Qué puedes y qué NO puedes pegar en ChatGPT: guía RGPD

Son las once de la noche y tienes que resumir un contrato de veintitantas páginas para una reunión de mañana. Lo copias, lo pegas en ChatGPT, y en veinte segundos tienes el resumen. Has ganado una hora.

También acabas de entregar el nombre, el NIF, el domicilio y las condiciones económicas de tu cliente a una empresa estadounidense, sin contrato que lo ampare y —si usas el plan gratuito— autorizando de paso que ese contenido se use para entrenar sus modelos.

Ese es el problema que casi nadie te explica bien, porque se confunde con otro. Esto no va del Reglamento europeo de IA, que ya cubrimos aparte: va de protección de datos pura y dura, que lleva vigente desde 2018 y no admite periodos de gracia. Esta guía te da el test práctico de qué puedes pegar y qué no, qué cambia según el plan que uses, qué no se arregla ni pagando y cuál es la salida real para un despacho o una asesoría. Con la nota honesta de siempre: esto orienta, no es asesoramiento jurídico.

El error de fondo: no es un buscador, es un encargado del tratamiento

Todo el problema nace de una confusión de categoría. La gente usa ChatGPT como si fuera Google: escribo, me responde, no pasa nada. Pero buscar en Google y pegar un documento en un modelo de lenguaje son operaciones jurídicamente distintas.

Cuando pegas datos personales de un cliente en una herramienta de IA, estás comunicando esos datos a un tercero que los procesa por cuenta tuya. Jurídicamente eso es un encargado del tratamiento, y el RGPD exige que elijas únicamente encargados que ofrezcan garantías suficientes, con un contrato que fije las instrucciones y las obligaciones. Sin ese contrato, sin instrucciones documentadas y sin garantías, puedes estar incumpliendo tus obligaciones.

Para una asesoría o un despacho hay un agravante que conviene tener presente: sueles jugar con dos sombreros. Eres responsable del tratamiento respecto de tus propios datos, y encargado respecto de los datos que gestionas para tus clientes. Cuando pegas la nómina de la empresa de un cliente en una IA, estás subcontratando un tratamiento que te encomendaron a ti, sin permiso y sin contrato.

El plan que usas lo cambia casi todo

Aquí está el dato más práctico de toda la guía, y el que más gente desconoce. ChatGPT no es un único producto: cada plan tiene un perfil de riesgo distinto, y mezclarlos en el análisis lleva a conclusiones equivocadas.

Fíjate en la caja naranja de abajo, porque es la parte que casi ninguna guía menciona y la que más importa si manejas información sensible. El contrato de encargado te protege frente a OpenAI como empresa, pero no frente a la jurisdicción estadounidense. Existen mecanismos legales allí que pueden obligar a un proveedor a entregar datos sin notificártelo, y el marco de adecuación que hoy ampara esas transferencias está recurrido. Si cayera, volverías a la casilla de salida.

El test de las tres preguntas antes de pegar nada

Esto es lo que puedes convertir en un hábito de diez segundos y que resuelve el 95 % de las dudas del día a día.

El paso 2 es la clave práctica y el que más tiempo ahorra. La inmensa mayoría de lo que un profesional quiere hacer con IA —resumir, reformular, buscar contradicciones, mejorar la redacción, preparar un escrito— funciona exactamente igual sin los datos identificativos.

Qué puedes pegar sin problema y qué no

Traducido a los materiales con los que trabajas todos los días.

Esa última fila merece explicación. Son las llamadas categorías especiales de datos, que el RGPD protege con un régimen reforzado y que en un despacho aparecen más de lo que parece: un procedimiento laboral con una baja médica, un divorcio, un caso penal. Ahí el listón sube tanto que la respuesta sensata no es «con qué plan», sino «mejor que no salga de aquí».

Anonimizar bien: más difícil de lo que parece

La anonimización es la salida práctica, pero se hace mal con muchísima frecuencia. Cambiar «Juan Pérez» por «el cliente» no basta si en el mismo texto aparece la fecha del contrato, el importe, la localidad y el sector: la combinación puede identificar a la persona igual de bien que el nombre.

La regla es sustituir por etiquetas genéricas todo lo que identifique —nombres, documentos, direcciones, fechas exactas, importes concretos, nombres de empresa— y quedarte solo con la estructura jurídica o técnica, que es lo que necesitas que la IA analice. Luego reincorporas los datos reales tú, en tu documento.

La vía que sí resuelve el problema de raíz

Y llegamos a la conclusión incómoda: por muy bien que elijas el plan, los datos salen de tu despacho. Para el trabajo cotidiano no sensible, un plan de empresa con su contrato firmado es una solución razonable y proporcionada. Para lo que de verdad no puede salir, existe otra opción que en 2026 ya es realista.

Ejecutar un modelo en local significa que el documento nunca abandona tu ordenador: no hay transferencia internacional, no hay encargado del tratamiento, no hay entrenamiento y no hay jurisdicción ajena. El coste es que necesitas un equipo decente y que el modelo será menos potente que el de la nube, pero para resumir, reformular, extraer datos o buscar contradicciones en un documento, los modelos que caben en un ordenador actual rinden de sobra. Ya explicamos cómo montarlo en otras guías, y para un despacho es probablemente la inversión de cumplimiento más rentable que puede hacer.

Haz esta semana las dos cosas que más reducen tu riesgo y menos cuestan. Primero, comprueba en qué plan está cada persona de tu despacho: si alguien está usando la cuenta gratuita con documentos de clientes, eso se corta hoy, no el mes que viene. Y segundo, escribe en una página qué se puede pegar y qué no, con el test de las tres preguntas, y compártela con el equipo. Porque la mayoría de las brechas en este terreno no las provoca un ataque ni una decisión temeraria: las provoca alguien con prisa a las once de la noche que solo quería un resumen. Y esa persona, para no equivocarse, no necesita conocer el RGPD entero. Le basta con haberse acostumbrado a preguntarse, antes de pulsar pegar, si lo que va en el portapapeles tiene nombre y apellidos.

GonzaloFundador

Madrileño enganchado a la tecnología desde pequeño. Trabajo en finanzas pero la inteligencia artificial es lo que me quita el sueño. Creé Miuranews para seguirla de cerca y contarla en español sin hype.

Todos sus artículos →