ChatGPT en empresas ha dejado de ser una curiosidad para convertirse en una herramienta de uso diario en despachos, departamentos de marketing y equipos de administración. El problema no es la herramienta: es que se adopta sin decidir antes qué se le puede contar y qué no. Y esa decisión, en una empresa que trata datos personales, no es una preferencia interna. Es una obligación documentable.
En este artículo vamos a tratar...
Qué cambia en 2026 para el uso de IA en la empresa
El Reglamento (UE) 2024/1689 de Inteligencia Artificial entró en vigor el 1 de agosto de 2024, pero se aplica por tramos. Desde el 2 de febrero de 2025 son exigibles las prácticas prohibidas y las obligaciones de alfabetización en IA. Desde el 2 de agosto de 2025, las de los modelos de propósito general. Y desde el 2 de agosto de 2026 son exigibles el régimen general y las obligaciones de transparencia del artículo 50.
Hay un matiz importante que conviene conocer antes de planificar nada: el llamado ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, adoptado el 8 de julio de 2026 y en vigor desde el 27 de julio, ha retrasado el calendario de los sistemas de alto riesgo. Los del anexo III pasan al 2 de diciembre de 2027 y los del anexo I al 2 de agosto de 2028. La transparencia, en cambio, se mantiene en 2026, con un periodo de gracia para el marcado de contenido generado por IA que termina el 2 de diciembre de 2026.
Dicho de otro modo: quien tenga un sistema de IA de alto riesgo dispone de algo más de margen, pero quien simplemente use ChatGPT para redactar, resumir o analizar no ha ganado ni un día. Ese uso se rige por el RGPD, y el RGPD lleva aplicándose desde 2018.
Qué dice la AEPD sobre el uso de inteligencia artificial
La Agencia Española de Protección de Datos ha publicado material muy concreto. Además de la guía de adecuación al RGPD de tratamientos que incorporan inteligencia artificial y de los requisitos para auditar esos tratamientos, en noviembre de 2025 publicó su propia política interna de uso de IA, la primera del sector público español. Es un documento útil precisamente porque no teoriza: enseña qué aspecto tiene una política de uso real.
En enero de 2026 publicó el decálogo Cuidado con lo que le confías, con recomendaciones que sirven de lista de comprobación mínima: no introducir datos identificativos, de salud, financieros o contractuales; no subir imágenes de terceros ni de menores; seguir la política interna de la organización; y no compartir datos de empleados o clientes. En febrero de 2026 añadió unas orientaciones sobre IA agéntica que insisten en tres cosas: repartir bien los papeles de responsable y encargado, hacer evaluación de impacto cuando el riesgo lo exija y mantener supervisión humana significativa.
El criterio europeo: el modelo no es anónimo por definición
El Comité Europeo de Protección de Datos aprobó el 17 de diciembre de 2024 el Dictamen 28/2024 sobre modelos de IA y datos personales. Conviene retener tres ideas.
- Un modelo entrenado con datos personales no puede presumirse anónimo. Hay que analizarlo caso por caso y acreditar que tanto la extracción directa como la obtención de datos mediante consultas son posibilidades insignificantes.
- El interés legítimo puede servir de base jurídica, pero exige el test de tres pasos y una ponderación real que atienda a la escala del tratamiento, la opacidad del modelo y las expectativas razonables de las personas.
- Si el modelo se entrenó con datos tratados ilícitamente y conserva datos personales, quien lo despliega debe verificar ese extremo dentro de su responsabilidad proactiva.
Lo que ya han hecho las autoridades
El Garante italiano impuso en diciembre de 2024 una sanción de 15 millones de euros a OpenAI por falta de base jurídica para el entrenamiento, déficit de transparencia, ausencia de verificación de edad y no notificación de una brecha. El Tribunal de Roma la anuló en marzo de 2026 por motivos de competencia entre autoridades, no por el fondo. En mayo de 2025 el mismo Garante sancionó con 5 millones a la empresa detrás de Replika, y en enero de 2025 bloqueó DeepSeek en Italia.
La lectura para una empresa española es sencilla: el foco de las autoridades está en los proveedores, pero los criterios que aplican a los proveedores son los mismos que le aplicarán a usted cuando la reclamación venga de un empleado o de un cliente.
Qué hay que tener firmado y comprobado
La diferencia práctica entre usar ChatGPT bien o mal está casi siempre en el plan contratado y en el papel firmado.
- Contrato de encargado del tratamiento. Los planes de empresa (Business, Enterprise, Edu) permiten suscribir el acuerdo del artículo 28 del RGPD. Las cuentas gratuitas y personales no están pensadas para eso.
- Entrenamiento con sus datos. En los planes de empresa y en la API, los datos de negocio no se usan para entrenar por defecto. En las cuentas gratuitas y de pago individuales, la configuración de partida suele ser la contraria y hay que desactivarla manualmente.
- Conservación. Varía por plan: desde retención controlada por el cliente hasta el borrado de conversaciones a los treinta días. Hay que conocer el plazo del plan que se usa, no el del plan que se cree que se usa.
- Transferencias internacionales. Identificar dónde se alojan y procesan los datos y con qué garantía se transfieren.
- Subencargados. Saber quiénes son y con qué régimen de autorización.
Los cinco errores que se repiten
- Pegar datos de clientes, empleados o candidatos en una cuenta personal gratuita.
- Subir contratos, expedientes o documentación interna sin haber comprobado el régimen de retención.
- Usar la respuesta del modelo en una decisión con efectos sobre una persona sin supervisión humana real.
- No informar en la política de privacidad de que se emplean herramientas de IA en el tratamiento.
- No tener política interna escrita, de forma que cada empleado decide por su cuenta qué comparte.
El cuarto y el quinto son los que más caro salen, porque convierten un uso puntual en un tratamiento sistemático no documentado.
Por dónde empezar
Inventario de qué herramientas de IA se usan realmente en la empresa, quién las usa y con qué cuenta. Política interna de uso, breve y aplicable. Actualización del registro de actividades y de la política de privacidad. Contrato de encargado con el proveedor. Y evaluación de impacto cuando el tratamiento lo requiera.
Esa secuencia es exactamente el trabajo que hacemos en Auratech Legal dentro del derecho de las nuevas tecnologías: revisar el contrato con el proveedor de IA, redactar la política interna de uso y dejar documentado quién responde de qué.