ChatGPT en la empresa: qué exigen el AI Act y el RGPD

Quién es quién cuando una empresa usa ChatGPT

ChatGPT es un sistema de IA construido sobre modelos de IA de uso general. El Reglamento de IA (RIA) reparte las obligaciones entre quien ofrece el modelo o el sistema y quien lo utiliza.

Qué establece la norma	Qué supone para la empresa
Proveedor de modelos de IA de uso general: obligaciones de documentación, información a proveedores posteriores, política de derechos de autor y resumen del contenido de entrenamiento.Arts. 53 a 55 RIA. Aplicables desde el 2.8.2025 (art. 113.b)	Corresponden a OpenAI, no a la empresa usuaria.
«Responsable del despliegue»: quien utiliza un sistema de IA bajo su propia autoridad, salvo en una actividad personal de carácter no profesional.Art. 3, punto 4 RIA	Es la posición de la empresa cuyos empleados usan ChatGPT para su trabajo.
«Proveedor» de un sistema de IA: quien lo desarrolla, o lo encarga, y lo pone en servicio con su propio nombre o marca.Art. 3, punto 3 RIA	La empresa que construye sobre la API un asistente propio y lo pone en servicio con su marca (por ejemplo, un chat de atención al cliente) actúa como proveedor de ese sistema.

Obligaciones del Reglamento de IA

Qué establece la norma	Qué supone para la empresa
Adoptar medidas para apoyar la alfabetización en IA del personal que usa los sistemas.Art. 4 RIA (redacción del Reglamento 2026/1744). Desde el 2.2.2025	Formación e instrucciones de uso para quienes usan ChatGPT, adaptadas a su función y al contexto de uso.
No utilizar sistemas de IA para las prácticas prohibidas.Art. 5 RIA. Desde el 2.2.2025	Por ejemplo, no usarlo para inferir emociones de trabajadores (art. 5.1.f) ni para técnicas manipuladoras o engañosas que alteren de manera sustancial el comportamiento de una persona (art. 5.1.a).
Divulgar que un texto publicado para informar al público sobre asuntos de interés público se ha generado o manipulado con IA, salvo revisión humana o control editorial con responsabilidad editorial; hacer público que una ultrasuplantación es artificial.Art. 50, apartado 4 RIA. Desde el 2.8.2026	Aplica a los contenidos que la empresa publica, no a los borradores de uso interno.
Los proveedores de sistemas que interactúan directamente con personas deben informarles de que interactúan con un sistema de IA, salvo que resulte evidente.Art. 50, apartado 1 RIA. Desde el 2.8.2026	Aplica a la empresa que ofrece con su marca un chatbot construido sobre la API.

Los responsables del despliegue de un sistema de IA que genere o manipule texto que se publique con el fin de informar al público sobre asuntos de interés público divulgarán que el texto se ha generado o manipulado de manera artificial. Esta obligación no se aplicará cuando el uso esté autorizado por ley para detectar, prevenir, investigar o enjuiciar delitos, o cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación del contenido.

Artículo 50, apartado 4, párrafo segundoReglamento (UE) 2024/1689

Qué contenidos hay que señalar y cuáles no, en etiquetar contenido generado con IA.

Usos que convierten ChatGPT en un sistema de alto riesgo

El nivel de obligaciones depende del uso, no de la herramienta. Usar un sistema de uso general para un fin del anexo III lo sitúa en el régimen de alto riesgo.

Empleo, gestión de los trabajadores y acceso al autoempleo: a) Sistemas de IA destinados a ser utilizados para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos; b) Sistemas de IA destinados a ser utilizados para tomar decisiones que afecten a las condiciones de las relaciones de índole laboral o a la promoción o rescisión de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales o para supervisar y evaluar el rendimiento y el comportamiento de las personas en el marco de dichas relaciones.

Anexo III, punto 4Reglamento (UE) 2024/1689

[Cualquier distribuidor, importador, responsable del despliegue o tercero será considerado proveedor de un sistema de IA de alto riesgo] cuando modifique la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no haya sido considerado de alto riesgo y ya haya sido introducido en el mercado o puesto en servicio, de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo de conformidad con el artículo 6.

