¿Puede una empresa introducir datos personales de sus clientes en ChatGPT?

La IA lleva ya un tiempo incorporada en la actividad cotidiana de muchas empresas. Herramientas capaces de generar textos, resumir documentos, analizar información o elaborar contenidos permiten agilizar numerosas tareas y mejorar la productividad.

Sin embargo, la facilidad con la que estas herramientas pueden utilizarse plantea también importantes cuestiones jurídicas. Un trabajador puede, por ejemplo, introducir en una IA un contrato para solicitar un resumen, copiar un correo electrónico para preparar una respuesta o utilizar un currículum para analizar un perfil profesional. Cuando esa información permite identificar a una persona, su utilización puede implicar un tratamiento de datos personales sujeto al Reglamento General de Protección de Datos (RGPD).

A los efectos de este análisis, las consideraciones son aplicables no solo a los datos de clientes, sino también a cualquier dato personal que la empresa maneje en su actividad (de empleados, candidatos o terceros), en la medida en que el régimen jurídico aplicable es el mismo.

La cuestión, por tanto, no consiste en determinar si una empresa puede utilizar inteligencia artificial, sino en qué condiciones puede hacerlo cuando las herramientas utilizadas implican el tratamiento de datos personales.

A continuación, analizamos cinco cuestiones que las empresas deberían tener en cuenta al incorporar inteligencia artificial a sus procesos.

1. Cuando el uso de la IA implica un tratamiento de datos personales

El primer paso consiste en determinar si la información que se introduce en una IA constituye un dato personal, y, en consecuencia, si las operaciones realizadas sobre ella quedan sometidas al RGPD.

El artículo 4.2 RGPD define el tratamiento de forma amplia, incluyendo operaciones como la recogida, el registro, la conservación, la consulta, la comunicación o la difusión de datos personales, con independencia de que se realicen o no por medios automatizados. Por ello, cuando la información introducida en una herramienta de inteligencia artificial contiene datos identificativos, la mera acción de introducirla, procesarla o generar un resultado a partir de ella constituye, en principio, un tratamiento de datos personales sometido al RGPD. Esto es así con independencia de que la finalidad perseguida sea, en sí misma, legítima o de escasa entidad: la calificación como tratamiento no depende de la finalidad, aunque esta sea después determinante para valorar su licitud.

Esta consideración tiene una consecuencia fundamental: el uso de inteligencia artificial no queda al margen de las obligaciones generales en materia de protección de datos.

El responsable deberá identificar, entre otras cuestiones, la finalidad del tratamiento y la base jurídica que lo legitima conforme al artículo 6 RGPD, que podrá consistir en la ejecución de un contrato, el cumplimiento de una obligación legal o la concurrencia de un interés legítimo, siempre que se cumplan los requisitos exigidos en cada caso.

La situación resulta especialmente relevante cuando la información contiene categorías especiales de datos, como datos relativos a la salud, datos biométricos o información sobre determinadas circunstancias personales. En estos supuestos, además de una base jurídica del artículo 6, será necesario analizar si concurre alguna de las excepciones previstas en el artículo 9 del RGPD.

Por tanto, antes de utilizar IA, la empresa debería identificar qué datos personales serán tratados, con qué finalidad y cuál es la base jurídica que legitima dicho tratamiento.

2. La minimización de datos también se aplica a la IA

Una vez determinada la existencia de un tratamiento, debe analizarse si la información que se facilita al sistema es realmente necesaria.

El artículo 5 del RGPD establece, entre otros, los principios de limitación de la finalidad y minimización de datos. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

La aplicación de este principio es muy relevante en el contexto del uso de la IA.

Imaginemos que un trabajador necesita analizar una cláusula concreta de un contrato. Para ello, podría introducir únicamente la cláusula correspondiente en el sistema de IA. Sin embargo, podría optar por cargar el contrato completo, incluyendo el nombre y domicilio del cliente, sus datos económicos y otra información personal que no resulta necesaria para realizar el análisis.

