1. La resposta curta
No posis mai dades personals de l'empresa, de clients o de la plantilla en un compte personal d'IA (inclosos els de pagament: Pro, Plus, Max o Go). Amb un pla d'empresa, l'entrenament desactivat, les persones informades i una llista curta d'usos aprovats, pots fer servir aquestes eines amb tranquil·litat i sense demanar consentiment a cada persona.
Abans d'enganxar res en un xat, quatre preguntes. És un compte d'empresa amb contracte d'encàrrec? Cal aquesta dada per a la tasca? És un tipus de dada permès? Aquest ús és a la llista aprovada? Quatre sís, endavant. Un no, atura't.
2. El compte importa més que l'eina
La mateixa eina canvia de naturalesa jurídica segons el compte. Amb un compte personal (inclosos els de pagament: Pro, Plus, Max o Go), el proveïdor tracta les teves dades com a responsable i amb les seves pròpies condicions. Amb un pla d'empresa, el contracte d'encàrrec del tractament forma part de les seves condicions, que és el que exigeix l'article 28 del RGPD quan algú tracta dades per compte teu.
He llegit les condicions públiques dels quatre proveïdors el 29 d'octubre de 2026. Això és el que diuen, amb les seves paraules.
| Pla | Contracte d'encàrrec? | El que diu el proveïdor | Font i data |
|---|---|---|---|
| Claude Free, Pro i Max | No | Productes de consum. Per a residents a l'EEE, les seves condicions diuen: "You agree that you will not use our Services for any commercial or business purposes". | Anthropic, condicions de consum EEE (08/10/2025) |
| Claude Team, Enterprise i API | Sí | "The customer is the Controller" i "Anthropic acts as a Processor". El DPA amb clàusules contractuals tipus va incorporat a les condicions comercials. | Anthropic, centre de privacitat: rols de responsable i encarregat (consultat el 29/10/2026) i DPA (16/03/2026) |
| ChatGPT Free, Go, Plus i Pro | No | L'Acord de Serveis "no se aplica a los servicios de OpenAI utilizados por consumidores o personas físicas". Excepció mínima: ChatGPT Sites té un DPA només per a les dades que recull el lloc publicat, "no se aplica" als teus prompts ni fitxers. | OpenAI, Acord de Serveis (01/01/2026) i DPA de ChatGPT Sites (09/07/2026) |
| ChatGPT Business, Enterprise i API | Sí | El DPA "supplements, and is incorporated into, the OpenAI Services Agreement" i OpenAI "acts as a Data Processor". | OpenAI, DPA (01/01/2026) |
| Copilot amb compte personal | No | "Copilot in Microsoft 365 apps is covered by the Microsoft Services Agreement". Les condicions de Copilot per a particulars afegeixen: "You can only use Copilot for your own personal use". | Microsoft Support i termes de Copilot per a particulars (consultats el 29/10/2026) |
| Copilot amb compte de feina | Sí | Cobert pel DPA i els Product Terms "with Microsoft acting as a data processor". Les cerques web a Bing en queden fora: allà Microsoft "acts as an independent data controller". | Microsoft Learn (18/08/2026) |
| Gemini amb compte personal | No | Revisors humans llegeixen part dels xats i "Reviewed chats are retained for up to three years". Google demana: "Please don't enter confidential information that you wouldn't want a reviewer to see". | Google, Gemini Apps Privacy Hub (26/10/2026) |
| Gemini a Google Workspace (edició apta) | Sí | "User prompts are considered customer data under the Cloud Data Processing Addendum". Només amb una edició de Workspace que compleixi els requisits. | Google Workspace, Privacy Hub (06/10/2026) |
Desactivar l'entrenament no substitueix el contracte d'encàrrec: són dues coses diferents. I una llicència de Workspace Individual té contracte d'encàrrec per a l'ús professional, però Gemini hi figura com a "servei addicional" sota les condicions de consum de Google (consultat el 29/10/2026).
3. On van les teves dades i quant de temps s'hi queden
Contractar un pla d'empresa resol l'encàrrec. No resol per si sol on es processen les dades ni quant de temps es conserven. Quatre coses que convé saber abans de signar.
