Cómo usar la IA sin incumplir el RGPD
No existe ningún proveedor de IA «conforme al RGPD» al que pueda comprarle su cumplimiento: según el RGPD, usted es el responsable del tratamiento y la responsabilidad recae en usted. La buena noticia es que un único control elimina de golpe la mayor parte del problema: no enviar los datos personales de entrada. Esto es orientación general, no asesoramiento jurídico.
¿Es siquiera legal introducir datos personales en ChatGPT conforme al RGPD?
En principio, sí, pero pegar datos personales en una herramienta de IA supone comunicárselos a un tercero, y eso constituye un tratamiento real conforme al RGPD, no un borrador privado. Para hacerlo lícitamente ha de superar cinco obstáculos: una base jurídica, la minimización de datos, un mecanismo de transferencia válido, una condición adicional para los datos de categoría especial y una EIPD cuando el riesgo sea alto. Cada uno se aborda más abajo. La pauta que facilita todos ellos es la misma a la que las autoridades apuntan en primer lugar: minimizar.
1. Necesita una base jurídica antes de que los datos salgan de su organización (Art. 6)
Todo tratamiento de datos personales necesita al menos una de las seis bases jurídicas del artículo 6. Para introducir datos en una herramienta de IA comercial, los candidatos realistas son el consentimiento, el contrato o el interés legítimo, y este último solo se sostiene cuando su interés no prevalece sobre los derechos del interesado, algo que el CEPD articula como un test de tres pasos. La trampa que conviene evitar: un contrato firmado con el proveedor de IA no constituye una base jurídica. Usted, como responsable del tratamiento, debe establecer una de forma independiente antes incluso de que los datos salgan de su entorno.
2. La minimización de datos es el principio que las autoridades esperan de verdad (Art. 5)
El artículo 5(1)(c) exige que los datos personales sean «adecuados, pertinentes y limitados a lo necesario», y el artículo 5(2) le hace responsable de demostrarlo. En la práctica, esto significa exponer únicamente lo que la tarea requiere realmente: si un resumen o un borrador pueden elaborarse a partir de marcadores en lugar de nombres reales, entonces esos nombres reales no eran necesarios. Ahí reside el fundamento jurídico para suprimir los identificadores antes de que lleguen a una herramienta de IA: no es un resquicio legal, sino el principio llevado a la práctica.
3. Un contrato de encargo con el proveedor de IA es necesario, pero no suficiente
Cuando un proveedor trata datos personales por cuenta de usted, necesita un contrato de encargo del tratamiento conforme al artículo 28. Pero ese contrato solo regula cómo maneja los datos el encargado; no aporta su base jurídica, ni realiza su EIPD, ni resuelve su transferencia. Y solo existe en los planes empresariales: OpenAI ofrece un anexo conforme al Art. 28 y cláusulas contractuales tipo en la API, ChatGPT Business y Enterprise, mientras que el ChatGPT de consumidor habitual (Free/Plus) carece por completo de contrato de encargo. (Fuente: OpenAI.) El CEPD también ha advertido de que un acuerdo posterior en la cadena no puede subsanar la falta de base jurídica en un tratamiento anterior.
4. Enviar instrucciones a una herramienta de IA estadounidense es una transferencia internacional (Capítulo V)
Cuando su instrucción llega a un proveedor con sede en EE. UU., se trata de una transferencia internacional regida por el Capítulo V. Tras la sentencia Schrems II, que anuló el Privacy Shield, las transferencias se amparan ahora en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo acompañadas de una evaluación de impacto de la transferencia. El Marco fue confirmado por el Tribunal General de la UE en 2025, pero sigue recurrido: la misma clase de incertidumbre jurídica que acabó con los dos acuerdos anteriores. Minimizar los datos personales que envía neutraliza por completo la cuestión de la transferencia: sin datos personales no hay transferencia que justificar.
5. Con los datos de categoría especial es donde el uso de la IA se complica de verdad (Art. 9)
Los datos de salud, biométricos, políticos, religiosos, de afiliación sindical y de orientación sexual son datos de categoría especial, y tratarlos exige una condición del artículo 9 que se sume a su base del artículo 6, por lo general el consentimiento explícito. Volcar este tipo de datos en un chatbot es de alto riesgo por defecto, de modo que la postura más segura es suprimirlos o seudonimizarlos antes de introducirlos.
