La cuenta personal
Un comercial abre ChatGPT con su correo de Gmail y pega el contrato de un cliente para resumirlo. La empresa no tiene registro, ni contrato de encargado, ni forma de saber qué ha salido por ahí.
Blog · Guía pyme · ChatGPT · RGPD
ChatGPT en la empresa: lo que el RGPD te deja meter dentro
Tu equipo ya lo usa, casi siempre desde su cuenta personal. Autorizar o prohibir dejó de ser la pregunta útil. Queda saber qué versión protege tus datos, qué no debe salir nunca en un chat y quién responde si aparece ahí el expediente de un cliente.
Respuesta corta
El problema no es ChatGPT, es la cuenta desde la que se usa
En una cuenta personal, las conversaciones sirven por defecto para entrenar los modelos. En una cuenta de empresa o a través de la API, no. Misma interfaz, mismo modelo, dos regímenes jurídicos distintos.
La cuenta de empresa
ChatGPT Business cambia tres cosas: tus contenidos quedan fuera del entrenamiento, OpenAI firma un contrato de encargado del tratamiento y las cuentas se gestionan desde un espacio único que cierras cuando alguien se va.
Lo que no cambia
El responsable del tratamiento eres tú. Ninguna suscripción traslada esa responsabilidad. Se sostiene con reglas escritas, información a la plantilla y una línea en tu registro de actividades.
Las versiones
Cuenta personal, Business y API: qué cambia de verdad
Tres familias de planes, tres niveles de compromiso por parte de OpenAI. El precio importa menos que la línea del contrato que dice qué se hace con tus contenidos. El detalle está en la página de privacidad para empresas de OpenAI. Cuando un dato no debe salir del país, la pregunta pasa del contrato a la infraestructura, y ahí n8n autoalojado sigue siendo la respuesta más simple.
Free, Go, Plus, Pro
Cuentas personales
Entrenamiento activado por defecto.
Se desactiva en los ajustes, sin efecto retroactivo.
Ningún contrato entre OpenAI y tu empresa.
ChatGPT Business
La base de una pyme
Contenidos excluidos del entrenamiento por defecto.
Contrato de encargado firmado y cuentas gestionadas.
Sin alojamiento de datos en Europa en este nivel.
Enterprise, Edu, API
Cuando el dato es sensible
Alojamiento en reposo en Europa disponible.
En la API, 30 días de conservación, reducibles a cero previa aprobación.
Con presupuesto a medida y un volumen de licencias que pocas pymes alcanzan.
Método
Cuatro decisiones antes de volver a hablar del tema en una reunión
01
Abre cuentas de empresa a quien toca datos
Comercial, administración, personas, dirección: en cuanto alguien maneja contratos, precios o expedientes de clientes, trabaja desde una cuenta gestionada. Para el resto del equipo, una cuenta personal sin datos de la empresa suele bastar.
02
Escribe la lista de lo que no sale
Una página, no quince. Nombres y contactos de clientes, nóminas, datos de salud, cuentas bancarias, código fuente, contratos con cláusula de confidencialidad. Todo lo demás pasa.
03
Corta el entrenamiento donde siga activo
En las cuentas personales que ya se usan para trabajar: ajustes, controles de datos y el interruptor que autoriza mejorar el modelo. Se hace en diez segundos y solo vale hacia delante, nunca para lo que ya salió.
04
Añade una línea a tu registro de actividades
Finalidad, categorías de datos, encargado, plazo de conservación, base jurídica. Una línea. Es el documento que te pedirán primero si un empleado o un cliente hace una pregunta.
Límites
Lo que no entra en un chat, ni siquiera en una cuenta de empresa
Una cuenta gestionada protege del entrenamiento, no de la fuga. El dato cruza igualmente el Atlántico, pasa por un proveedor y acaba en un historial que ve cualquiera que abra la sesión. Tres categorías se quedan fuera.