Claude guarda als Estats Units i enruta on decideix Anthropic
Anthropic diu que "data is stored in the US" i que, per defecte, pot enrutar el trànsit a "select countries in the US, Europe, Asia and Australia, unless otherwise agreed upon". L'única opció regional de claude.ai és "US-only inference", només per a Enterprise amb facturació per ús i amb un multiplicador d'1,1 sobre les tarifes d'ús dels models recents (un 10 % més, sense canviar les quotes per seient). A l'API, el paràmetre inference_geo admet "global" o "us". No hi ha opció "només UE" al servei directe. Per processar a Europa cal anar a Claude a Amazon Bedrock o a Google Cloud i comprovar model, perfil d'inferència i abast (Anthropic, 15/06/2026).
Els xats no caduquen sols
A Claude Team i Enterprise els xats es guarden fins que algú els esborra. En esborrar-los surten dels sistemes en un termini ordinari de 30 dies. Els xats d'incògnit s'esborren sols en 30 dies. Si un sistema de seguretat marca una conversa, fins a 2 anys, i la seva puntuació fins a 7 anys. Si algú prem el botó de valorar una resposta, la conversa pot guardar-se fins a 5 anys i fer-se servir per entrenar. Els propietaris de Team i Enterprise poden desactivar aquest botó. Els terminis personalitzats són només d'Enterprise (Anthropic, 01/07/2026 i 18/08/2026).
Copilot pot sortir de la UE en hores punta
Microsoft activa per defecte el "flex routing" als tenants elegibles (els que són dins del límit de dades de la UE) creats després del 25 de març de 2026. Amb ell, la inferència pot executar-se als Estats Units, el Canadà o Austràlia en pics de demanda. Es desactiva al centre d'administració de Microsoft 365. A més, els models d'Anthropic dins de Copilot queden fora del límit de dades de la UE (Microsoft Learn, 29/09/2026 i 18/08/2026).
Regió europea a ChatGPT i Gemini: només als plans alts o amb complement
OpenAI ofereix residència de dades a Europa, i també residència de la inferència, per a clients de ChatGPT Enterprise i Edu i de l'API. El seu article d'ajuda no esmenta Business. A Google Workspace, les edicions amb regions de dades guarden en regió els xats de Gemini, però el processament en regió només el cobreixen Enterprise Data Regions (inclòs a Enterprise Plus, Enterprise Essentials Plus i Frontline Plus, o com a complement de pagament per a les edicions amb Fundamental Data Regions) i Assured Controls (complement). Gemini Notebook en queda fora (OpenAI i Google, consultats el 29/10/2026).
He filtrat la llista de participants actius del Marc de Privacitat de Dades UE-EUA el 29 d'octubre de 2026. Microsoft Corporation i Google LLC hi apareixen. Anthropic i OpenAI, no. Els seus contractes d'encàrrec es recolzen en les clàusules contractuals tipus, així que et toca documentar que aquesta garantia funciona per al servei i les destinacions reals. Pot ser una avaluació breu, seguint les Recomanacions 01/2020 del Comitè Europeu de Protecció de Dades.
4. Les 12 coses que no pots fer (i què fer en el seu lloc)
Cada regla porta la seva etiqueta. "Llei" és una obligació amb article. "Recomanació" és criteri professional per complir-la sense drames. Primer el que no es fa, després l'alternativa.
-
1
Fer servir comptes personals amb dades de l'empresa o de clients
LleiNoEnganxar un contracte, un llistat de clients o un comunicat mèdic en un ChatGPT Plus, un Claude Pro, un Copilot personal o un Gemini personal, encara que el compte el pagui l'empresa.
En el seu llocPla d'empresa amb contracte d'encàrrec: Claude Team, Enterprise o API, ChatGPT Business, Enterprise o API, Copilot amb compte de feina o Gemini en una edició apta de Workspace. I, com a mesura organitzativa que recomano, bloquejar els comptes personals als equips corporatius.
Fonament Art. 28 RGPD. A Claude de consum per a l'EEE, a més, l'ús comercial està prohibit per les seves condicions (secció 11).
-
2
Pujar a un assistent general dades que exigeixen garanties especials
RecomanacióNoContrasenyes, claus i tokens. Dades de salut, ideologia, afiliació sindical, orientació sexual o biometria. Dades penals. Dades que tractes per encàrrec d'un client sense la seva autorització per a aquest proveïdor. Informació protegida per un acord de confidencialitat.
