Envío de bases de datos de clientes a ChatGPT: marco legal

Considere este texto como apuntes prácticos compartidos abiertamente: mostramos los criterios habituales de implementación, no una solución fija para su caso específico. Imagine una oficina de 50 empleados. Un comercial levanta la vista del portátil y comenta que lleva un mes pegando partes de la base de datos de clientes en ChatGPT para redactar propuestas con mayor rapidez. Funciona: ahorra 2 horas al día. La pregunta clave: ¿es esto legal? Para una empresa que actúa como responsable del tratamiento, la respuesta depende de un único factor: qué tipo de cuenta utiliza ese empleado y si la empresa ha firmado un contrato de encargo del tratamiento con el proveedor. La mayoría de las pymes recurren a cuentas personales gratuitas, el escenario con mayor riesgo legal.

AIImagen generada por IA.

La diferencia no es superficial. En los planes Free y Plus, OpenAI actúa como responsable del tratamiento: no existe contrato de encargo y el contenido puede emplearse para entrenar modelos. En los planes Team, Enterprise y API, OpenAI opera como encargado del tratamiento, suscribe un Data Processing Addendum y permite desactivar el entrenamiento con datos del cliente. Esta distinción inicial condiciona todo el marco normativo posterior. La base jurídica habitual es el art. 6, apartado 1, letras b o f del RGPD, y para datos de categorías especiales, el art. 9. La transferencia internacional a EE. UU., tras la decisión de adecuación de la Comisión del 10 de julio de 2023, se fundamenta en el Data Privacy Framework, siempre que el proveedor cuente con la certificación correspondiente.

Qué implementar esta semana

Paso 1: verifique con qué cuentas trabaja su equipo. Tiempo: 30 minutos, a cargo de gerencia o IT. Pregunte en ventas y marketing quién utiliza ChatGPT, Claude o Gemini y si inician sesión con el correo de la empresa o con el personal. Paso 2: cambie a una cuenta corporativa. Tiempo: 1 día, a cargo del administrador. Para 50 personas, el coste ronda los 15 000–30 000 PLN anuales con el plan Team (25–30 USD mensuales por usuario). En Team y Enterprise firma el DPA y desactiva el entrenamiento en los ajustes. Paso 3: actualice el registro de actividades de tratamiento. Tiempo: 2 horas, a cargo del responsable de RGPD. La entrada debe incluir: nombre de la actividad (ej. «Preparación de ofertas con ChatGPT Team»), finalidad, base legal, categorías de personas y datos, destinatario (OpenAI Ireland Ltd como encargado del tratamiento), transferencia a EE. UU. según el art. 45 del RGPD en relación con el DPF, plazo de conservación (hasta 30 días para API, duración del contrato para Enterprise) y medidas de seguridad. Paso 4: actualice la política de privacidad e informe a la plantilla. Tiempo: 2 horas, a cargo de marketing o asesoría legal. Basta con añadir un párrafo sobre el nuevo encargado del tratamiento y enviar un correo recordando introducir únicamente los datos imprescindibles para la consulta.

Qué posponer para fases posteriores

Evite contratar de entrada el plan Enterprise: para 50 personas suele ser desmedido, Team es suficiente y la diferencia de precio puede duplicarse. No implemente un modelo open source local solo por evitar la nube: requiere meses de trabajo, mientras que una cuenta corporativa resuelve el problema en una semana. No redacte una política de privacidad desde cero: suele bastar un anexo a la actual. No bloquee el acceso a la IA por completo: recurrirán a cuentas personales y perderá el control. Y no firme un DPA sin comprobar si el proveedor figura en el buscador del Data Privacy Framework: el documento no sirve de nada sin la certificación oficial.

AIImagen generada por IA.

Cómo verificar los resultados tras dos semanas

Un único indicador: porcentaje de empleados que utilizan la IA desde su cuenta corporativa con el entrenamiento desactivado. Medirlo es directo: compruebe en el panel de administración de OpenAI cuántos usuarios acceden con el correo de empresa y cuántos siguen con cuentas personales. Si tras dos semanas más del 20% sigue en cuentas gratuitas, la formación no ha funcionado y conviene reforzarla o bloquear el acceso a las versiones libres. Mantenerse por debajo del 20% es un nivel inicial aceptable: el resto se ajustará el mes siguiente.

Los costes de esta semana corresponden sobre todo a tiempo: unas 6 horas de trabajo repartidas entre cuatro personas. Las licencias corporativas suponen entre 15 000 y 30 000 PLN al año, una cifra moderada frente al riesgo: las sanciones por carecer de base legal o de contrato de encargo alcanzan 20 millones de EUR o el 4% de la facturación anual. En la práctica, una pyme rara vez recibe la sanción máxima, pero una investigación de la autoridad de control puede alargarse meses. Si prefiere externalizarlo, HEXART implanta estas configuraciones: desde la elección del plan y la firma del DPA hasta el registro formal y la formación del equipo. Sin disrupciones, en una semana.