Lo que identifica a una persona
Nombre, dirección, número de la Seguridad Social, salario, baja médica. Un nombre de pila suelto pasa. Una tabla de nóminas completa, no: anonimiza antes de pegar.
Lo que pertenece a un cliente
Muchos contratos B2B prohíben ceder información a un tercero sin permiso por escrito. Un proveedor de IA es un tercero. Lee la cláusula antes, no después.
Las llaves de acceso
Contraseñas, claves de API, tokens, accesos a servidores. Pegados una vez en un chat, hay que darlos por comprometidos y regenerarlos.
Estas tres reglas cubren casi todos los incidentes que veo en trabajo de consultoría. El resto casi siempre viene de alguien que no sabía que estaba haciendo algo arriesgado.
Calendario
Desde el 3 de agosto de 2026, formar al equipo ya no es una buena intención
El artículo 4 del reglamento europeo de IA pide a las empresas que despliegan un sistema de IA garantizar un nivel suficiente de alfabetización entre quienes lo usan. La obligación existe desde el 2 de febrero de 2025. Lo que cambió el 3 de agosto de 2026 es que las autoridades nacionales ya están en marcha y las sanciones previstas por cada Estado miembro pasan a ser aplicables.
En una pyme esto se resume en tres pruebas: una política escrita, una sesión de formación con fecha y la lista de quienes asistieron. Nada imposible, pero nada que se improvise el día de una inspección. Para la parte de datos personales, la AEPD publica su guía de adecuación al RGPD de los tratamientos con IA.
FAQ
Preguntas frecuentes
¿ChatGPT cumple el RGPD?
La pregunta no se resuelve en la herramienta sino en el tratamiento. En una cuenta de empresa, OpenAI firma un contrato de encargado del tratamiento y no entrena sus modelos con tus contenidos. El responsable sigue siendo la empresa, que debe informar a su plantilla, mantener su registro de actividades y escribir sus reglas de uso.
¿Hay que prohibir ChatGPT en la empresa?
Prohibirlo sin más traslada el problema a los móviles personales, donde la empresa ya no ve nada. Abrir cuentas de empresa a quien las necesita y escribir una página de reglas protege más que una circular interna.
¿Qué versión de ChatGPT elegir para una pyme?
ChatGPT Business cubre a la mayoría de pymes: contenidos excluidos del entrenamiento por defecto, contrato de encargado del tratamiento y cuentas gestionadas desde un único espacio. Enterprise y la API se justifican cuando el dato es sensible o cuando hace falta alojamiento en reposo en Europa.
¿Los datos enviados a ChatGPT se quedan en Europa?
No por defecto. OpenAI ofrece alojamiento de datos en reposo en Europa para los nuevos espacios Enterprise y Edu y para clientes de API elegibles. En el resto de planes, el tratamiento sale de la Unión Europea y se apoya en las cláusulas contractuales tipo.
¿Qué debe contener una política de uso de IA?
Con una página basta: la lista de herramientas autorizadas, la lista de datos prohibidos, la regla de revisar antes de enviar nada a un cliente y el nombre de la persona a quien preguntar. Si ocupa más, nadie la lee.
Lo siguiente
Por dónde seguir
Escribir las reglas lleva una hora. Saber cuáles aplican a tu actividad lleva algo más, y es justo lo que cubre el diagnóstico IA. Después llegan las primeras automatizaciones, con el marco ya puesto.
El diagnóstico IA
90 minutos sobre tus tareas y sales con un plan ordenado por prioridad. El paso que hay que dar cuando todo parece urgente a la vez.
La formación IA en empresa
Cuatro sesiones privadas, la política escrita contigo y la lista de asistentes. Suficiente para cubrir la obligación de formación sin comprar un catálogo.
Los agentes IA a medida
Instalo el sistema en tus cuentas, con tus reglas. Tú revisas, tú validas, y la tarea sigue funcionando sin ti.