europeo, así que en cada proyecto revisamos el RGPD y el Reglamento de IA y comprobamos que el desarrollo los cumple. Lo habitual es que sea el cliente quien contrata la cuenta con el proveedor y mantiene la relación con él, y nosotros desarrollamos sobre ella.

Cuando un proyecto toca datos especialmente sensibles, como los de salud, aplicamos una regla sencilla: esos datos no llegan al modelo de IA tal cual, sino anonimizados o seudonimizados.

Repasamos quién es responsable de los datos, qué hacen OpenAI y Anthropic con los datos de empresa, dónde se guardan, cuándo hace falta una evaluación de impacto y qué calendario tiene el Reglamento de IA a octubre de 2026.

En el RGPD hay dos papeles clave. El responsable del tratamiento es quien decide para qué y cómo se usan los datos personales: tu empresa. El encargado del tratamiento es quien los trata por cuenta del responsable y siguiendo sus instrucciones: el proveedor de IA y, si accede a los datos, la empresa que desarrolla la solución. El artículo 28 del RGPD exige que esa relación quede regulada en un contrato de encargo, que en los proveedores de IA suele llamarse DPA (acuerdo de tratamiento de datos).

OpenAI y Anthropic incluyen ese DPA en sus condiciones comerciales: en la API y en los planes de empresa (ChatGPT Business y Enterprise, Claude Team y Enterprise). Los planes personales, gratuitos o de pago, se rigen por condiciones de consumidor y no están pensados para tratar datos de clientes o empleados de una empresa.

Según sus políticas vigentes, no por defecto. OpenAI indica que no usa para entrenar ni mejorar sus modelos los datos de ChatGPT Business, ChatGPT Enterprise ni de su API, incluidas las entradas y las respuestas, salvo que el cliente lo acepte expresamente. Anthropic dice lo mismo de sus productos comerciales: Claude Team, Claude Enterprise y la API.

La diferencia está en los planes personales. En ChatGPT gratuito o Plus, las conversaciones pueden usarse para mejorar los modelos salvo que el usuario lo desactive en su configuración, y en Claude Free, Pro y Max es el propio usuario quien elige si lo permite. Por eso el riesgo más frecuente en una pyme no es el proveedor, sino el empleado que pega datos de clientes en su cuenta personal.

Conviene dejar por escrito qué herramientas de IA están autorizadas, con qué cuentas y qué datos no se pueden introducir nunca. Cabe en una página, evita la mayoría de problemas y ayuda a cumplir la obligación de alfabetización en IA del Reglamento europeo.

Si un proveedor trata los datos en Estados Unidos, hay una transferencia internacional de datos, y el RGPD solo la permite con garantías. Hoy hay dos vías principales. La primera es el Marco de Privacidad de Datos UE-EE. UU., una decisión de adecuación de la Comisión Europea de julio de 2023 que permite transferir datos a las empresas estadounidenses adheridas a él. El Tribunal General de la UE lo avaló en septiembre de 2025, aunque el recurso ante el Tribunal de Justicia sigue pendiente. La segunda son las cláusulas contractuales tipo aprobadas por la Comisión, que muchos proveedores incorporan a su DPA.

En la práctica, antes de usar un proveedor revisa su DPA, comprueba qué mecanismo de transferencia utiliza y anota el tratamiento en tu registro de actividades, con el proveedor como encargado.

OpenAI ofrece residencia de datos en Europa a los nuevos clientes de ChatGPT Enterprise y Edu, que pueden guardar su contenido en reposo en Europa, y a los clientes de la API que cumplen sus requisitos, que pueden procesar los datos en Europa en los servicios compatibles. No está en todos los planes: conviene confirmar con el proveedor si tu cuenta puede usarla.

Anthropic, a octubre de 2026, no ofrece residencia de datos en la UE en su propia plataforma: los datos se guardan en Estados Unidos y el procesamiento puede hacerse en Estados Unidos o en otras regiones, pero no se puede limitar a Europa. Si un proyecto exige que los datos no salgan de Europa, la vía es usar los modelos de Claude a través de AWS Bedrock o Google Cloud Vertex AI en regiones europeas, con las condiciones de esos proveedores.

Elegimos proveedor y región según los datos del proyecto. Para tareas sin datos personales sirve cualquier plan de empresa; con datos personales, exigimos DPA; y con datos sensibles o requisitos estrictos de localización, buscamos residencia en Europa o anonimizamos antes de enviar nada al modelo.