Artículo 25, apartado 1, letra c)Reglamento (UE) 2024/1689

Las obligaciones de alto riesgo para los sistemas del anexo III se aplican desde el 2 de diciembre de 2027 (art. 113, letra c), inciso i), RIA, en la redacción del Reglamento (UE) 2026/1744). Con independencia de esa fecha, el art. 22 RGPD reconoce a los interesados el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ellos o les afecte significativamente de modo similar.

Infografía: Del asistente general al alto riesgo. Qué cambia si la empresa usa ChatGPT para seleccionar personal. Responsable del despliegue; Uso para un fin del anexo III; Se considera proveedor; Obligaciones de alto riesgo. — Fuente: Reglamento (UE) 2024/1689, arts. 3.4, 25.1 c) y 113, letra c), inciso i), y anexo III, punto 4, en la redacción del Reglamento (UE) 2026/1744; RGPD, art. 22

Datos personales: el RGPD se aplica en paralelo

El Reglamento de IA no desplaza la normativa de protección de datos (art. 2.7 RIA). Cuando un empleado introduce datos personales en ChatGPT, la empresa realiza un tratamiento del que es responsable.

Qué establece la norma	Qué supone para la empresa
Todo tratamiento necesita una base jurídica.Art. 6, apartado 1 RGPD	Identificar la base de cada uso con datos personales (contrato, interés legítimo, obligación legal, consentimiento…).
Los datos serán adecuados, pertinentes y limitados a lo necesario (minimización) y exactos.Art. 5, apartado 1, letras c) y d) RGPD	Introducir solo los datos necesarios para la tarea y verificar la exactitud de los resultados que se usen sobre personas.
Cuando un tercero trata datos por cuenta del responsable, este solo puede elegir un encargado que ofrezca garantías suficientes y debe regir la relación por contrato.Art. 28 RGPD	Formalizar el contrato de encargo (DPA) con el proveedor. Según OpenAI, está disponible para sus planes empresariales y la API.
Las transferencias a terceros países requieren una decisión de adecuación u otras garantías.Arts. 44 a 46 RGPD; Decisión de Ejecución (UE) 2023/1795	Comprobar el mecanismo de transferencia aplicable (por ejemplo, la certificación del proveedor en el Marco de Privacidad UE-EE. UU.) o la residencia de datos en Europa, cuando el plan la ofrezca.
Si un tratamiento con nuevas tecnologías entraña probablemente un alto riesgo para los derechos de las personas, se realiza antes una evaluación de impacto.Art. 35 RGPD	Valorar la necesidad de la evaluación antes de usar la herramienta con datos de clientes, empleados o categorías especiales (art. 9).

La Agencia Española de Protección de Datos recomienda a los usuarios de chatbots revisar si el servicio sigue aprendiendo de las conversaciones, limitar los datos personales que se comparten, no aportar datos de terceros y no dar por correcta toda la información que ofrece el sistema.

Bases jurídicas, decisiones automatizadas y evaluación de impacto, en RGPD e inteligencia artificial.

Qué pasa con los datos según el plan de ChatGPT

Esta sección describe el producto según la documentación del propio proveedor, consultada el 14 de octubre de 2026. Las condiciones pueden cambiar y deben comprobarse en el contrato vigente.

Uso de los datos para entrenamiento según el plan de ChatGPT
Modalidad	Uso del contenido para entrenar modelos	Fuente
ChatGPT Free, Plus y Pro (cuentas individuales)	Puede usarse por defecto. Se desactiva en Configuración, Controles de datos, o en el Portal de privacidad. Si el usuario valora una respuesta, la conversación completa puede usarse aunque haya desactivado la opción.	OpenAI Help Center
ChatGPT Business, Enterprise y Edu	No se usa por defecto. Los datos pertenecen a la organización; las organizaciones que cumplan los requisitos pueden configurar el plazo de conservación.	OpenAI, Business data
API	No se usa por defecto, salvo que la organización active el intercambio de datos. Existe una opción de retención cero para quien cumpla los requisitos.	OpenAI, Business data

Información confidencial y secretos empresariales

La protección legal de un secreto empresarial exige que su titular haya adoptado medidas para mantenerlo en secreto.