En el seu llocUna llista interna de dades vetades, per tipus de dada i no per nom de fitxer. Mana el contingut: un pressupost pot portar un diagnòstic. Abans de pujar, es retalla el que no aporta.
Fonament Arts. 9 i 10 RGPD per a les categories especials i les dades penals, que només es tracten amb una excepció i amb garanties. El RGPD no té cap "llista de dades prohibides en IA": aquesta llista és una recomanació construïda sobre els requisits de cada tipus de dada.
-
3
Posar el proveïdor d'IA com a subencarregat sense que el teu client ho sàpiga
LleiNoProcessar amb IA dades que tractes per compte d'un client sense la seva autorització prèvia per escrit per a aquest proveïdor.
En el seu llocSi el teu contracte d'encàrrec té autorització general, avisa el client abans i dona-li l'oportunitat d'oposar-s'hi. Si és específica, demana l'autorització per escrit. El subencarregat assumeix les mateixes obligacions que tu.
Fonament Arts. 28.2 i 28.4 RGPD. Directrius de l'AEPD sobre contractes entre responsables i encarregats, apartat 11.
-
4
Creure que treure el nom és anonimitzar
LleiNoEsborrar el nom i deixar el lloc de treball, el municipi, la data del sinistre i l'import. Aquesta persona continua sent identificable.
En el seu llocPreguntar-se si algú, amb el que queda i amb el que ja sap, pot tornar a la persona. Si la resposta és sí, continua sent dada personal i es tracta com a tal. Per a la majoria de tasques n'hi ha prou amb pujar només el necessari.
Fonament Art. 4.1 i considerant 26 RGPD: és dada personal la d'una persona identificable "directament o indirectament".
-
5
Tractar dades amb IA sense dir-ho a la informació de privacitat
LleiNoFer servir proveïdors d'IA com a destinataris de dades sense que apareguin, almenys per categories, a la informació que dones a clients, candidats i plantilla.
En el seu llocActualitza la informació: destinataris o categories de destinataris (proveïdors tecnològics i d'IA), transferències fora de l'EEE amb la seva garantia i com obtenir-ne còpia. Per categories val, com més concretes millor, però tingues identificats els proveïdors reals per si algú exerceix el dret d'accés. Si el canvi és rellevant per a qui ja va donar les seves dades, comunica-ho abans del nou ús per un mitjà que arribi. No cal un enviament massiu.
Fonament Arts. 13.1.e i f i 14.1.e i f RGPD. Terminis de l'art. 14.3: com a màxim un mes, o abans si et comuniques amb la persona o cedeixes les seves dades. Directrius sobre transparència WP260 rev.01, annex.
-
6
Deixar que la IA decideixi sola alguna cosa amb efectes jurídics o d'importància similar per a una persona
LleiNoRebutjar un candidat, denegar un crèdit o tancar un compte només amb la sortida d'un model. Una "revisió humana" de tràmit, on la persona signa el que diu la màquina, no compta.
En el seu llocL'article 22 entra quan la decisió produeix efectes jurídics o afecta la persona de manera similar: rebutjar, denegar, acomiadar, tancar. Classificar correus o proposar un esborrany, no. En aquests casos, que decideixi una persona amb criteri i amb poder real de canviar el resultat. Si de debò necessites una decisió automatitzada, només cap en tres casos: necessària per celebrar o executar un contracte amb aquesta persona, autoritzada per una llei amb garanties o amb consentiment explícit. En contracte i consentiment, garanteix intervenció humana, poder expressar el seu punt de vista i impugnar. Si la IA elabora perfils, informa'n encara que decideixi una persona.
Fonament Art. 22 RGPD. Art. 11.2 LOPDGDD per a la informació sobre perfils.
-
7
Creuar les línies vermelles del Reglament d'IA
LleiNoFer servir IA per inferir emocions d'empleats o alumnes a partir de dades biomètriques, per exemple analitzant la veu o la cara en reunions o aules.
En el seu llocAquesta eina no entra a l'empresa, llevat de motius mèdics o de seguretat. La resta de pràctiques prohibides de l'article 5 (categorització biomètrica per deduir dades sensibles, puntuació social, manipulació subliminal) tampoc no es compren "per provar".
