¿Puedo usar ChatGPT, Claude o Copilot con datos de clientes?

Tu equipo ya usa inteligencia artificial. Para resumir un correo largo, redactar una respuesta, revisar un contrato o preparar un informe. La pregunta que nos hacen cada semana es la misma: ¿puedo meter datos de mis clientes en ChatGPT, Claude o Copilot?

La respuesta corta es que sí se puede, pero no de cualquier manera. Cuando escribes o pegas datos personales en una herramienta de IA, estás tratando esos datos y, además, se los estás comunicando a un proveedor. Eso tiene consecuencias que conviene tener resueltas.

Por qué es un tratamiento de datos

El RGPD llama tratamiento a casi cualquier operación con datos personales: recogerlos, consultarlos, usarlos o comunicarlos (artículo 4.2). Cuando un empleado copia el correo de un cliente con su nombre, su DNI o los detalles de su caso en una herramienta de IA, ocurren dos cosas:

• Tu empresa trata esos datos con una finalidad (resumir, redactar, analizar), que tiene que ser compatible con aquella para la que los recogiste.
• Un tercero, el proveedor de la herramienta, recibe esos datos y los procesa en sus servidores.

Por eso no basta con que la herramienta «sea muy conocida». Hay que comprobar en qué condiciones trata lo que le das.

Versión personal o versión de empresa: la diferencia clave

Las condiciones cambian mucho según la versión que uses. Según sus propios términos, algunas versiones gratuitas o personales pueden usar lo que escribes para mejorar sus modelos, salvo que lo desactives. Las versiones para empresas suelen excluir ese uso por contrato y ofrecen un acuerdo de tratamiento de datos.

Ese acuerdo es importante porque, en el uso profesional, el proveedor actúa normalmente como encargado del tratamiento: trata los datos por cuenta de tu empresa y siguiendo tus instrucciones. El RGPD te obliga a elegir solo encargados que ofrezcan garantías suficientes (artículo 28.1) y a que la relación quede regulada por contrato:

«El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable» (artículo 28.3 del RGPD).

En la práctica: si tu equipo usa la IA con datos de clientes, que sea con cuentas de empresa, gestionadas por la empresa, con el acuerdo de tratamiento aceptado y revisado. Las cuentas personales de cada empleado quedan fuera de tu control.

¿Dónde van los datos?

Muchos de estos proveedores tienen servidores o empresas del grupo fuera del Espacio Económico Europeo. Eso no lo prohíbe, pero exige que haya garantías para la transferencia internacional: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo u otros mecanismos del capítulo V del RGPD. Comprueba en la documentación del proveedor dónde se tratan los datos y con qué garantías, y recógelo en tu registro de actividades.

Lo que no conviene meter en una IA

• Datos de salud, ideología, afiliación sindical, origen étnico, vida sexual o biométricos. Son categorías especiales (artículo 9 del RGPD) y su tratamiento está prohibido salvo excepciones concretas. Si trabajas con ellos, como una clínica o un despacho laboralista, necesitas una solución pensada para eso.
• Datos de menores, salvo con una base muy clara.
• Información protegida por secreto profesional sin las garantías adecuadas: es un problema de protección de datos y también deontológico.
• Más datos de los necesarios. El principio de minimización (artículo 5.1.c del RGPD) pide usar solo los datos «adecuados, pertinentes y limitados a lo necesario». Para que la IA te ayude a redactar una carta, no necesita el DNI ni el número de cuenta del cliente.

Decisiones automatizadas: la IA no decide sola

Si usas la IA para algo más que redactar, por ejemplo para descartar candidatos, valorar si un cliente es solvente o fijar condiciones, recuerda que las personas tienen derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que les afecten de forma significativa (artículo 22 del RGPD). Debe haber siempre una persona que revise y decida.

El Reglamento de IA ya exige formación

Además del RGPD, el Reglamento (UE) 2024/1689 de Inteligencia Artificial obliga, desde el 2 de febrero de 2025, a que quienes usan sistemas de IA en su trabajo tengan un nivel suficiente de alfabetización en IA (artículo 4). No hace falta un máster: basta con que tu equipo sepa qué puede meter, qué no, cómo revisar lo que la IA devuelve y a quién preguntar.

Cómo ordenar el uso de la IA en tu empresa

1. Haz inventario: qué herramientas se usan ya, quién y para qué. Seguramente te sorprenda.
2. Elige herramientas autorizadas y contrata versiones de empresa con acuerdo de tratamiento.
3. Escribe una política de uso corta y clara: qué datos sí, qué datos no, qué hacer si hay dudas.
4. Quita los datos identificativos antes de usar la IA siempre que puedas (seudonimizar o anonimizar).
5. Actualiza tu registro de actividades y tus textos informativos si la IA forma parte de un tratamiento habitual.
6. Forma a tu equipo y deja constancia de esa formación.
7. Valora si necesitas una evaluación de impacto cuando el uso implique datos sensibles a gran escala o decisiones sobre personas.

¿Y si la IA no viera nunca los datos reales?

Para despachos, asesorías y empresas que trabajan a diario con documentos de clientes hemos creado Privia5: los datos personales se sustituyen antes de llegar a la IA, la IA trabaja con datos seudonimizados y tú conservas el registro que lo demuestra. Es la forma más sencilla de aprovechar la IA sin exponer la información de tus clientes.

Si quieres ordenar el uso de la IA en tu despacho, en nuestra página de IA conforme al RGPD te explicamos cómo lo hacemos, y en la de protección de datos para asesorías tienes lo específico de tu sector. Todo ello encaja dentro de nuestro servicio de protección de datos.