La evaluación de impacto relativa a la protección de datos (EIPD) es un análisis previo de los riesgos que un tratamiento supone para las personas y de las medidas para reducirlos. El artículo 35 del RGPD la exige cuando es probable que el tratamiento entrañe un alto riesgo, en particular si utiliza nuevas tecnologías. La AEPD publica una lista de tratamientos que la requieren: en la mayoría de los casos, hará falta una EIPD si se dan dos o más de sus criterios, como elaborar perfiles, tomar decisiones automatizadas que impidan a una persona ejercer un derecho o acceder a un servicio, tratar categorías especiales de datos, tratar datos a gran escala o usar tecnologías nuevas o de forma innovadora.

Un asistente que redacta correos sin datos personales no necesita EIPD. Un sistema que puntúa candidatos, analiza el rendimiento de los empleados o clasifica clientes para decidir a quién se concede crédito, casi seguro que sí.

El artículo 9 del RGPD protege las categorías especiales de datos: salud, origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos y biométricos, y vida u orientación sexual. Su tratamiento está prohibido salvo excepciones concretas. Con ellos anonimizamos o seudonimizamos antes de que lleguen al modelo. Ojo con la diferencia: los datos seudonimizados siguen siendo datos personales para el RGPD; solo los realmente anonimizados quedan fuera.

El artículo 22 reconoce a las personas el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que les afecten de forma significativa. Por eso, cuando la IA forma parte de una automatización de procesos que afecta a personas, lo prudente es que la IA proponga y una persona revise y decida.

Si usas IA para tratar datos de clientes o empleados, tu información de privacidad debe decirlo: qué datos, para qué, qué proveedores intervienen y si hay transferencias fuera de la UE. Revisa también la base legal de cada uso, porque emplear datos para una finalidad nueva exige comprobar que es compatible con la original o contar con otra base legal.

El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024 y se aplica por fases. Desde el 2 de febrero de 2025 están prohibidas ciertas prácticas, como la manipulación que causa perjuicios, la puntuación social o el reconocimiento de emociones en el trabajo y en centros educativos, y se exige la alfabetización en IA. Desde el 2 de agosto de 2025 rigen las obligaciones de los proveedores de modelos de IA de uso general, como OpenAI o Anthropic. Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia: por ejemplo, avisar a las personas de que están hablando con un chatbot o asistente de IA.

Las obligaciones de los sistemas de alto riesgo, como la IA usada para seleccionar personal, evaluar a trabajadores o conceder crédito, también estaban previstas para agosto de 2026. El ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, las aplazó: al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para la IA integrada en productos ya regulados por la normativa europea.

Para una pyme que usa ChatGPT o Claude, la obligación más inmediata es la del artículo 4: quienes proporcionan o usan sistemas de IA deben tomar medidas para fomentar la alfabetización en IA de su personal y de quienes usan esos sistemas en su nombre. El ómnibus de 2026 suavizó la redacción, que ya no exige garantizar un nivel concreto de conocimientos, pero la obligación de actuar se mantiene. En la práctica: una formación básica, la política interna de uso y saber qué herramientas usa cada equipo.

El resto depende sobre todo de tu papel y del nivel de riesgo, más que del tamaño. Usar un asistente para redactar o resumir apenas tiene obligaciones; usar IA para decidir sobre candidatos o clientes entra en alto riesgo. El tamaño sí cuenta en algunos puntos: el Reglamento prevé documentación simplificada para las pymes y, en las multas, que se les aplique la cuantía menor.

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es el organismo creado para supervisar la aplicación del Reglamento de IA, y publica guías para ayudar a cumplirlo. La protección de datos sigue siendo competencia de la Agencia Española de Protección de Datos (AEPD), que tiene materiales específicos sobre tratamientos que incorporan inteligencia artificial.

Usar IA cumpliendo el RGPD es posible si usas planes de empresa con contrato de encargo, introduces solo los datos necesarios, revisas dónde se tratan y haces una evaluación de impacto cuando el uso afecta de forma relevante a las personas. OpenAI y Anthropic no entrenan por defecto con los datos de sus planes de empresa ni de su API, pero de los dos, hoy solo OpenAI ofrece residencia de datos en Europa en su propia plataforma. Del Reglamento de IA, lo que ya te afecta es la alfabetización de tu equipo; el alto riesgo se ha aplazado a diciembre de 2027.

Si vas a llevar la IA a un proceso con datos de clientes o empleados, en nuestra consultoría de IA revisamos contigo qué datos intervienen, qué proveedor y qué plan encajan y qué hay que dejar documentado antes de desarrollar.

Cuéntanos qué quieres hacer con la IA y qué datos implica, y te diremos qué revisar antes de empezar. No sustituye a tu asesor legal, pero te ayuda a llegar a él con las preguntas correctas.