Fonament Art. 5.1.f del Reglament (UE) 2024/1689, aplicable des del 2 de febrer de 2025.
-
8
Deixar la plantilla sense formació en IA
LleiNoDonar accés a Copilot o a ChatGPT i confiar que cadascú "ja en sap".
En el seu llocMesures de suport a l'alfabetització en IA adaptades al que cada persona fa servir: una sessió curta, una guia d'un full, el catàleg d'eines amb les seves regles. No exigeix un curs homologat ni un títol. Guarda constància del que s'ha fet.
Fonament Art. 4 del Reglament d'IA en la redacció del Reglament (UE) 2026/1744, aplicable des del 2 de febrer de 2025. El text nou aclareix que l'obligació "no exigeix" garantir un nivell concret a cap persona en particular.
-
9
Publicar contingut artificial sense dir-ho quan la llei ho demana
LleiNoDifondre una imatge, un àudio o un vídeo generats o manipulats per IA que semblin autèntics (una ultrasuplantació) sense indicar que són artificials. O publicar un text fet amb IA per informar sobre un assumpte d'interès públic sense revisió humana ni responsable editorial.
En el seu llocIndica sempre que les ultrasuplantacions són artificials. En obres artístiques, creatives, satíriques o de ficció, de manera que no destorbi l'obra. En textos d'interès públic, o ho etiquetes o algú revisa i assumeix la responsabilitat editorial. Si ofereixes un chatbot amb la teva marca, assegura't que l'usuari sap que parla amb una IA, llevat que sigui evident. No cal etiquetar cada correu o cada publicació feta amb IA.
Fonament Arts. 3.60, 50.1 i 50.4 del Reglament d'IA, aplicables des del 2 d'agost de 2026. Art. 3.3: qui posa el sistema en servei amb el seu propi nom o marca pot ser "proveïdor" encara que n'encarregui el desenvolupament.
-
10
Fer servir IA per seleccionar o avaluar personal com si fos un filtre més
LleiNoGarbellar currículums, puntuar entrevistes o decidir ascensos amb IA sense tractar-ho com el que normalment és: un ús d'alt risc.
En el seu llocAvui ja: informar la representació legal dels treballadors dels paràmetres, regles i instruccions de l'algoritme que influeix en decisions sobre condicions de treball o accés i manteniment de l'ocupació. Això no substitueix la informació a cada persona. I planificar les obligacions d'alt risc, que arriben en general el 2 de desembre de 2027, entre elles informar abans els treballadors afectats i els seus representants.
Fonament Art. 64.4.d de l'Estatut dels Treballadors, ja vigent. Annex III i art. 26.7 del Reglament d'IA, amb les dates del Reglament (UE) 2026/1744.
-
11
Ignorar la lletra petita de cada llicència
RecomanacióNoSignar el pla "Business" i donar per fet que cobreix dades de salut, que processa a Europa o que inclou tots els mòduls.
En el seu llocLlegir tres coses abans de signar: usos restringits (algunes llicències limiten usos mèdics o amb dades de salut), regió de processament i el seu preu (processar només en una regió sol costar més) i quins productes en queden fora (a Workspace, Gemini Notebook no entra a les regions de dades).
Fonament Criteri professional, sobre les condicions citades al punt 3 (consultades el 29/10/2026).
-
12
Reutilitzar amb IA el que arriba pels teus formularis sense avisar abans
LleiNoPassar per un assistent d'IA els missatges del formulari de contacte, les candidatures o els tiquets de suport amb una política de privacitat que no ho explica.
En el seu llocAdaptar abans la política: destinataris, transferències i, si escau, l'ús d'IA en aquest tractament. És un canvi de mitja hora que evita un tractament no informat.
Fonament Arts. 13 i 14 RGPD. Art. 11 LOPDGDD per a la informació per capes.
5. El que sí pots fer: 6 mites que frenen sense motiu
Moltes de les empreses que em consulten tenen por de coses que no exigeix ningú. Aquestes sis són les més repetides.
"Per fer servir IA necessito el consentiment de cada client."
RealitatNo. Fer servir IA no exigeix per si sol un consentiment nou ni una casella. Exigeix una base jurídica vàlida per al tractament, la que ja tenies (contracte, obligació legal o interès legítim), i informar dels destinataris. Arts. 6 i 13 RGPD.
