¿Puedo Meter los Datos de mis Clientes en ChatGPT?

La pregunta que ya se ha hecho medio país

Abres una herramienta de inteligencia artificial, pegas la lista de clientes con nombres, teléfonos y notas, y le pides que te redacte los mensajes de seguimiento. Tarda diez segundos y el resultado es bueno. Y entonces aparece la duda: ¿esto se puede hacer?

La respuesta corta es que depende de qué datos, de qué herramienta y bajo qué condiciones. La cuestión de la IA y protección de datos de clientes no se resuelve con un sí o un no, sino con un criterio que se puede aprender en diez minutos.

Aviso desde el principio: esto es orientación general, no asesoría jurídica. Cada tratamiento tiene sus particularidades y hay sectores con exigencias reforzadas. La fuente oficial de referencia en España es la Agencia Española de Protección de Datos, y para cualquier decisión con consecuencias reales conviene contar con un profesional o con tu delegado de protección de datos.

Lo que ocurre cuando pegas datos en una herramienta

Técnicamente estás enviando información personal a un tercero, que la procesa en sus servidores y, según el servicio y la configuración, puede conservarla durante un tiempo.

Eso es un tratamiento de datos

Aunque no lo parezca, comunicar datos personales a un proveedor para que los procese es un tratamiento en toda regla. Y como todo tratamiento, necesita una base que lo legitime, una finalidad determinada y una información previa a los interesados.

El hecho de que sea rápido, gratuito y hecho desde tu portátil no cambia nada de eso.

Las tres preguntas que hay que hacerse antes

• ¿Son datos personales? Si permiten identificar a una persona, directa o indirectamente, lo son. Un teléfono lo es. Un correo con nombre y apellido, también.
• ¿Son categorías especiales de datos? Salud, orientación sexual, creencias, afiliación sindical, datos biométricos. Aquí la exigencia sube mucho y el margen se estrecha muchísimo.
• ¿Informé a esas personas de que sus datos podían tratarse así y tengo una base que lo ampare?

Si la respuesta a la primera es sí y a la tercera es no, la respuesta práctica a la pregunta del título es: hoy no.

Responsable y encargado: por qué importa esta distinción

Es el concepto que más aclara la situación y el que más se ignora.

Tú eres el responsable

Tú decides qué datos se tratan, para qué y con qué medios. Eso te convierte en responsable del tratamiento, con todas las obligaciones que conlleva. La responsabilidad no se traslada al proveedor por el hecho de usar su herramienta.

El proveedor debería ser encargado

Cuando contratas a un tercero para que trate datos por cuenta tuya, esa relación debe formalizarse mediante un contrato de encargado del tratamiento, con las condiciones que exige la normativa: qué puede hacer con los datos, durante cuánto tiempo, qué medidas de seguridad aplica, qué subencargados intervienen y qué ocurre al terminar.

La diferencia práctica es enorme. Sin ese contrato, estás comunicando datos personales a alguien que no está obligado contractualmente frente a ti a nada en particular.

Y si el proveedor decide por su cuenta

Cuando un servicio usa lo que le envías para sus propios fines, como mejorar sus modelos, ya no está actuando solo como encargado. Ese matiz es el que separa a las versiones de consumo de las versiones empresariales de la mayoría de herramientas.

Qué mirar en las condiciones de la herramienta

Antes de meter un solo dato de cliente, revisa estos seis puntos. Están en la documentación de cualquier proveedor serio.

• ¿Ofrece contrato de encargado del tratamiento y para qué planes? Habitualmente solo para versiones de empresa.
• ¿Se usa lo que envías para entrenar sus modelos? ¿Se puede desactivar y cómo se acredita?
• ¿Cuánto tiempo conserva el contenido enviado y si existe opción de retención cero o reducida?
• ¿Dónde se procesan y almacenan los datos, y qué mecanismo ampara las transferencias internacionales?
• ¿Qué subencargados intervienen y hay obligación de notificarte los cambios?
• ¿Qué compromisos hay sobre notificación de brechas de seguridad?

Un aviso sobre las cuentas personales gratuitas: la versión de consumo de una herramienta y su versión empresarial pueden compartir marca y no compartir condiciones. Usar la cuenta personal de un empleado para tratar datos de clientes es uno de los escenarios más frecuentes y menos defendibles.

Qué se puede hacer sin apenas riesgo

La buena noticia es que el 80 % de lo que una pyme quiere hacer con estas herramientas no requiere datos personales en absoluto.

Anonimizar y seudonimizar

La mayoría de las tareas útiles funcionan igual de bien sin nombres. Pide que te redacte un mensaje para «un cliente que contrató el servicio hace ocho meses y no ha vuelto», y luego pon tú el nombre en tu sistema. El resultado es idéntico y no has enviado nada personal.

Cuidado con una trampa: quitar el nombre no siempre anonimiza. Si el resto de datos permite identificar a la persona, por combinación o por ser un caso muy singular, sigue habiendo dato personal.