Cuándo necesita una EIPD (Art. 35)
Una evaluación de impacto relativa a la protección de datos es obligatoria cuando el tratamiento «entrañe probablemente un alto riesgo»: el uso a gran escala de categorías especiales de datos, o la elaboración sistemática de perfiles con efectos jurídicos o de similar relevancia. Muchas implantaciones empresariales de IA encajan en alguno de estos supuestos. Omitir una EIPD obligatoria se sitúa en el tramo inferior de sanciones: hasta 10 millones de euros o el 2 % del volumen de negocio mundial.
Entrenamiento y conservación que usted no controla
En el ChatGPT de consumidor (Free y Plus), sus conversaciones se emplean para entrenar los modelos de OpenAI de forma predeterminada, salvo que desactive «Mejorar el modelo para todos»; además, una orden judicial estadounidense de 2025 obligó a OpenAI a conservar los registros, incluidas las conversaciones que los usuarios habían eliminado. Una vez que los datos están en los servidores de un proveedor, «eliminar» es una petición, no una garantía. Lo tratamos en profundidad en ¿almacena ChatGPT sus datos?
Qué están haciendo realmente las autoridades
Esto no es teórico. En diciembre de 2024, el Garante italiano sancionó a OpenAI con 15 millones de euros por haber entrenado ChatGPT con datos personales sin una base jurídica adecuada, por deficiencias de transparencia, por una brecha de seguridad no notificada y por la ausencia de verificación de la edad. (Fuente: Euronews.) A escala de la UE, el Dictamen 28/2024 del CEPD fijó un listón deliberadamente alto para determinar cuándo un modelo de IA se considera «anónimo». Entretanto, la mayor parte del uso de IA en el trabajo sigue produciéndose a través de cuentas personales, sin ninguna de las garantías de los planes empresariales, que es precisamente donde se concentra la exposición.
Un flujo de trabajo con IA conforme al RGPD
Una secuencia repetible que puede documentar de cara a la responsabilidad proactiva, con cada paso anclado a un artículo:
- Identifique los datos personales. Antes de redactar la instrucción, determine qué datos personales intervienen realmente en la tarea —nombres, datos de contacto, identificadores, datos financieros o de salud— y si alguno de ellos pertenece a una categoría especial (Art. 9).
- Establezca una base jurídica (Art. 6). Elija y documente una base para la comunicación al proveedor de IA: normalmente el consentimiento, un contrato o el interés legítimo. Un contrato con el proveedor no constituye por sí mismo una base jurídica; usted, como responsable del tratamiento, debe contar con la suya.
- Minimice antes de introducir los datos (Art. 5(1)(c)). Suprima o seudonimice todo aquello que la tarea no requiera. Es el único paso que elimina la mayor parte del riesgo: si ningún dato personal llega a la herramienta, casi todos los demás obstáculos desaparecen. Una herramienta local como Occlira lo hace en documentos, hojas de cálculo, correo, audio e imágenes en una sola pasada.
- Utilice un plan empresarial con contrato de encargo. Si es imprescindible introducir datos personales, opte por un plan que ofrezca un contrato de encargo del tratamiento conforme al Art. 28 y cláusulas contractuales tipo (la API, ChatGPT Business/Enterprise) en lugar de una cuenta de consumidor, y desactive el entrenamiento del modelo.
- Gestione la transferencia (Capítulo V). Enviar instrucciones a un proveedor estadounidense constituye una transferencia internacional. Ampárese en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo acompañadas de una evaluación de la transferencia; o, sencillamente, evítela no enviando ningún dato personal.
- Realice una EIPD si procede (Art. 35). El tratamiento a gran escala de categorías especiales de datos o la elaboración sistemática de perfiles con efectos significativos suele exigir una evaluación de impacto relativa a la protección de datos antes de empezar.
- Documéntelo y restaure después en local (Art. 5(2)). Deje constancia de su base jurídica, de la minimización y de la EIPD para cumplir el deber de responsabilidad proactiva. Realice el trabajo con la IA sobre la copia anonimizada y restaure después los valores reales en su propio equipo.
Cómo encaja Occlira: el paso de minimización
Occlira lleva a la práctica el paso 3. Detecta y elimina 40+ tipos de PII —nombres, documentos nacionales de identidad, correos electrónicos, datos financieros y de salud, y mucho más— en documentos, hojas de cálculo, correo, audio e imágenes, al 100 % en su propio ordenador, sin nube y sin cuenta. Nada llega a un servidor estadounidense, no hay nada con lo que alimentar el entrenamiento de un modelo ni nada que una orden judicial pueda obligar a conservar, porque los datos personales nunca salen de su dispositivo.
