¿Es seguro compartir datos de clientes con ChatGPT?

En esta página 13

Cómo decidir en cuatro pasos
Qué cuenta como dato de cliente y por qué importa el tipo
Qué puede pasar con lo que escribes en ChatGPT
Planes personales vs. planes empresariales: la diferencia de fondo
Qué revisar en los términos de datos antes de pegar nada
Tus obligaciones como empresa que tiene los datos
Cómo anonimizar datos de clientes antes de usar ChatGPT
Ejemplo resuelto: un correo de queja de una clienta
Ajustes que debes revisar en cualquier plan
Cuándo no usar ChatGPT en absoluto
Política de datos e IA de una página para tu equipo
Si alguien ya pegó datos sensibles de clientes
Las mismas preguntas valen para otras herramientas de IA

La respuesta corta

Depende de cuatro cosas: qué datos son, qué plan de ChatGPT usas, cómo está configurada esa cuenta y qué has prometido a tus clientes y te exige la ley. Las preguntas genéricas y los textos bien anonimizados no suelen dar problemas en la mayoría de los planes, una vez revisada la configuración.

Datos personales identificables (nombres, correos, historiales de pedidos): requieren un plan empresarial con contrato de encargo del tratamiento (DPA) y minimización de datos.
Datos sensibles (salud, datos bancarios o de tarjeta, números de identificación, contraseñas): normalmente no deberían entrar, salvo que tu contrato y tu esquema de cumplimiento lo cubran de forma explícita.
Regla por defecto: si no se lo enviarías por correo a un proveedor externo sin un acuerdo de confidencialidad y un contrato, no lo pegues en un chatbot.

Cómo decidir en cuatro pasos

El resto de la guía desarrolla un método en cuatro pasos que sirve para cualquier asistente de IA, no solo para ChatGPT:

Clasifica los datos (verde, ámbar o rojo).
Revisa el plan y sus términos en las páginas oficiales del proveedor.
Minimiza y anonimiza antes de pegar.
Identifica los casos de «no» rotundo en los que no conviene usar IA.

Qué cuenta como dato de cliente y por qué importa el tipo

Casi toda la decisión de riesgo sale de una pregunta: ¿qué es exactamente lo que vas a pegar?

Datos personales: identificadores directos e indirectos

Dato personal es cualquier información que identifica a una persona viva, de forma directa o indirecta.

Identificadores directos: nombre, correo electrónico, teléfono, domicilio, nombre de usuario de una cuenta.
Identificadores indirectos: datos que identifican a alguien al combinarse o por el contexto. Un número de pedido más un código postal. Un cargo único en una empresa concreta («la jefa de finanzas de una panadería de 12 personas en Cuenca»). Un hecho poco común («la clienta a la que se le vino abajo el pastel de bodas el sábado pasado»).

Categorías especiales y datos sensibles

Categorías especiales de datos es el término del Reglamento General de Protección de Datos (RGPD) para los tipos más sensibles: salud, origen étnico o racial, creencias religiosas o filosóficas, opiniones políticas, afiliación sindical, datos genéticos y biométricos, vida sexual y orientación sexual. Tienen protección reforzada según el artículo 9 del RGPD.

Las leyes de protección de datos de América Latina también dan protección especial a los llamados datos sensibles, con listas parecidas. Revisa la definición exacta en la ley de tu país.

Otros datos de alto riesgo e información confidencial

Otros datos de alto riesgo no siempre entran en esas categorías, pero pueden causar un daño real si se exponen: números de tarjeta, datos bancarios, números de identificación oficial (pasaporte, DNI o NIE, CURP, cédula, RUT, número de seguridad social), credenciales de acceso y claves de API, y datos de menores.

La información confidencial del negocio también cuenta, aunque no aparezca ninguna persona. Contratos con clientes, acuerdos de precios, planes de productos no lanzados y cualquier cosa cubierta por un acuerdo de confidencialidad (NDA) pueden estar restringidos por contrato.

El semáforo de datos

Nivel	Ejemplos	Qué hacer
🟢 Verde: genérico o anonimizado	«¿Cómo redacto una disculpa por una entrega tardía?», un correo de queja sin ningún identificador, cifras de ventas agregadas sin nombres	Por lo general, sin problema en cualquier plan, una vez revisada la configuración de entrenamiento e historial
🟠 Ámbar: identificable, poco sensible	Nombres y correos de clientes, historiales de pedidos, tickets de soporte, notas del CRM, actas de reuniones con nombres de clientes	Solo en un plan empresarial aprobado y con DPA, y siempre después de minimizar. Anonimiza siempre que la tarea lo permita
🔴 Rojo: sensible, regulado o restringido por contrato	Datos de salud, de tarjeta o bancarios, números de identificación, contraseñas, datos de menores, detalles de casos legales, datos de un cliente bajo un NDA que prohíbe herramientas de terceros	No lo pegues. Solo plantéatelo si un acuerdo empresarial, una base legal y la normativa de tu sector lo cubren de forma explícita, y con asesoramiento profesional

Qué puede pasar con lo que escribes en ChatGPT

Los riesgos son reales, pero concretos. Ayuda conocer los mecanismos en lugar de quedarse con la idea vaga de que «la IA lo guarda todo».