[Se considera secreto empresarial cualquier información o conocimiento que reúna las siguientes condiciones:] c) haber sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto.

Artículo 1, apartado 1, letra c)Ley 1/2019, de 20 de febrero, de Secretos Empresariales

Las instrucciones internas sobre qué información puede introducirse en herramientas externas, y con qué cuentas, forman parte de esas medidas. Una base para redactarlas está en la plantilla de política de uso de IA para empleados, y qué hacer cuando la plantilla ya usa herramientas sin aprobar, en shadow AI.

Lista de comprobación

Preguntas frecuentes

¿Hay que cumplir la ley de IA al usar ChatGPT en la empresa?

Sí. La empresa que usa ChatGPT en su actividad es «responsable del despliegue» (art. 3.4 RIA). Le corresponden la alfabetización en IA de su personal (art. 4), la prohibición de usarlo para prácticas del art. 5, las obligaciones de transparencia del art. 50.4 cuando publique ultrasuplantaciones o textos de interés público generados con IA, y las del art. 26 si lo usa para un fin del anexo III, desde el 2 de diciembre de 2027.

¿Mis datos en ChatGPT son privados o públicos?

Según la documentación de OpenAI, en los planes individuales (Free, Plus y Pro) el contenido puede usarse para entrenar sus modelos salvo que el usuario lo desactive en los controles de datos; en ChatGPT Business, Enterprise y Edu y en la API no se usa por defecto. Con independencia del plan, si se introducen datos personales, la empresa debe cumplir el RGPD (arts. 5, 6, 28 y 44 a 46).

¿Puedo usar ChatGPT para filtrar currículums o evaluar candidatos?

Ese uso pertenece al anexo III, punto 4, letra a), del RIA (contratación o selección de personas físicas, incluido analizar y filtrar solicitudes y evaluar candidatos). Quien cambia la finalidad de un sistema de uso general de modo que pase a ser de alto riesgo se considera proveedor de ese sistema (art. 25.1.c RIA). Las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027. En paralelo rige el art. 22 RGPD sobre decisiones basadas únicamente en tratamiento automatizado.

¿Tengo que avisar de que un texto lo ha escrito ChatGPT?

El art. 50.4 RIA obliga a divulgar que un texto se ha generado o manipulado con IA cuando se publica con el fin de informar al público sobre asuntos de interés público, salvo que haya pasado por revisión humana o control editorial y alguien tenga la responsabilidad editorial. Para las ultrasuplantaciones de imagen, audio o vídeo, el aviso es obligatorio en todo caso, con las salvedades del propio artículo. Se aplica desde el 2 de agosto de 2026.

¿Puedo introducir datos de clientes en ChatGPT?

Solo si el tratamiento cumple el RGPD: base jurídica (art. 6), información a los interesados (arts. 13 y 14), minimización (art. 5.1.c), contrato de encargo con el proveedor cuando trate los datos por cuenta de la empresa (art. 28) y un mecanismo válido para la transferencia internacional (arts. 44 a 46), como la Decisión de Ejecución (UE) 2023/1795 para entidades certificadas en el Marco de Privacidad UE-EE. UU. Si el tratamiento entraña un alto riesgo, se requiere una evaluación de impacto (art. 35).

Análisis de Pablo Sáez Hurtado en prensa sobre Derechos y responsabilidad (10 artículos) y IA y abogacía (16 artículos).

Fuentes

Información general sobre la normativa vigente, comprobada el 20 de octubre de 2026 con el Reglamento (UE) 2024/1689 en su versión consolidada a 27 de julio de 2026, tras el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). No constituye asesoramiento para un caso concreto. Las citas literales proceden de las versiones en español publicadas en el Diario Oficial de la Unión Europea y en el BOE.

Usar ChatGPT en la empresa sin incumplir la ley