¿Es seguro usar ChatGPT con datos de mi empresa?

Es la pregunta que más nos hacen en las formaciones, y con razón: en casi todas las empresas alguien ya ha pegado un contrato, una lista de clientes o una nómina en ChatGPT "para que lo resuma". Esta guía explica qué pasa con esos datos y cómo usar la herramienta sin crear un problema.

Aviso: es una guía práctica, no asesoramiento jurídico. Para casos concretos, consulta con tu asesoría de protección de datos.

Qué pasa con lo que escribes

Hay que distinguir dos cosas:

• Confidencialidad frente a terceros. OpenAI no publica tus conversaciones ni las muestra a otros usuarios. El riesgo no es que "otro vea tu contrato".
• Uso para entrenar modelos. En las versiones gratuita y Plus, por defecto las conversaciones pueden usarse para mejorar los modelos. Se puede desactivar en la configuración de privacidad, pero es una decisión de cada usuario, no de la empresa.

Con ChatGPT Team y Enterprise (y con la API), los datos no se usan para entrenar, hay administración centralizada de usuarios, y OpenAI firma condiciones de tratamiento de datos. Esa es la diferencia que importa a una empresa.

Lo mismo aplica a Claude, Gemini y Copilot: los planes de empresa tienen compromisos de no entrenamiento y contrato; las versiones gratuitas, no siempre.

Qué dice el RGPD

Si escribes en ChatGPT datos personales (nombre de un cliente, su correo, el salario de un empleado), estás haciendo un tratamiento de datos y necesitas:

1. Base jurídica para ese uso (normalmente, interés legítimo o ejecución de contrato, según el caso).
2. Encargo de tratamiento con el proveedor: solo lo tienes con planes de empresa.
3. Información a los interesados en tu política de privacidad sobre el uso de herramientas de IA.
4. Minimización. Si puedes hacer la tarea sin el dato personal (anonimizando, usando "el cliente"), hazlo.

Para usos nuevos o sensibles (salud, datos de menores, evaluación de personas) hace falta además una evaluación de impacto. Y desde 2025 el reglamento europeo de IA exige que el personal que usa estas herramientas tenga formación suficiente: lo explicamos en nuestra página sobre alfabetización en IA.

Qué datos no deben entrar nunca sin plan de empresa

• Datos personales de clientes, empleados o candidatos.
• Contratos, ofertas y precios no públicos.
• Código fuente propio o credenciales.
• Información financiera no publicada.
• Cualquier cosa cubierta por un acuerdo de confidencialidad con un cliente.

Una política de uso en cinco reglas

Es lo que recomendamos a las pymes como mínimo, y cabe en una página:

1. Herramientas autorizadas. Qué IA se puede usar y con qué cuenta (la de empresa, no la personal).
2. Datos prohibidos. La lista de arriba, adaptada a vuestro negocio.
3. Anonimizar por defecto. Sustituir nombres y datos por marcadores antes de pegar un texto.
4. Revisión humana. Nada generado por IA sale a un cliente, a un empleado o a un organismo sin que una persona lo revise y lo firme.
5. Transparencia. Decir cuándo un contenido o una conversación se ha generado con IA si puede confundir a alguien.

Y una sexta que no es regla sino práctica: formar al equipo. Una política que nadie entiende no protege de nada.

Y si construimos algo con IA sobre nuestros datos

Cuando pasáis de usar ChatGPT a montar un asistente o un agente de IA conectado a vuestros documentos o a vuestro CRM, el planteamiento cambia: se usa la API con contrato empresarial, los datos se quedan en vuestra infraestructura o en la de un proveedor con encargo de tratamiento, y se definen permisos por herramienta. Si los datos son muy sensibles, hay modelos que se pueden desplegar en servidores propios.

Preguntas frecuentes

¿Si desactivo el entrenamiento en ChatGPT Plus ya es seguro?

Mejora, pero no sustituye al contrato de encargo de tratamiento ni a la administración centralizada. Para datos de la empresa, el plan Team es el mínimo razonable.

¿Pueden despedir a alguien por pegar datos en ChatGPT?

Dependerá de la política interna y de la gravedad. Lo importante es que la política exista y se haya comunicado antes, no después.

¿Es mejor Claude o Gemini en privacidad?

Las condiciones de los planes de empresa de OpenAI, Anthropic, Google y Microsoft son comparables en lo esencial: no entrenar con tus datos y contrato de tratamiento. La diferencia está en el plan que contrates, no en la marca.