"¿Puedo pegar esto en ChatGPT?" es una de las preguntas que más nos hacen los equipos que empiezan a usar IA en su día a día. La respuesta corta es que la pregunta está mal planteada: no depende de si usas IA, depende de qué dato metes y en qué herramienta lo metes. Aquí va el criterio práctico, acotado a lo que puedes decidir tú hoy sin necesitar un dictamen legal.
Antes de seguir, una aclaración necesaria: esto es una guía de precaución práctica, no asesoramiento jurídico. Para decisiones sobre acuerdos de tratamiento de datos o transferencias internacionales, la respuesta correcta es preguntar a quien lleve tu cumplimiento normativo, no fiarte de un artículo.
¿Es legal usar IA con datos de clientes? La pregunta mal planteada
No existe un "sí" o un "no" genérico. Usar IA con datos de clientes es legal o no según tres cosas: qué tipo de dato es, qué herramienta usas y qué autorización tienes para tratar ese dato en primer lugar. La misma pregunta genérica ("¿puedo usar IA con datos de clientes?") tiene respuestas distintas si hablas de resumir un email comercial o de analizar el historial médico de un paciente.
El punto de partida sensato no es un "sí, con cuidado" ni un "no, nunca". Es separar qué dato estás a punto de pegar y en qué tipo de herramienta.
¿Qué no deberías pegar nunca en una IA de consumo?
Aquí va el test más útil que conocemos, y es deliberadamente simple: no pegues en una IA de consumo nada que no meterías en un email a un desconocido. Aplicado a datos de clientes, eso significa evitar sin excepción:
- Nombre + dato de salud. Diagnósticos, tratamientos, bajas médicas.
- Nombre + dato bancario. Números de cuenta, tarjetas, movimientos.
- Nombre + expediente legal o judicial. Litigios, sanciones, procedimientos abiertos.
El principio de fondo es el que ya exige el RGPD: minimización de datos. Antes de pegar cualquier cosa, pregúntate si el resultado que necesitas exige de verdad ese dato concreto, o si puedes lograrlo con una versión anonimizada o resumida. Casi siempre puedes.
¿Qué diferencia hay entre la versión gratuita y la de empresa de una IA?
Esta es la parte que más se ignora. No todas las versiones de una misma IA tratan tu dato igual. En muchas herramientas, la versión gratuita o personal puede usar lo que escribes para entrenar el modelo por defecto; los planes Enterprise o Business, habitualmente, no lo hacen por defecto. Pero esto varía por proveedor y por plan: no lo asumas, revísalo en la política de datos de la herramienta concreta antes de activarla con información real de tu empresa.
Antes de asumir nada: la política de uso de datos de cada proveedor cambia con el tiempo y varía entre planes. Es parte de lo mismo que se mira al elegir proveedor de IA: revisarla toma cinco minutos y evita sorpresas. No revisarla es la forma más habitual de meter la pata sin darse cuenta.
¿Qué hay que revisar antes de activar una IA con datos de clientes?
Un pequeño checklist, en orden:
- Minimiza. No metas más dato del que la tarea necesita de verdad.
- Revisa la política del proveedor. ¿Usa tus datos para entrenar? ¿Cuánto tiempo los retiene?
- Comprueba si necesitas un acuerdo de tratamiento. Si el proveedor va a tratar datos personales de tus clientes por tu cuenta de forma habitual, esto es algo que hay que revisar con quien lleve tu cumplimiento, no algo que se resuelve leyendo un post.
- Si hay transferencia de datos fuera de la UE, la misma regla: consulta con tu asesor antes de dar por bueno nada.
En la práctica: el error no suele ser técnico
En las revisiones que hacemos con empresas que empiezan a usar IA en el día a día, el error más repetido no es de sistemas ni de configuración: es que alguien pega un dato de cliente en el chat con la misma naturalidad con la que copiaría un párrafo de un documento interno. Nadie lo hace con mala intención. Simplemente nadie se ha parado a pensar que ese chat, según la herramienta, puede no ser tan privado como un documento guardado en el ordenador de la empresa.
Pegar un dato de cliente en un chat sin pensarlo conecta directamente con un problema más amplio: gran parte del uso de IA en una empresa ocurre sin que dirección lo sepa. Lo desarrollamos en nuestra guía sobre el shadow AI que ya está en tu empresa, y en cómo montar una gobernanza de IA que sí se aplica encontrarás la plantilla de dos páginas para decidir, por escrito, qué datos entran y cuáles no.
Si tu conclusión, tras leer esto, es que tu empresa todavía no está lista para meter datos reales de clientes en ninguna IA, esa es una conclusión legítima. Repasa cuándo no usar IA en tu empresa para decidirlo con criterio, no por miedo.