"He d'enviar un correu a tots els meus contactes anunciant que faig servir IA."
RealitatNo cal un enviament massiu. S'actualitza la informació de privacitat i, si el canvi és rellevant per a qui ja va donar les seves dades, es comunica abans del nou ús per un mitjà que arribi. Tampoc no cal demanar permís al proveïdor que t'envia un pressupost.
"Cal anonimitzar cada document abans de pujar-lo."
RealitatNo. Es puja el necessari per a la tasca i es treu abans el que no aporta, per exemple el DNI en una comparació de preus. El que no val és escriure "no facis servir les dades personals" a les instruccions del projecte: la dada ja s'hauria enviat.
"Les dades dels meus proveïdors són dades personals."
RealitatLes de la societat, no: raó social, NIF de la societat, adreça o un correu genèric com info@. Sí que ho són les de les seves persones de contacte i les dels autònoms. Per a aquestes, la LOPDGDD presumeix l'interès legítim quan només es fan servir per a la relació professional (arts. 19.1 i 19.2). No cal consentiment, sí informar. Aquesta presumpció no cobreix qualsevol anàlisi amb IA.
"Fer servir IA obliga a fer una avaluació d'impacte."
RealitatNo per si sol. L'avaluació d'impacte s'exigeix quan el tractament suposa un alt risc, per exemple perfils amb efectes rellevants o categories especials a gran escala (art. 35 RGPD). Un resum d'actes o una traducció normalment no ho són. Decideix per tipus de tasca, no per eina.
"Cada vegada que pujo un document ho he de consultar amb algú."
RealitatNo si has fet la feina una vegada. Aproves per tipus de tasca quina eina, quines dades hi entren i què es treu, després de comprovar base jurídica, accessos, conservació, drets, incidents i si cal avaluació d'impacte. Després l'equip treballa sense preguntar.
6. Posa ordre en una tarda: el catàleg d'eines d'IA
La norma no parla de "catàleg". És la meva recomanació per convertir tot l'anterior en una cosa que la plantilla pugui complir sense llegir el RGPD. Una taula, comunicada amb justificant de recepció, que pot anar al costat de les normes d'ús de dispositius digitals. Així ordenes les mesures, formes cada persona en el seu àmbit, evites els comptes personals i pots demostrar el que s'ha fet.
Exemple de catàleg. Les files s'adapten a cada empresa.
| Eina i llicència | Per a què es pot fer servir | Quines dades admet | Configuració obligatòria | Qui l'autoritza |
|---|---|---|---|---|
| Claude Team, compte corporatiu | Resums, esborranys i anàlisi de documents interns | Dades personals ordinàries de clients i plantilla. Res de salut ni de clients sota encàrrec sense autorització | Entrenament desactivat, botó de valorar desactivat, termini d'esborrat de xats i projectes | Responsable de TI o direcció, amb revisió del DPD |
| Copilot amb compte de feina | Correu, Office i reunions | Dades personals ordinàries | Flex routing revisat si un contracte exigeix UE, cerca web segons política, accés des de comptes personals bloquejat | Responsable de TI o direcció, amb revisió del DPD |
| ChatGPT Plus, Claude Pro o Gemini personal | Cap amb informació de l'empresa | Cap dada personal ni confidencial | Bloquejades als equips corporatius | Ningú |
Configuració mínima que demano sempre
- Entrenament desactivat i comprovat a la consola d'administració, no només al perfil d'un usuari.
- Botó de valorar respostes desactivat a Claude. Aquest botó permet guardar la conversa fins a 5 anys i fer-la servir per entrenar.
- Terminis de conservació fixats per a xats, fitxers i projectes, i una persona encarregada que es compleixin.
- Flex routing de Copilot revisat si algun contracte exigeix processament a la UE.
- Comptes personals bloquejats als equips corporatius, inclosa la directiva de Microsoft "Multiple account access to Copilot for work documents".
Sanitat, advocacia, serveis socials i canals de denúncia tenen secret professional i habilitacions pròpies. Menors i educació, protecció reforçada. Sector públic: pot aplicar l'ENS i, en els contractes amb tractament de dades per compte de l'Administració, l'article 122.2 de la Llei 9/2017 obliga el contractista a declarar on seran ubicats els servidors i des d'on es presten els serveis. Si treballes per a l'Administració, aquesta declaració t'afecta.
