¿Podemos usar ChatGPT, Claude o Copilot con datos personales?
Respuesta corta
Sí, puede ser legal, pero solo si tienes una base jurídica, usas solo los datos necesarios, tienes un contrato de encargo del tratamiento con el proveedor de IA y controlas las transferencias fuera de la UE. La vía más segura es que la IA trabaje sin los nombres reales: seudonimiza los datos antes de enviarlos y guarda la clave en tu empresa, en la UE. Para ti, los datos seudonimizados siguen siendo datos personales.
¿Qué dice el RGPD?
El RGPD no prohíbe la IA. Pero se aplican las mismas normas que cuando usas datos personales de otras formas:
- Necesitas una base jurídica y una finalidad clara.
- Solo puedes usar los datos necesarios para la tarea (minimización de datos).
- Si el proveedor de IA trata datos por tu cuenta, necesitas un contrato de encargo del tratamiento.
- Si los datos se envían a un país fuera de la UE, la transferencia necesita una base específica.
Lo difícil es la minimización. Si pides a la IA que clasifique consultas de clientes, necesita lo que escribe el cliente, no su nombre, correo, teléfono y número de cuenta.
Deja que la IA trabaje sin los nombres reales
Seudonimizar significa sustituir nombres, correos, números de DNI y otros datos por códigos fijos, por ejemplo [PERSON_1], antes de enviar los datos a la IA. La clave se queda contigo. Cuando vuelve la respuesta, se vuelven a poner los nombres reales, pero solo en tu empresa.
Así se ve en GoalCube Data Vault. A la izquierda, tus datos, que se quedan en la UE. A la derecha, lo que ve la IA.
| Cliente | Correo | Ciudad | Tema |
|---|---|---|---|
| Carmen Navarro | carmen.navarro@example.com | Zaragoza | Reembolso |
| Javier Romero | javier.romero@example.com | Valladolid | Envío |
| Elena Castillo | elena.castillo@example.com | Murcia | Reclamación |
| Sergio Molina | sergio.molina@example.com | Gijón | Envío |
| Paula Medina | paula.medina@example.com | Córdoba | Reembolso |
Consulta Hola, soy Carmen Navarro. Devolví el pedido 7012345678 hace dos semanas y todavía no me ha llegado el dinero. Por favor, hacedme la transferencia a ES38 2100 0418 4620 0123 4567. Un saludo, Carmen
| Cliente | Correo | Ciudad | Tema |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Reembolso |
| [PERSON_2] | [EMAIL_2] | [STED] | Envío |
| [PERSON_3] | [EMAIL_3] | [STED] | Reclamación |
| [PERSON_4] | [EMAIL_4] | [STED] | Envío |
| [PERSON_5] | [EMAIL_5] | [STED] | Reembolso |
Consulta Hola, soy [PERSON_1]. Devolví el pedido [ID_1] hace dos semanas y todavía no me ha llegado el dinero. Por favor, hacedme la transferencia a [IBAN_1]. Un saludo, [PERSON_1]
Carmen Navarro y Paula Medina esperan un reembolso y deberían recibir respuesta hoy. Sergio Molina lleva 10 días esperando un paquete. Propuesta de respuesta para Carmen Navarro: "Hola, Carmen Navarro: gracias por tu paciencia. El dinero ya está en camino y llegará a tu cuenta en 5 días hábiles."
[PERSON_1] y [PERSON_5] esperan un reembolso y deberían recibir respuesta hoy. [PERSON_4] lleva 10 días esperando un paquete. Propuesta de respuesta para [PERSON_1]: "Hola, [PERSON_1]: gracias por tu paciencia. El dinero ya está en camino y llegará a tu cuenta en 5 días hábiles."
