ChatGPT, Claude, Copilot y Gemini no están permitidos en el trabajo si vas a poner datos personales. Salvo que lo hagas así.

1. La respuesta corta

Nunca metas datos personales de la empresa, de clientes o de la plantilla en una cuenta personal de IA (incluidas las de pago: Pro, Plus, Max o Go). Con un plan de empresa, el entrenamiento desactivado, las personas informadas y una lista corta de usos aprobados, puedes usar estas herramientas con tranquilidad y sin pedir consentimiento a cada persona.

2. La cuenta importa más que la herramienta

La misma herramienta cambia de naturaleza jurídica según la cuenta. Con una cuenta personal (incluidas las de pago: Pro, Plus, Max o Go), el proveedor trata tus datos como responsable y con sus propias condiciones. Con un plan de empresa, el contrato de encargo del tratamiento forma parte de sus condiciones, que es lo que exige el artículo 28 del RGPD cuando alguien trata datos por tu cuenta.

He leído las condiciones públicas de los cuatro proveedores el 29 de octubre de 2026. Esto es lo que dicen, con sus palabras.

3. Dónde van tus datos y cuánto tiempo se quedan

Contratar un plan de empresa resuelve el encargo. No resuelve por sí solo dónde se procesan los datos ni cuánto se conservan. Cuatro cosas que conviene saber antes de firmar.

4. Las 12 cosas que no puedes hacer (y qué hacer en su lugar)

Cada regla lleva su etiqueta. "Ley" es una obligación con artículo. "Recomendación" es criterio profesional para cumplirla sin dramas. Primero lo que no se hace, después la alternativa.

1. 1

   Usar cuentas personales con datos de la empresa o de clientes

   Ley
   No

   Pegar un contrato, un listado de clientes o un parte médico en un ChatGPT Plus, un Claude Pro, un Copilot personal o un Gemini personal, aunque la cuenta la pague la empresa.

   En su lugar

   Plan de empresa con contrato de encargo: Claude Team, Enterprise o API, ChatGPT Business, Enterprise o API, Copilot con cuenta de trabajo o Gemini en una edición apta de Workspace. Y, como medida organizativa que recomiendo, bloquear las cuentas personales en los equipos corporativos.

   Fundamento Art. 28 RGPD. En Claude de consumo para el EEE, además, el uso comercial está prohibido por sus condiciones (sección 11).

2. 2

   Subir a un asistente general datos que exigen garantías especiales

   Recomendación
   No

   Contraseñas, claves y tokens. Datos de salud, ideología, afiliación sindical, orientación sexual o biometría. Datos penales. Datos que tratas por encargo de un cliente sin su autorización para ese proveedor. Información protegida por un acuerdo de confidencialidad.

   En su lugar

   Una lista interna de datos vetados, por tipo de dato y no por nombre de fichero. Manda el contenido: un presupuesto puede llevar un diagnóstico. Antes de subir, se recorta lo que no aporta.

   Fundamento Arts. 9 y 10 RGPD para las categorías especiales y los datos penales, que solo se tratan con una excepción y con garantías. El RGPD no tiene una "lista de datos prohibidos en IA": esta lista es una recomendación construida sobre los requisitos de cada tipo de dato.

3. 3

   Meter al proveedor de IA como subencargado sin que tu cliente lo sepa

   Ley
   No

   Procesar con IA datos que tratas por cuenta de un cliente sin su autorización previa por escrito para ese proveedor.

   En su lugar

   Si tu contrato de encargo tiene autorización general, avisa al cliente antes y dale la oportunidad de oponerse. Si es específica, pide la autorización por escrito. El subencargado asume las mismas obligaciones que tú.

   Fundamento Arts. 28.2 y 28.4 RGPD. Directrices de la AEPD sobre contratos entre responsables y encargados, apartado 11.

4. 4

   Creer que quitar el nombre es anonimizar

   Ley
   No

   Borrar el nombre y dejar el puesto, el municipio, la fecha del siniestro y el importe. Esa persona sigue siendo identificable.

   En su lugar

   Preguntarse si alguien, con lo que queda y con lo que ya sabe, puede volver a la persona. Si la respuesta es sí, sigue siendo dato personal y se trata como tal. Para la mayoría de tareas basta con subir solo lo necesario.