En este caso, la cuestión jurídica no radica en si la IA puede procesar toda esta información, sino en si la empresa está legitimada para facilitar esos datos personales atendiendo a la finalidad concreta del tratamiento.

Esta misma lógica debe aplicarse a otros documentos habituales en la actividad empresarial, como currículums, bases de datos de clientes, comunicaciones internas o informes.

Por ello, la minimización debería incorporarse al propio diseño del uso de la herramienta: cuando una tarea pueda realizarse sin identificar a una persona, debería valorarse la posibilidad de eliminar o sustituir los identificadores antes de introducir la información en el sistema.

No se trata, por tanto, de prohibir la utilización de datos personales en sistemas de inteligencia artificial, sino de evitar que la capacidad técnica del sistema determine por sí misma el alcance del tratamiento.

3. Anonimización y seudonimización: dos conceptos que no deben confundirse

Eliminar determinados identificadores antes de introducir información en una IA puede contribuir a reducir los riesgos para las personas afectadas. Sin embargo, es necesario distinguir entre anonimización y seudonimización.

El RGPD considera como datos personales no solo aquellos que identifican de forma directa a una persona, sino que también a aquellos que permiten identificarla de forma indirecta. Del mismo modo, los datos seudonimizados continúan siendo datos personales cuando es posible atribuirlos a una persona mediante información adicional.

Por ello, sustituir el nombre de un cliente por un código o eliminar su DNI no significa necesariamente que la información haya dejado de estar sometida al RGPD.

La seudonimización puede constituir una medida adecuada para reducir los riesgos derivados del tratamiento, pero no supone que los datos dejen de ser personales. El artículo 25 RGPD contempla precisamente la seudonimización como una de las medidas que pueden contribuir a aplicar los principios de protección de datos desde el diseño.

La anonimización plantea una exigencia distinta: la información debe quedar fuera del ámbito del RGPD porque la persona ya no puede ser identificada mediante medios razonablemente utilizables.

En el contexto de la IA, esta distinción adquiere especial relevancia, ya que no debería asumirse que una información es anónima simplemente porque se han eliminado determinados identificadores.

4. El proveedor de IA también debe entrar en el análisis jurídico

Existe otra cuestión que a veces pasa desapercibida: ¿Qué sucede con la información después de que la empresa la introduce en la herramienta?

Aquí resulta necesario conocer las condiciones concretas del servicio. La empresa debe ser conocedora, entre otras cuestiones, del tratamiento que recibe la información, durante cuánto tiempo puede conservarse, quién puede acceder a ella, si intervienen terceros proveedores y dónde se encuentran los servicios que procesan los datos.

Antes de aplicar estas obligaciones, es necesario determinar qué papel desempeña realmente el proveedor respecto a la información introducida. No debe presuponerse que el proveedor actúa siempre como encargado del tratamiento por el mero hecho de procesar los datos: muchas herramientas de IA de uso general (especialmente en sus versiones no empresariales) pueden tratar también los contenidos introducidos con fines propios, como la mejora o el entrenamiento de sus modelos. En tal caso, el proveedor no actuaría como encargado, sino como responsable independiente respecto de esos fines, con un régimen jurídico distinto y, en principio, más exigente para la empresa que introduce los datos.

Solo cuando el proveedor actúe efectivamente como encargado del tratamiento resultan aplicables las obligaciones específicas del artículo 28 RGPD. El responsable debe utilizar únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas y proteger los derechos de los interesados.

También pueden entrar en juego las transferencias internacionales de datos, dependiendo de dónde se produzca el tratamiento y de las entidades que intervengan en la prestación del servicio.

Esto tiene una consecuencia práctica para las empresas: no todas las herramientas de IA deberían utilizarse indistintamente para cualquier tipo de información.