| Candidato | Nacimiento | DNI | Empresa actual | Experiencia |
|---|---|---|---|---|
| María Ortega | 1985-03-12 | 48213765S | Maderas Navarra S.L. | 12 |
| Pablo Serrano | 1992-11-02 | 30957142Q | Logística Ebro S.L. | 4 |
| Laura Domínguez | 1988-06-21 | 52864309M | Metalúrgica Asturiana S.A. | 9 |
| Manuel Iglesias | 1979-01-30 | 17402598Q | Farmacéutica Levante S.A. | 18 |
CV María Ortega lleva 12 años en presupuestos e informes mensuales en Maderas Navarra S.L., donde implantó un nuevo sistema ERP y dirige un equipo de tres personas. Contacto: maria.ortega@example.com.
| Candidato | Nacimiento | DNI | Empresa actual | Experiencia |
|---|---|---|---|---|
| [PERSON_1] | 40–49 años | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 años | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 años | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 años | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] lleva 12 años en presupuestos e informes mensuales en [VIRKSOMHED_1], donde implantó un nuevo sistema ERP y dirige un equipo de tres personas. Contacto: [EMAIL_1].
María Ortega y Laura Domínguez tienen más de 5 años de experiencia y deberían pasar a entrevista; pregunta a Laura Domínguez por su experiencia con sistemas ERP. Pablo Serrano tiene 4 años de experiencia y se piden 5. La decisión la toma una persona.
[PERSON_1] y [PERSON_3] tienen más de 5 años de experiencia y deberían pasar a entrevista; pregunta a [PERSON_3] por su experiencia con sistemas ERP. [PERSON_2] tiene 4 años de experiencia y se piden 5. La decisión la toma una persona.
| Proveedor | Persona de contacto | Cuenta | Vence |
|---|---|---|---|
| Componentes Rioja S.L. | Alejandro Vidal | ES70 0049 1500 0105 1234 5678 | 2027-01-31 |
| Nube Ibérica S.L. | Ana Prieto | ES80 0182 2370 4402 0123 4567 | 2026-12-31 |
| Precisión Vasca S.L. | Carlos Etxeberria | ES46 2085 0103 9893 0012 3456 | 2028-06-30 |
| Embalajes Mancha S.L. | Sara Gil | ES95 0081 0200 2025 0012 3456 | 2027-03-31 |
Condiciones Componentes Rioja S.L. suministra piezas especiales para el Proyecto Cuarzo. El precio se actualiza cada año según el IPC más un 3 %. La responsabilidad se limita al 10 % del valor anual del contrato. Para cualquier cambio, contacta con Alejandro Vidal.
| Proveedor | Persona de contacto | Cuenta | Vence |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Condiciones [VIRKSOMHED_1] suministra piezas especiales para el [PROJEKT_1]. El precio se actualiza cada año según el IPC más un 3 %. La responsabilidad se limita al 10 % del valor anual del contrato. Para cualquier cambio, contacta con [PERSON_1].
El contrato con Componentes Rioja S.L. se renueva automáticamente si no se rescinde como muy tarde el 31 de octubre. Es importante para un proyecto interno, así que es mejor renegociar el precio que rescindirlo. El contrato con Embalajes Mancha S.L. también se renueva automáticamente; hay que rescindirlo como muy tarde el 31 de diciembre.
El contrato con [VIRKSOMHED_1] se renueva automáticamente si no se rescinde como muy tarde el 31 de octubre. Es importante para un proyecto interno, así que es mejor renegociar el precio que rescindirlo. El contrato con [VIRKSOMHED_4] también se renueva automáticamente; hay que rescindirlo como muy tarde el 31 de diciembre.
Datos ficticios. Pasa el cursor por un nombre o un seudónimo para ver qué va con qué.
Fíjate en que el género también se neutraliza. Rara vez importa para la tarea, y no debe poder influir en una evaluación.
Pruébalo
Escribe o pega un texto. Añade tus propias palabras secretas (por ejemplo, el nombre de un proyecto o de un cliente importante) y mira lo que recibiría la IA.
Lo que la seudonimización no resuelve
La seudonimización es una herramienta potente, pero no lo resuelve todo:
- Para ti, los datos siguen siendo datos personales. Sigues necesitando base jurídica, contratos y control de la supresión.