   Fundamento Art. 4.1 y considerando 26 RGPD: es dato personal el de una persona identificable "directa o indirectamente".

5. 5

   Tratar datos con IA sin decirlo en la información de privacidad

   Ley
   No

   Usar proveedores de IA como destinatarios de datos sin que aparezcan, al menos por categorías, en la información que das a clientes, candidatos y plantilla.

   En su lugar

   Actualiza la información: destinatarios o categorías de destinatarios (proveedores tecnológicos y de IA), transferencias fuera del EEE con su garantía y cómo obtener copia. Por categorías vale, lo más concretas posible, pero ten identificados los proveedores reales por si alguien ejerce el derecho de acceso. Si el cambio es relevante para quien ya dio sus datos, comunícalo antes del nuevo uso por un medio que llegue. No hace falta un envío masivo.

   Fundamento Arts. 13.1.e y f y 14.1.e y f RGPD. Plazos del art. 14.3: como máximo un mes, o antes si te comunicas con la persona o cedes sus datos. Directrices sobre transparencia WP260 rev.01, anexo.

6. 6

   Dejar que la IA decida sola algo con efectos jurídicos o de importancia similar para una persona

   Ley
   No

   Rechazar un candidato, denegar un crédito o cerrar una cuenta solo con la salida de un modelo. Una "revisión humana" de trámite, donde la persona firma lo que dice la máquina, no cuenta.

   En su lugar

   El artículo 22 entra cuando la decisión produce efectos jurídicos o afecta a la persona de modo similar: rechazar, denegar, despedir, cerrar. Clasificar correos o proponer un borrador, no. En esos casos, que decida una persona con criterio y con poder real de cambiar el resultado. Si de verdad necesitas una decisión automatizada, solo cabe en tres casos: necesaria para celebrar o ejecutar un contrato con esa persona, autorizada por una ley con garantías o con consentimiento explícito. En contrato y consentimiento, garantiza intervención humana, poder expresar su punto de vista e impugnar. Si la IA elabora perfiles, informa de ello aunque decida una persona.

   Fundamento Art. 22 RGPD. Art. 11.2 LOPDGDD para la información sobre perfiles.

7. 7

   Cruzar las líneas rojas del Reglamento de IA

   Ley
   No

   Usar IA para inferir emociones de empleados o alumnos a partir de datos biométricos, por ejemplo analizando la voz o la cara en reuniones o aulas.

   En su lugar

   Esa herramienta no entra en la empresa, salvo motivos médicos o de seguridad. El resto de prácticas prohibidas del artículo 5 (categorización biométrica para deducir datos sensibles, puntuación social, manipulación subliminal) tampoco se compran "para probar".

   Fundamento Art. 5.1.f del Reglamento (UE) 2024/1689, aplicable desde el 2 de febrero de 2025.

8. 8

   Dejar a la plantilla sin formación en IA

   Ley
   No

   Dar acceso a Copilot o a ChatGPT y confiar en que cada uno "ya sabe".

   En su lugar

   Medidas de apoyo a la alfabetización en IA adaptadas a lo que cada persona usa: una sesión corta, una guía de un folio, el catálogo de herramientas con sus reglas. No exige un curso homologado ni un título. Guarda constancia de lo hecho.

   Fundamento Art. 4 del Reglamento de IA en la redacción del Reglamento (UE) 2026/1744, aplicable desde el 2 de febrero de 2025. El texto nuevo aclara que la obligación "no exige" garantizar un nivel concreto a ninguna persona en particular.

9. 9

   Publicar contenido artificial sin decirlo cuando la ley lo pide

   Ley
   No

   Difundir una imagen, un audio o un vídeo generados o manipulados por IA que parezcan auténticos (una ultrasuplantación) sin indicar que son artificiales. O publicar un texto hecho con IA para informar sobre un asunto de interés público sin revisión humana ni responsable editorial.

