01 Jul Usar datos de clientes en IA: lo que el RGPD te exige
Son las nueve de la mañana, tienes la bandeja de entrada llena y un cliente importante espera respuesta a una reclamación delicada. Abres Claude (o ChatGPT o Gemini), pegas el correo completo —con su nombre, su número de pedido y el historial del problema— y escribes: “redáctame una respuesta profesional y empática”. Treinta segundos después tienes un borrador perfecto.
Acabas de hacer algo que millones de profesionales hacen cada día. Y, según cómo lo hayas hecho, puede que también acabes de cometer una infracción del RGPD de la que eres tú responsable, no la herramienta.
La inteligencia artificial generativa se ha convertido en el copiloto silencioso de cualquier startup o pyme. Claude está especialmente en auge entre cofounders tecnológicos por su calidad redactando y razonando; ChatGPT, Gemini y Copilot están integrados en medio mundo. El problema no es usar estas IAs: es meter datos de clientes en ellas sin entender qué pasa con esos datos. Vamos a aclararlo de una vez, de forma sencilla y con pasos concretos.
¿Es legal usar datos de clientes en IA?
Respuesta directa: sí, es legal, pero está condicionado. El RGPD no prohíbe usar inteligencia artificial ni te impide tratar datos de clientes con ella. Lo que exige es que cumplas las mismas reglas que para cualquier otro tratamiento de datos personales: tener una base legal, ser transparente, usar solo los datos necesarios y garantizar su seguridad.
La trampa está en que, cuando pegas el correo de un cliente en una herramienta de IA, no estás “usando una app”: estás transfiriendo datos personales a un tercero que los procesa en sus servidores, muchas veces fuera de la Unión Europea. Eso es un tratamiento de datos en toda regla. Y todo tratamiento necesita una base legal adecuada y unas garantías. Sin ellos, el tratamiento es ilícito.
Qué pasa exactamente cuando metes datos en una IA
Cuando introduces información personal en el chat de una IA ocurren, como mínimo, tres cosas que tienen consecuencias legales:
Hay un tratamiento de datos personales. Nombres, emails, teléfonos, datos de pedidos, fragmentos de contratos o información de salud son datos personales. En cuanto los escribes en el prompt, tu empresa los está tratando a través de un proveedor externo.
Puede haber una transferencia internacional. La mayoría de estas herramientas procesan datos en servidores de Estados Unidos. Transferir datos personales fuera del Espacio Económico Europeo exige garantías específicas (cláusulas contractuales tipo, marcos de adecuación, etc.). Si no existen, se está incumpliendo la normativa.
Tus datos pueden alimentar el entrenamiento del modelo. Aquí está el punto que casi nadie comprueba: en las versiones gratuitas o incluso de pago de muchas IAs, lo que escribes puede usarse por defecto para entrenar el modelo. El riesgo no es que la IA “cuente secretos”, sino que cierta información única quede almacenada y, en casos excepcionales, pueda reaparecer. Con datos de clientes, eso es exactamente lo que no quieres.
El gran malentendido: “la responsable es la IA, no yo”
Esto es falso, y es el error que puede costar más caro. Ante la Agencia Española de Protección de Datos (AEPD), el responsable del tratamiento eres tú (tu empresa). OpenAI, Anthropic, Google o Microsoft actúan solo como encargados del tratamiento, pero quien decide subir los datos de sus clientes y con qué finalidad eres tú.
Traducción práctica: si subes datos de tus clientes a una IA sin la base legal adecuada, sin haber informado y sin un contrato de encargo de tratamiento con el software de IA , la multa te la puedes llevar tú. Y no son simbólicas: las sanciones del RGPD llegan hasta 20 millones de euros o el 4% de la facturación anual global. En 2025 la AEPD impuso 299 sanciones que sumaron 40 millones de euros, muchas de ellas a pymes y autónomos por errores en el tratamiento de datos perfectamente evitables.
No todas las IA son iguales: versión gratis vs. plan de empresa
Esta es la distinción que marca la diferencia entre usar IA con tranquilidad o exponerte a una sanción. No es lo mismo la cuenta gratuita personal que una cuenta de pago unipersonal o de empresa. Las versiones gratuitas suelen usar todo el contenido que compartes para entrenar su modelo por defecto y no te ofrecen un contrato de encargado de tratamiento que sea válido para justificar el cumplimiento del RGPD. Los planes de pago, ya sean unipersonales o de empresa, excluyen el entrenamiento por defecto, ofrecen retención controlada, auditoría y un DPA (contrato de encargo de tratamiento) que puedes firmar.
| Herramienta | ¿Entrena con tus datos por defecto? | Plan de empresa con DPA |
|---|---|---|
| Claude (Anthropic) | No entrena con tus conversaciones por defecto; cifrado en tránsito y reposo | Sí (Team/Enterprise, con retención y controles personalizados) |
| ChatGPT (OpenAI) | En las versiones personales sí, salvo que lo desactives manualmente | Sí (Team/Enterprise, sin entrenamiento y con DPA) |
| Gemini (Google) | Las versiones personales pueden usar tus datos por defecto | Sí (Workspace, con condiciones de tratamiento) |
| Copilot (Microsoft) | Depende del plan; las versiones de consumo son menos restrictivas | Sí (Microsoft 365 Copilot, con compromisos de datos empresariales) |
La configuración exacta de cada producto cambia con frecuencia: comprueba siempre los ajustes de privacidad y las condiciones vigentes antes de meter datos reales.