- El texto libre puede delatar a una persona. «Nuestra única ingeniera en Albacete» es reconocible sin nombre. Por eso GoalCube muestra un riesgo de reidentificación para cada registro.
- La IA puede seguir equivocándose. Las decisiones sobre personas debe tomarlas una persona: lee el artículo sobre la decisión humana según el artículo 22 del RGPD.
Cómo hacerlo
- Apunta el uso.¿En qué debe ayudar la IA y qué datos necesita? Es el primer paso tanto para el RGPD como para el AI Act.
- Revisa la base jurídica y la finalidad.Necesitas una base jurídica para tratar los datos, y la nueva finalidad debe ser compatible con aquella para la que se recogieron.
- Revisa al proveedor de IA.¿Tienes un contrato de encargo del tratamiento? ¿Usa el proveedor tus datos para entrenar sus modelos? ¿Dónde se tratan los datos?
- Quita lo que la IA no necesita.Nombres, correos, DNI, números de cuenta y direcciones rara vez hacen falta para la tarea. Sustitúyelos por seudónimos antes de enviar los datos.
- Guarda la clave en la UE.Muestra los nombres reales solo en tu empresa, por ejemplo cuando vuelve la respuesta de la IA.
- Valora una evaluación de impacto.Si la IA evalúa de forma sistemática, por ejemplo, a candidatos o empleados, puede ser obligatoria una evaluación de impacto (EIPD).
Lo que dice la ley
- Artículo 5 del RGPD – principios
- Entre otros, limitación de la finalidad y minimización de datos: usa solo los datos necesarios para la finalidad.
- Artículo 4, punto 5, y considerando 26 del RGPD – seudonimización
- Datos que no pueden atribuirse a una persona sin una clave que se guarda por separado. Quien tiene la clave sigue tratando datos personales.
- Artículos 25 y 32 del RGPD – protección de datos desde el diseño y seguridad
- La seudonimización se menciona expresamente como una medida que puede proteger a los interesados.
- Artículo 28 del RGPD – encargados del tratamiento
- Si un proveedor trata datos personales por tu cuenta, tiene que haber un contrato de encargo del tratamiento.
- Artículo 35 del RGPD – evaluación de impacto
- Es obligatoria cuando es probable que un tratamiento entrañe un alto riesgo, por ejemplo la evaluación sistemática de personas.
- Artículo 44 del RGPD – transferencias fuera de la UE
- Los datos personales solo pueden enviarse a países fuera de la UE/EEE con una base específica, por ejemplo una decisión de adecuación o cláusulas contractuales tipo.
Preguntas y respuestas
¿Los datos seudonimizados son anónimos?
No. Mientras alguien (por ejemplo, tú) tenga la clave para encontrar los nombres reales, los datos siguen siendo datos personales según el RGPD. La seudonimización reduce el riesgo, pero no te libra de las normas.
¿Podemos pegar un currículum directamente en ChatGPT?
Puede ser legal con una base jurídica y un contrato con el proveedor, pero un CV contiene mucho que la IA no necesita: nombre, dirección, edad y a menudo el sexo. Son justo los datos que pueden influir en una evaluación. Quítalos o sustitúyelos antes por seudónimos.
¿Entrena la IA con nuestros datos?
Depende del servicio y de tu contrato. Muchas versiones para empresas no usan por defecto los datos de los clientes para entrenar, pero compruébalo en tu propio contrato y en la configuración.
¿Y si el proveedor está fuera de la UE?
Entonces la transferencia necesita una base específica. Con la seudonimización en la UE, los nombres reales ni siquiera salen de la UE: la IA solo recibe seudónimos.
¿Sirve también para datos empresariales confidenciales?
El RGPD solo cubre los datos personales, pero el mismo método protege también nombres de clientes, contratos, precios y nombres de proyectos internos. En GoalCube puedes añadir tus propias palabras secretas, que siempre se ocultan.
Fuentes
Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.
Sé de los primeros.
Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.