Trabajar con datos de prueba

Para diseñar plantillas, probar clasificaciones o afinar instrucciones, inventa un juego de datos ficticio. Es más rápido que discutir si se puede usar el real, y sirve exactamente igual.

Trabajar sobre agregados

Analizar tendencias, resumir motivos de queja o detectar patrones se puede hacer con datos agregados y sin identificadores. La información que te interesa como negocio casi nunca está en el nombre concreto.

Usar herramientas con acuerdo de tratamiento

Cuando sí necesitas trabajar con datos reales, la vía correcta es una herramienta contratada en su versión empresarial, con contrato de encargado firmado, con el entrenamiento desactivado y con la información al interesado actualizada.

En esa categoría entran también las funciones de IA integradas dentro del software que ya usas. Si tu CRM incorpora asistencia inteligente sobre los datos que ya custodia, el tratamiento se mantiene dentro del proveedor con el que ya tienes contrato firmado, en lugar de expandirse a un tercero nuevo. Trabajar así con Letnova CRM tiene esa ventaja práctica: los datos no salen a una herramienta ajena solo para redactar un mensaje.

Reglas de casa: la política de IA de una pyme en una página

No necesitas un manual de sesenta páginas. Necesitas que todo el equipo sepa qué se puede y qué no. Un documento breve, firmado y explicado en una reunión de veinte minutos, resuelve la mayor parte del riesgo real.

Contenido mínimo

• Qué herramientas están autorizadas y cuáles no, con nombre y versión concreta.
• Prohibición expresa de usar cuentas personales para asuntos de la empresa.
• Lista clara de lo que nunca se pega: datos de salud, documentos de identidad, datos bancarios, expedientes completos, contratos con datos de terceros.
• Qué sí se puede hacer, con dos o tres ejemplos concretos del trabajo diario.
• Obligación de revisar siempre la salida antes de usarla con un cliente.
• A quién preguntar en caso de duda.

Los otros dos frentes

Además de la protección de datos, hay dos asuntos que conviene tener presentes. Uno es la confidencialidad contractual: puedes tener acuerdos con clientes que prohíban compartir su información con terceros, con independencia de que sean datos personales o no. Otro es la exactitud: estas herramientas se equivocan con seguridad y aplomo, y la responsabilidad de lo que envías a un cliente sigue siendo tuya.

Para ver cómo introducir la inteligencia artificial en la operativa de un negocio con criterio y por fases, tienes el desarrollo completo en la guía definitiva de automatización e IA para pymes. Si quieres revisar qué herramientas usa tu equipo y cómo ordenar ese uso, puedes ver nuestros servicios de automatización o contarnos tu caso.

Insistimos en el aviso: lo anterior es orientación general y no sustituye a la asesoría jurídica. Verifica la información en la Agencia Española de Protección de Datos y consulta con un profesional antes de tomar decisiones sobre tratamientos concretos.

Preguntas frecuentes

¿Puedo pegar la lista de clientes de mi empresa en ChatGPT?

En una cuenta personal o gratuita, la respuesta prudente es no: estarías comunicando datos personales a un tercero sin un contrato de encargado del tratamiento y, según la configuración, esa información podría conservarse o utilizarse para otros fines. Si necesitas trabajar con datos reales, la vía es una versión empresarial con acuerdo firmado, entrenamiento desactivado y la información a los interesados actualizada. Para la mayoría de tareas, sin embargo, basta con anonimizar y el resultado es el mismo.

¿Qué es un contrato de encargado del tratamiento y por qué lo necesito?

Es el acuerdo que regula la relación cuando un proveedor trata datos personales por cuenta tuya. Debe recoger la finalidad, la duración, el tipo de datos, las medidas de seguridad, el régimen de subencargados y qué ocurre con los datos al terminar. Lo necesitas porque tú sigues siendo el responsable del tratamiento, y sin ese contrato no puedes acreditar que el proveedor está obligado frente a ti. La Agencia Española de Protección de Datos publica información sobre su contenido.

¿Es suficiente con quitar los nombres para que deje de haber datos personales?

No siempre. La anonimización real exige que la persona no pueda ser reidentificada por ningún medio razonable, y una combinación de datos aparentemente inocuos puede identificar a alguien, especialmente en casos poco frecuentes o en localidades pequeñas. Quitar el nombre pero mantener el teléfono, la dirección o un historial muy específico no anonimiza nada. Cuando la duda es real, lo seguro es trabajar con datos inventados.

¿Tengo que informar a mis clientes de que uso inteligencia artificial con sus datos?

La obligación general de informar sobre los tratamientos que realizas alcanza también a las herramientas y proveedores implicados, así que si tratas datos personales de clientes mediante servicios de terceros, tu información sobre privacidad debería reflejarlo de forma comprensible. El alcance concreto de esa información y su redacción dependen de tu caso, así que revísalo con tu asesoría legal y contrasta el criterio con la fuente oficial antes de publicar nada.