La regla práctica: si vas a tratar datos de clientes, usa un plan de pago con DPA firmado y el entrenamiento desactivado. Una cuenta gratuita personal no es el sitio para los datos de tus clientes.
Qué necesitas para usar IA con datos de clientes de forma legal
Si quieres incorporar IA a tus procesos tratando datos personales sin sustos, esto es lo que la normativa te pide:
-
- Una base legal clara. Normalmente será el interés legítimo o la ejecución de un contrato, debidamente documentada. No vale “porque me viene bien”.
- Un contrato de encargado de tratamiento (DPA) firmado con el proveedor de la IA. Sin DPA, no metas datos personales.
- Transparencia. Tu política de privacidad debe reflejar que usas herramientas de IA, con qué finalidad y qué proveedores intervienen. Tus clientes tienen derecho a saberlo.
- Minimización de datos. Mete solo lo imprescindible. Si puedes anonimizar o seudonimizar el dato antes de pegarlo (quitar nombre, sustituir por “Cliente A”), hazlo.
- Control de las transferencias internacionales. Asegúrate de que el proveedor ofrece garantías para el tratamiento fuera de la UE.
- Una Evaluación de Impacto (EIPD) cuando el tratamiento con IA pueda suponer un alto riesgo para los derechos de las personas. Es obligatoria en esos casos y, además, te protege.
- Seguridad y registro. Documenta qué herramientas usáis y para qué (principio de responsabilidad proactiva).
Qué puedes y qué NO puedes meter nunca en una IA
Para tu equipo, una regla práctica vale más que un reglamento de 40 páginas.
Evita meter siempre:
- Datos identificativos completos de clientes (nombre + DNI, dirección, teléfono, email).
- Información financiera: números de tarjeta, cuentas bancarias, facturación de clientes.
- Categorías especiales: salud, biometría, ideología, religión, orientación sexual.
- Credenciales, contraseñas o tokens de acceso.
- Documentos internos confidenciales, precios no publicados o material bajo NDA.
Puedes usar con tranquilidad:
- Textos genéricos sin datos personales (“redáctame una plantilla de email de bienvenida”).
- Información ya pública de tu empresa.
- Datos anonimizados o seudonimizados de forma efectiva (“Cliente A pide la baja, redáctame la respuesta”).
- Borradores, ideas, resúmenes y tareas que no impliquen datos personales reales.
La obligación que casi nadie conoce: alfabetización en IA
Un extra que pocos artículos mencionan y que te conviene tener en el radar. El Reglamento Europeo de IA (AI Act) se aplica por fases, con la AESIA como autoridad española de supervisión.
El «Ómnibus Digital» aprobado por el Consejo de la UE el 29 de junio de 2026 ha aplazado las obligaciones de los sistemas de IA de alto riesgo (a diciembre de 2027 y agosto de 2028), pero no ha tocado dos cosas que sí te afectan ya: las prohibiciones y, sobre todo, la obligación de alfabetización en IA.
El artículo 4, vigente desde febrero de 2025, exige que tu personal tenga un nivel suficiente de alfabetización en IA, es decir, que quien usa estas herramientas entienda qué está usando, para qué sirve y qué riesgos tiene.
Para una startup esto se traduce en algo sencillo y barato: forma a tu equipo, deja por escrito unas normas mínimas de uso y guarda constancia de que lo has hecho.
Plantilla mínima: política de uso de IA en 5 puntos
No necesitas un documento enorme para empezar a protegerte. Una política interna de uso con cinco puntos visible en vuestro espacio de trabajo ya marca la diferencia:
-
- Usamos solo herramientas de IA con plan de empresa y entrenamiento del modelo desactivado.
- No introducimos datos personales de clientes salvo que estén anonimizados.
- Nunca metemos datos financieros, de salud ni credenciales.
- Toda herramienta de IA que utilicemos debe tener un DPA firmado.
- Ante la duda, preguntamos antes de pegar.
En resumen
Usar datos de clientes en IA es legal, pero solo aplicando las garantías que el RGPD exige: base legal adecuada, DPA con el proveedor, transparencia con tus clientes, minimización y, cuando toque, una evaluación de impacto (EIPD). La diferencia entre una herramienta que te hace la vida más fácil y una multa de cinco cifras no está en la IA: está en cómo la usas. Y, sobre todo, recuerda que el responsable del cumplimento eres tú, no la IA.
La buena noticia es que adaptarse es perfectamente asumible para una startup o pyme si lo hacéis a tiempo y con criterio. En Emprender Seguro ayudamos a startups y pymes a usar la IA con cabeza: revisamos vuestras herramientas, preparamos la política de uso, los contratos necesarios y dejamos vuestra empresa cumpliendo con la normativa de protección de datos para crecer sin sustos. ¿Hablamos antes de que tu equipo vuelva a pegar el correo de un cliente en una IA?