7. El que ja s'aplica i el que ve
Gairebé res d'això no és futur. El RGPD s'aplica des del 25 de maig de 2018 i el Reglament d'IA ja regeix el que toca a aquest article, llevat de dues dates que encara han d'arribar.
Preguntes freqüents
Puc fer servir ChatGPT Plus o Claude Pro si el compte el paga l'empresa?
No amb dades personals ni informació confidencial. Qui paga no canvia el pla: continuen sent productes per a persones físiques sense contracte d'encàrrec del tractament. A Claude, les condicions de consum per a l'EEE prohibeixen a més l'ús comercial. ChatGPT Business i Claude Team es contracten per usuari i sí que inclouen el contracte d'encàrrec.
Si desactivo l'entrenament al meu compte personal, ja compleixo?
No. Són dues coses diferents. Desactivar l'entrenament limita un ús concret de les teves dades per part del proveïdor. El contracte d'encàrrec de l'article 28 del RGPD regula tot el tractament: finalitat, instruccions, seguretat, subencarregats, conservació i devolució. Els comptes personals no el tenen.
He de demanar consentiment als meus clients per fer servir IA amb les seves dades?
Normalment no pel fet de fer servir IA. Necessites la mateixa base jurídica que ja tenies per a aquest tractament, normalment el contracte o l'interès legítim, i informar dels destinataris i de les transferències. Pot caldre en casos concrets, per exemple amb categories especials sense cap altra excepció de l'article 9 o amb una decisió només automatitzada sense cap altra excepció de l'article 22 del RGPD.
Puc passar un currículum per un xat d'IA per resumir-lo?
Amb compte d'empresa, tasca aprovada al catàleg, candidats informats i sense que la IA decideixi, sí. El que no pots fer és garbellar o puntuar candidats amb la sortida del model sense una persona amb criteri real al darrere. Si l'algorisme influeix en decisions d'accés a l'ocupació, avui ja has d'informar la representació legal dels treballadors dels seus paràmetres, regles i instruccions (art. 64.4.d de l'Estatut dels Treballadors). I si el sistema es fa servir per filtrar o avaluar candidats, des del 2 de desembre de 2027 tindrà en general les obligacions d'alt risc de l'annex III del Reglament d'IA.
Un empleat ja ha pujat dades de clients al seu compte personal. Què faig?
Tracta-ho com un incident de seguretat. Identifica quines dades i de qui, esborra els xats i els fitxers, desactiva l'historial i l'entrenament d'aquest compte i documenta-ho tot amb data. Valora si és una bretxa que calgui notificar a l'AEPD en 72 hores des que en tens constància (art. 33 RGPD): depèn del risc per a les persones. Si el risc és alt, valora també comunicar-ho als afectats, llevat de les excepcions de l'article 34. Si aquestes dades les tractaves per compte d'un client, com a encarregat l'has d'avisar sense dilació indeguda (art. 33.2). I aprofita per publicar el catàleg i bloquejar els comptes personals.
I si faig servir el meu Copilot personal sobre un document de feina?
Microsoft diu que la protecció de Copilot es basa sempre en la identitat usada per accedir al fitxer, així que el document de feina manté la seva protecció encara que la llicència de Copilot sigui personal. Tot i això, l'empresa pot bloquejar aquest ús amb la directiva "Multiple account access to Copilot for work documents" (Microsoft Learn, 23/10/2026). Jo recomano bloquejar-lo: és l'única manera que el catàleg es compleixi.
He d'etiquetar tots els textos que faig amb IA?
No. L'article 50.4 del Reglament d'IA obliga a indicar que són artificials les ultrasuplantacions (imatge, àudio o vídeo generats o manipulats per IA que semblen autèntics) i els textos publicats per informar sobre assumptes d'interès públic. En aquests últims n'hi ha prou amb revisió humana o control editorial amb algú que assumeixi la responsabilitat. Un correu o una publicació corporativa no necessita etiqueta pel sol fet de fer servir IA. Si informa sobre assumptes d'interès públic, s'aplica la regla anterior.
Contracto Claude Team. On es processen les meves dades?