   En su lugar

   Indica siempre que las ultrasuplantaciones son artificiales. En obras artísticas, creativas, satíricas o de ficción, de forma que no estorbe la obra. En textos de interés público, o lo etiquetas o alguien revisa y asume la responsabilidad editorial. Si ofreces un chatbot con tu marca, asegúrate de que el usuario sabe que habla con una IA, salvo que sea evidente. No hace falta etiquetar cada correo o cada publicación hecha con IA.

   Fundamento Arts. 3.60, 50.1 y 50.4 del Reglamento de IA, aplicables desde el 2 de agosto de 2026. Art. 3.3: quien pone el sistema en servicio con su propio nombre o marca puede ser "proveedor" aunque encargue el desarrollo.

10. 10

    Usar IA para seleccionar o evaluar personal como si fuera un filtro más

    Ley
    No

    Cribar currículos, puntuar entrevistas o decidir ascensos con IA sin tratarlo como lo que normalmente es: un uso de alto riesgo.

    En su lugar

    Hoy ya: informar a la representación legal de los trabajadores de los parámetros, reglas e instrucciones del algoritmo que influye en decisiones sobre condiciones de trabajo o acceso y mantenimiento del empleo. Eso no sustituye la información a cada persona. Y planificar las obligaciones de alto riesgo, que llegan en general el 2 de diciembre de 2027, entre ellas informar antes a los trabajadores afectados y a sus representantes.

    Fundamento Art. 64.4.d del Estatuto de los Trabajadores, ya vigente. Anexo III y art. 26.7 del Reglamento de IA, con las fechas del Reglamento (UE) 2026/1744.

11. 11

    Ignorar la letra pequeña de cada licencia

    Recomendación
    No

    Firmar el plan "Business" y dar por hecho que cubre datos de salud, que procesa en Europa o que incluye todos los módulos.

    En su lugar

    Leer tres cosas antes de firmar: usos restringidos (algunas licencias limitan usos médicos o con datos de salud), región de procesamiento y su precio (procesar solo en una región suele costar más) y qué productos quedan fuera (en Workspace, Gemini Notebook no entra en las regiones de datos).

    Fundamento Criterio profesional, sobre las condiciones citadas en el punto 3 (consultadas el 29/10/2026).

12. 12

    Reutilizar con IA lo que llega por tus formularios sin avisar antes

    Ley
    No

    Pasar por un asistente de IA los mensajes del formulario de contacto, las candidaturas o los tickets de soporte con una política de privacidad que no lo cuenta.

    En su lugar

    Adaptar antes la política: destinatarios, transferencias y, si procede, el uso de IA en ese tratamiento. Es un cambio de media hora que evita un tratamiento no informado.

    Fundamento Arts. 13 y 14 RGPD. Art. 11 LOPDGDD para la información por capas.

5. Lo que sí puedes hacer: 6 mitos que frenan sin motivo

Muchas de las empresas que me consultan tienen miedo a cosas que no exige nadie. Estas seis son las más repetidas.

6. Pon orden en una tarde: el catálogo de herramientas de IA

La norma no habla de "catálogo". Es mi recomendación para convertir todo lo anterior en algo que la plantilla pueda cumplir sin leer el RGPD. Una tabla, comunicada con acuse de recibo, que puede ir junto a las normas de uso de dispositivos digitales. Así ordenas las medidas, formas a cada persona en lo suyo, evitas las cuentas personales y puedes demostrar lo hecho.

Ejemplo de catálogo. Las filas se adaptan a cada empresa.

Configuración mínima que pido siempre

• Entrenamiento desactivado y comprobado en la consola de administración, no solo en el perfil de un usuario.
• Botón de valorar respuestas desactivado en Claude. Ese botón permite guardar la conversación hasta 5 años y usarla para entrenar.
• Plazos de conservación fijados para chats, archivos y proyectos, y una persona encargada de que se cumplan.
• Flex routing de Copilot revisado si algún contrato exige procesamiento en la UE.
• Cuentas personales bloqueadas en los equipos corporativos, incluida la directiva de Microsoft "Multiple account access to Copilot for work documents".

7. Lo que ya aplica y lo que viene

Casi nada de esto es futuro. El RGPD se aplica desde el 25 de mayo de 2018 y el Reglamento de IA ya rige lo que toca a este artículo, salvo dos fechas que aún están por llegar.