Una herramienta puede ser perfectamente válida para generar ideas sobre un texto que no contiene datos personales y, sin embargo, no resultar adecuada para introducir información confidencial de clientes o trabajadores sin realizar antes un análisis jurídico y contractual.

Además, la responsabilidad no desaparece porque exista un proveedor tecnológico. El artículo 24 RGPD obliga al responsable del tratamiento a adoptar medidas adecuadas y a poder demostrar que el tratamiento se realiza conforme al Reglamento.

Por eso, la selección de una herramienta de IA debería formar parte de los procedimientos de cumplimiento de la empresa y no quedar exclusivamente en manos del departamento que busca una solución tecnológica.

5. El uso de IA necesita reglas internas y una evaluación de riesgos

Incluso cuando una inteligencia artificial ofrece garantías suficientes, queda una cuestión que ninguna configuración técnica puede resolver por sí sola: cómo la utilizan los empleados.

Una empresa puede disponer de una herramienta autorizada y, al mismo tiempo, tener trabajadores utilizando otras plataformas para analizar contratos, currículums o información de clientes sin que nadie haya evaluado previamente ese tratamiento.

Por eso resulta conveniente establecer reglas internas claras. Qué inteligencias artificiales están autorizadas, para qué usos pueden emplearse y qué información no debe introducirse son cuestiones que deberían quedar definidas antes de que cada empleado tome sus propias decisiones.

El RGPD tampoco exige realizar automáticamente una Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA) cada vez que se utiliza inteligencia artificial. El artículo 35 la exige cuando el tratamiento, especialmente si utiliza nuevas tecnologías, pueda entrañar un alto riesgo para los derechos y libertades de las personas.

La valoración dependerá, entre otras circunstancias, de la naturaleza del tratamiento, del tipo de datos utilizados, del número y características de las personas afectadas y de los riesgos que pueda generar.

La seguridad debe analizarse en paralelo. El artículo 32 RGPD exige aplicar medidas técnicas y organizativas adecuadas al riesgo y menciona expresamente medidas como la seudonimización y el cifrado.

También hay un componente humano. Un empleado puede conocer perfectamente el funcionamiento de ChatGPT y, aun así, no saber que copiar un listado de clientes en la herramienta supone una decisión sobre datos personales. Esto no significa que cada uso individual exija una Evaluación de Impacto formal conforme al artículo 35 (que solo procede cuando concurre un alto riesgo), pero sí que debería enmarcarse en las reglas internas y controles que la empresa haya establecido previamente, de forma que la decisión sobre qué información puede introducirse no quede en manos de cada empleado.

La formación y las políticas internas son, por tanto, parte del cumplimiento. No basta con contratar una herramienta segura si después se utiliza de una forma que la organización no ha previsto.

IA y protección de datos: el problema no es utilizarla, sino utilizarla sin control

La inteligencia artificial puede aportar un valor evidente a la actividad empresarial. El debate jurídico no debería plantearse en términos de "IA sí" o "IA no", lo que importa es cómo se incorpora a los procesos de la empresa.

Cuando una herramienta recibe datos personales, la organización debe conocer qué está tratando, con qué finalidad y sobre qué base jurídica. También debe limitar la información a la que realmente necesita, distinguir entre anonimización y seudonimización, conocer las condiciones del proveedor y adoptar las medidas necesarias para controlar los riesgos.

Y hay una cuestión previa que conviene no perder de vista: que una inteligencia artificial permita técnicamente introducir determinada información no significa que sea jurídicamente adecuado hacerlo.

Antes de copiar un contrato, un correo electrónico, un currículum o una base de datos en una herramienta de inteligencia artificial, debería existir una respuesta clara a tres preguntas: qué datos estoy introduciendo, por qué los necesito y qué garantías existen sobre su tratamiento.

En muchas ocasiones, esa pequeña comprobación será suficiente para evitar un problema que, una vez que los datos han salido del entorno controlado de la empresa, puede resultar mucho más difícil de corregir.