Anthropic emmagatzema als Estats Units i, per defecte, pot enrutar el trànsit a països dels Estats Units, Europa, Àsia i Austràlia. No pots triar la UE a claude.ai. L'opció d'inferència només als Estats Units existeix únicament a Enterprise amb facturació per ús, amb un multiplicador d'1,1 sobre les tarifes d'ús dels models recents (un 10 % més). Si un contracte t'exigeix processar a Europa, la via és Claude a través d'Amazon Bedrock o Google Cloud, comprovant el perfil d'inferència (Anthropic, 15/06/2026).
Fonts consultades
Totes llegides a la seva font primària el 29 d'octubre de 2026. Entre parèntesis, la data que mostra cada document. Les condicions dels proveïdors canvien: comprova la versió vigent.
Condicions dels proveïdors
- Anthropic: Consumer Terms of Service, EEA and Switzerland (08/10/2025)
- Anthropic: Does Anthropic act as a data processor or controller?
- Anthropic: How do I view and sign your Data Processing Addendum (DPA)? (16/03/2026)
- Anthropic: Privacy Policy (10/09/2026)
- Anthropic: How long do you store my organization's data? (01/07/2026)
- Anthropic: Is my data used for model training? (18/08/2026)
- Anthropic: Where are your servers located? (15/06/2026)
- Anthropic: Enable US-only inference for your organization (15/06/2026)
- Anthropic: Data residency (API)
- Anthropic: Pricing (Team, Enterprise)
- AWS: Geographic cross-Region inference (Amazon Bedrock)
- OpenAI: Acuerdo de Servicios (01/01/2026)
- OpenAI: Services Agreement (01/01/2026)
- OpenAI: Data Processing Addendum (01/01/2026)
- OpenAI: Política de privacidad en Europa (24/08/2026)
- OpenAI: Anexo de tratamiento de datos de ChatGPT Sites (09/07/2026)
- OpenAI: ChatGPT Sites Data Processing Addendum (09/07/2026)
- OpenAI: What is ChatGPT Go?
- OpenAI: Data residency and inference residency for ChatGPT
- Microsoft Learn: Enterprise data protection in Microsoft Copilot (18/08/2026)
- Microsoft Learn: Flex routing (EU and EFTA) (29/09/2026)
- Microsoft Learn: Multiple account access to Microsoft Copilot for work and school documents (23/10/2026)
- Microsoft Support: Copilot in Microsoft 365 apps for home, your data and privacy
- Microsoft: Copilot Terms of Use for individuals
- Google: Gemini Apps Privacy Hub (26/10/2026)
- Google: Use Gemini Apps with a work or school Google Account
- Google: Workspace Individual, data processing terms
- Google Workspace: Generative AI in Google Workspace Privacy Hub (06/10/2026)
- Google Workspace: Data covered by Data Regions (26/10/2026)
- Google Workspace: Compare Data Region features across editions (26/10/2026)
- U.S. Department of Commerce: llista del Data Privacy Framework (filtrada el 29/10/2026)
Normes i criteris oficials
- Reglament (UE) 2016/679 (RGPD): arts. 4, 9, 10, 13, 14, 22, 28, 33, 34 i 35
- Llei Orgànica 3/2018 (LOPDGDD): arts. 11 i 19
- Reglament (UE) 2024/1689 (Reglament d'IA): arts. 3, 4, 5, 26, 50 i 113 i annex III
- Reglament (UE) 2026/1744, de 8 de juliol de 2026, que modifica el Reglament d'IA (arts. 4 i 5, dates de l'annex III i transició)
- Estatut dels Treballadors: art. 64.4.d
- Llei 9/2017 de Contractes del Sector Públic: art. 122.2
- AEPD: Directrius per a l'elaboració de contractes entre responsables i encarregats del tractament (apartats 10 i 11)
- Grup de Treball de l'Article 29: Directrius sobre la transparència, WP260 rev.01
- CEPD: Recomanacions 01/2020 sobre mesures que complementen els instruments de transferència (versió final, 18/06/2021)
Vols el catàleg d'IA de la teva empresa fet i comunicat en dues setmanes?
Reviso els vostres comptes i llicències, fixo la configuració, adapto la informació de privacitat i deixo la plantilla formada amb constància. Com a DPD extern o com a projecte tancat.