Contrato de encargado del tratamiento con tu proveedor de IA: ¿qué debes revisar?
Respuesta corta
Si un servicio de IA trata datos personales por cuenta de tu empresa, es encargado del tratamiento y necesitas un contrato de encargo según el artículo 28 del RGPD. Los grandes servicios incluyen contratos estándar en sus planes para empresas. Revisa sobre todo: que los datos solo se traten siguiendo tus instrucciones (sin entrenamiento), dónde se tratan y con qué base se transfieren, los subencargados, la supresión y la seguridad. Los planes gratuitos y personales no suelen tener contrato.
Así lo hacen los grandes servicios
| Servicio | Planes | ¿Entrena con tus datos? | ¿Datos en la UE? | ¿Contrato de encargo del tratamiento? | ¿Conectores propios? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, EE. UU. | Business (antes Team) y Enterprise | No. Por defecto, los datos de la empresa no se usan para entrenar. | Solo Enterprise: en los workspaces nuevos, los datos pueden almacenarse y tratarse en la UE. Business no. | Sí. El contrato de encargo del tratamiento forma parte del contrato (OpenAI Ireland para clientes de la UE). | Sí. Conectores propios mediante el modo desarrollador; lo activa un administrador. |
| Claude Anthropic, EE. UU. | Team y Enterprise | No. Los datos no se usan para entrenar, salvo que la empresa lo acepte. | No. Los datos se almacenan en EE. UU.; no se puede elegir almacenamiento en la UE. | Sí. El contrato de encargo del tratamiento se incluye automáticamente en las condiciones comerciales. | Sí. Un propietario añade conectores propios para toda la organización. |
| Microsoft 365 Copilot Microsoft, EE. UU. | Complemento de Microsoft 365 para empresas | No. Los prompts, las respuestas y los datos de la empresa no se usan para entrenar. | Sí, dentro del EU Data Boundary. Pero en los clientes nuevos de la UE, las consultas pueden tratarse fuera de la UE en picos de carga (flex routing); se puede desactivar. | Sí. Cubierto por las condiciones de producto y el contrato de encargo del tratamiento de Microsoft. | Sí, mediante agentes en Copilot Studio. Requisitos de licencia no confirmados. |
| Vibe (tidl. Le Chat) Mistral AI, Francia | Pro, Team y Enterprise | Pro y Team: sí por defecto; un administrador debe desactivarlo. Enterprise: no. | Servidores en la UE (Suecia). Algunas funciones pueden enviar datos fuera de la UE; solo Enterprise puede desactivarlo. | Sí. No está confirmado si cubre Pro y Team. | Sí. Un administrador puede añadir conectores propios. |
| Gemini i Google Workspace Google, EE. UU. | Workspace Business y Enterprise | No. Los datos de Workspace y los prompts no se usan para entrenar sin permiso. | Almacenamiento y tratamiento en la UE solo con Enterprise Plus o el complemento Data Regions. Business: solo almacenamiento. | Sí. Un administrador debe aceptarlo en la consola de administración si no forma ya parte del contrato. | No confirmado para Gemini en Workspace. |
Comprobado 9 de octubre de 2026. Los planes gratuitos y personales (ChatGPT Free/Plus, Claude Free/Pro, la app de Gemini, Vibe Free) no tienen contrato de encargo del tratamiento y pueden entrenar con los datos. No sirven para los datos personales de la empresa.
La trampa: funciones de IA en otras herramientas
Muchas herramientas ya tienen funciones de IA: CRM, contabilidad, correo. Comprueba si el contrato cubre también la función de IA y si esta envía datos a un subencargado como OpenAI o Anthropic.
Cómo hacerlo
- Instrucciones.Los datos solo pueden usarse para prestarte el servicio, no para entrenar modelos.
- Ubicación y transferencias.¿Dónde se tratan los datos y con qué base?
- Subencargados.¿Quiénes son y cómo te avisan de los cambios?
- Supresión y conservación.¿Cuánto tiempo se guardan los prompts y las respuestas?
- Seguridad y brechas.¿Qué medidas hay y en cuánto tiempo te avisan de una brecha?
Lo que dice la ley
- Art. 28 RGPD – encargado del tratamiento
- El apartado 3 enumera lo que debe incluir el contrato.
- Cláusulas contractuales tipo de la Comisión (2021/915) – art. 28
- Cláusulas tipo que pueden usarse como contrato de encargo del tratamiento.
Preguntas y respuestas
¿ChatGPT tiene contrato de encargo del tratamiento?
Sí, en Business y Enterprise. Para clientes de la UE se firma con OpenAI Ireland.
¿Tenemos que firmar algo con Anthropic?
El contrato de encargo forma parte automáticamente de las condiciones comerciales de Anthropic.
¿GoalCube es encargado del tratamiento?
Sí. GoalCube trata datos personales por cuenta de tu empresa en la UE y firma un contrato de encargo contigo. El servicio de IA solo recibe seudónimos.
Fuentes
- Reglamento (UE) 2016/679 (RGPD) en EUR-Lex
- Decisión de Ejecución (UE) 2021/915 (cláusulas contractuales tipo del art. 28 RGPD) en EUR-Lex
- Agencia Española de Protección de Datos (AEPD)
Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.
Sé de los primeros.
Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.