Una salvedad honesta, porque importa: la anonimización de Occlira es reversible; sustituye cada identificador por un marcador y conserva la tabla de correspondencias en su dispositivo. En términos del RGPD, eso es seudonimización, y los datos seudonimizados siguen siendo datos personales (Considerando 26). Por tanto, considérela una minimización de datos sólida que mantiene su tratamiento al mínimo y bajo su control, no una forma de sacar los datos del ámbito del RGPD. Compruebe exactamente qué permanece en su dispositivo en la página de prácticas de datos y privacidad, y consulte anonimizar antes de ChatGPT para ver la mecánica paso a paso.
Preguntas frecuentes
En principio sí, pero solo si supera varios obstáculos: una base jurídica (Art. 6), la minimización de datos (Art. 5(1)(c)), un mecanismo válido para la transferencia a un proveedor estadounidense (Capítulo V), una condición adicional para cualquier dato de categoría especial (Art. 9) y una EIPD cuando el tratamiento sea de alto riesgo (Art. 35). Pegar datos personales en una herramienta de IA equivale a comunicárselos a un tercero, de modo que constituye un tratamiento real, no una nota privada. El atajo fiable es no enviar los datos personales en ningún momento.
Necesita una de las seis bases del Art. 6 antes de que los datos salgan de su entorno. Para el uso de IA, los candidatos realistas son el consentimiento, el contrato o el interés legítimo; este último exige un juicio de ponderación que acredite que su interés no prevalece sobre los derechos del interesado. Y algo crucial: un contrato con el proveedor de IA no constituye una base jurídica; usted debe establecer la suya propia.
No. El contrato de encargo del tratamiento (Art. 28) es necesario cuando un proveedor trata datos personales por cuenta de usted, pero no aporta su base jurídica, ni resuelve su evaluación de la transferencia, ni realiza su EIPD. Además, solo existe en los planes empresariales: el ChatGPT de consumidor habitual (Free/Plus) carece por completo de contrato de encargo. Y el CEPD ya ha advertido de que un acuerdo posterior en la cadena no puede subsanar la falta de base jurídica en un tratamiento anterior.
Sí. Los datos que van a parar a un proveedor con sede en EE. UU. constituyen una transferencia conforme al Capítulo V y requieren un mecanismo válido: hoy por hoy, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo acompañadas de una evaluación de la transferencia. Como ese marco está impugnado ante los tribunales, al igual que sus predecesores, minimizar lo que envía es la forma más duradera de reducir el riesgo asociado a esta cuestión.
Cuando el tratamiento «entrañe probablemente un alto riesgo»: por ejemplo, el uso a gran escala de categorías especiales de datos o la elaboración sistemática de perfiles con efectos jurídicos o de similar relevancia. Muchas implantaciones empresariales de IA encajan en alguno de estos supuestos. Omitir una EIPD obligatoria se sitúa en el tramo inferior de sanciones (hasta 10 millones de euros o el 2 % del volumen de negocio mundial).
Solo con una condición del Art. 9 que se sume a su base del Art. 6 —por lo general, el consentimiento explícito—, y aun así se trata de un tratamiento de alto riesgo. Los datos de salud, biométricos, políticos, religiosos y de orientación sexual quedan todos incluidos. La postura más segura, con diferencia, es suprimirlos o seudonimizarlos antes de que lleguen siquiera a la herramienta.
Los datos seudonimizados —reversibles mediante información conservada por separado— siguen siendo datos personales (Considerando 26). Solo los datos verdaderamente anónimos quedan fuera del RGPD, y el listón está muy alto. Por eso, sustituir los identificadores por marcadores reversibles es una minimización de datos sólida, no una vía para eludir las normas.
Sí. En diciembre de 2024, el Garante italiano sancionó a OpenAI con 15 millones de euros al concluir que había entrenado ChatGPT con datos personales sin una base jurídica adecuada, que incumplía en materia de transparencia, que no había notificado una brecha de seguridad de 2023 y que carecía de verificación de la edad. Es una señal inequívoca de que las autoridades actúan ante las carencias de base jurídica y transparencia, no se limitan a emitir orientaciones.
Usted (o su organización) es el responsable del tratamiento de los datos personales que decide introducir: usted determina los fines y los medios. El proveedor de IA solo actúa como encargado del tratamiento en el marco de un acuerdo empresarial; en una cuenta de consumidor no existe tal acuerdo, de modo que usted asume la plena responsabilidad como responsable sin contar con ninguna de las garantías del Art. 28.
Minimice los datos personales antes de que la IA los vea
Elimine los identificadores en local, use cualquier herramienta de IA sobre la copia y restaure los valores en su equipo. Gratis durante 14 días en Windows y macOS.
Más: para bufetes de abogados · supresión de PII local frente a en la nube · cómo se tratan sus datos