ChatGPT en tu negocio: los datos de clientes que nunca deberías pegar

Tienes un correo de un cliente enfadado y no sabes cómo contestarle. Lo copias entero en ChatGPT y le pides una respuesta educada. Son diez segundos y funciona muy bien. Pero acabas de enviar a un tercero el nombre, el correo y la queja de una persona, y eso es un tratamiento de datos personales con todas las de la ley.

Por qué importa lo que escribes en el chat

Lo que pegas viaja a los servidores de un proveedor. La propia AEPD, en su política interna para usar IA generativa, enumera riesgos como que el proveedor use los datos para entrenar o mejorar el servicio, que los conserve mucho tiempo o que no sepas dónde se almacenan. Por eso pide que los usuarios no introduzcan datos personales ni información no pública en sistemas que no estén autorizados para tratarlos.

Es una norma pensada para una administración, pero la lógica sirve para cualquier negocio: el RGPD te obliga a usar solo los datos necesarios y a tener controlado quién los recibe.

Lo que no deberías pegar nunca

• Datos de salud, origen étnico, religión, afiliación sindical, orientación sexual, datos biométricos o genéticos. El RGPD parte de la prohibición de tratarlos y solo permite excepciones concretas.
• Datos de identificación completos: DNI, direcciones, teléfonos, correos, números de cuenta.
• Datos de empleados: nóminas, partes de baja, currículums, evaluaciones, expedientes disciplinarios.
• Contratos, presupuestos o facturas con nombres y cifras de clientes reales.
• Cadenas de correos enteras con firmas, teléfonos y datos de terceros que ni siquiera ves a primera vista.
• Contraseñas, claves de acceso e información interna que no sea pública.

Cómo usarla sin exponer a nadie

Casi siempre puedes pedir lo mismo sin los datos. Cambia los nombres por «Cliente A» y «Cliente B», quita importes exactos y describe la situación en general. Si el cliente se queja de que su pedido llegó tarde, a la IA le basta saber eso.

Ten cuidado con los datos que identifican sin nombrar. En una isla pequeña, «el dueño del bar de la esquina que se quejó el martes» señala a una persona concreta aunque no escribas su nombre.

Cuenta personal o cuenta de empresa

Si tu negocio usa una IA de forma habitual con datos de clientes, la cuenta gratuita personal no es el sitio. La AEPD recomienda contratar modalidades empresariales, con cláusulas que impidan reutilizar los datos, y revisar los ajustes de privacidad para desactivar lo que no necesites.

Además, cuando un proveedor trata datos personales por tu cuenta, hace falta un contrato de encargado de tratamiento por escrito. Lee las condiciones del plan que contratas antes de meter nada sensible, y no des por hecho lo que hace o deja de hacer cada herramienta con tus datos.

Qué añade el Reglamento europeo de IA

El Reglamento (UE) 2024/1689 no sustituye al RGPD. Se aplican los dos. Su artículo 4 obliga a quienes usan IA a adoptar medidas para apoyar la alfabetización de las personas que la manejan. El ómnibus digital de IA (Reglamento 2026/1744) cambió esa redacción: desde el 27 de julio de 2026 la obligación habla de apoyar la promoción de esa formación y ya no de garantizar un nivel concreto. Sigue siendo una obligación de las empresas, solo que con un listón más flexible.

Si pones un asistente automático de cara al público en tu web o en WhatsApp, además, las personas deben saber que hablan con una IA.

Una norma escrita de media página

Lo que más ayuda es una hoja corta que lea todo el equipo: qué herramientas están permitidas, qué datos no se pegan nunca y que todo lo que sale de la IA se revisa antes de enviarlo a un cliente. Las IA se equivocan con aplomo, y un error tuyo con datos de un cliente sigue siendo un error tuyo.

Resumen práctico

• Antes de pegar algo, pregúntate si identifica a una persona. Si sí, quítalo.
• Nada de datos de salud, nóminas, DNI ni currículums en herramientas sin contrato adecuado.
• Sustituye nombres e importes por etiquetas genéricas.
• Usa cuenta de empresa y revisa los ajustes de privacidad y las condiciones sobre entrenamiento.
• Si el proveedor trata datos por tu cuenta, firma el contrato de encargado.
• Escribe una norma de uso interna y forma al equipo.

En Guardián de Datos ayudamos a redactar esa norma de uso y a formar al equipo para que la cumpla.