Lo que depende del proveedor

Entrenamiento de modelos. En algunos planes, las conversaciones pueden usarse para mejorar los modelos de OpenAI salvo que lo desactives. Si esto aplica, y si viene activado o desactivado por defecto, depende del plan y de tu configuración. Revisa la política de privacidad de OpenAI y tus propios controles de datos en lugar de suponer.
Conservación. Los chats, los archivos subidos e incluso las conversaciones borradas pueden conservarse durante un tiempo por motivos de seguridad, control de abusos o razones legales. Ese plazo también puede ampliarse por obligaciones legales, como órdenes judiciales. Los plazos vigentes están en la política de privacidad y en el Centro de ayuda de OpenAI, y pueden cambiar.
Revisión humana. Los proveedores pueden hacer que personas revisen parte del contenido, por ejemplo para investigar abusos. Los términos de tu plan indican cuándo puede ocurrir.

Lo que depende de tu cuenta y tu equipo

Exposición desde la cuenta. Los datos pueden ir más allá del chat original. Un enlace compartido normalmente puede abrirlo cualquiera que tenga la URL. La memoria puede llevar detalles a conversaciones futuras. Los GPT personalizados, los conectores con el correo o la nube y los espacios de trabajo compartidos en equipo pueden ampliar quién o qué ve el contenido.
Tu propia seguridad. Contraseñas débiles, cuentas compartidas, falta de verificación en dos pasos y exempleados que siguen teniendo acceso suelen ser, en la práctica, un riesgo mayor que cualquier cosa que haga el proveedor.

Planes personales vs. planes empresariales: la diferencia de fondo

Esta es la diferencia estructural más importante, y es fácil equivocarse.

Los planes personales (en el momento de escribir esto: Free, Plus y Pro) son cuentas individuales que se rigen por los términos para consumidores de OpenAI. Las ofertas empresariales (en el momento de escribir esto: Team/Business, Enterprise, Edu y la plataforma de API) suelen regirse por términos empresariales.

Los nombres y la oferta de planes cambian, así que revisa la página de precios actual de OpenAI antes de fiarte de estas etiquetas.

Qué dice OpenAI sobre el entrenamiento con datos empresariales

En el momento de escribir esto (última revisión: noviembre de 2026), OpenAI afirma en su página de privacidad para empresas que, por defecto, no entrena sus modelos con los datos de sus clientes empresariales.

Tómalo como el compromiso que OpenAI publica para los productos que figuran en esa página, no como una garantía para todos los planes, y revisa tú mismo la página actual.

Qué suelen añadir los planes empresariales

Comprueba cada plan, pero esto es lo habitual:

Un contrato de encargo del tratamiento (DPA, por sus siglas en inglés), el contrato que normalmente necesitas según el RGPD cuando un proveedor trata datos personales por cuenta tuya.
Controles de administración: gestionar usuarios, dar de baja a quien se va, restringir funciones.
Inicio de sesión único (SSO) en algunos niveles.
La posibilidad de gestionar o eliminar datos de usuarios de forma centralizada.
Documentación de seguridad, como informes SOC 2, a través del Portal de confianza de OpenAI.

Qué comparar entre planes y dónde revisarlo

Qué comparar	Por qué importa	Dónde revisarlo
Qué términos rigen el plan (consumidor o empresa)	Define tus compromisos de datos y si es posible firmar un DPA	Páginas de términos de OpenAI y página de precios del plan
Entrenamiento con tu contenido y su valor por defecto	Decide si el texto de tus clientes podría ayudar a entrenar modelos futuros	Política de privacidad, página de privacidad para empresas, tus controles de datos
Conservación de chats, archivos y chats borrados	Borrar un chat puede no eliminarlo de inmediato	Política de privacidad y artículos de conservación del Centro de ayuda
Disponibilidad de DPA	Normalmente es obligatorio para usar un encargado con datos personales según el RGPD	Página de privacidad para empresas; pregunta a ventas o soporte por tu plan
Controles de administración y SSO	Te permiten dar de baja a quien se va y desactivar funciones de riesgo	Página comparativa de planes y documentación de administración
Informes y certificaciones de seguridad	Evidencia de los controles del proveedor para tus registros	Portal de confianza
Opciones de residencia de datos	Algunos clientes o contratos exigen que los datos se queden en una región	Página de privacidad para empresas y documentación del plan
BAA para datos de salud (EE. UU.)	Lo exige la ley HIPAA antes de que un proveedor trate información de salud protegida por cuenta tuya	Centro de ayuda y página de privacidad para empresas de OpenAI

Si todavía estás eligiendo herramienta, incluye los términos de datos entre tus criterios de selección. Nuestra guía para elegir un asistente de redacción con IA para tu negocio (en inglés) cubre el resto de criterios.

Qué revisar en los términos de datos antes de pegar nada

Usa este checklist con ChatGPT o con cualquier otra herramienta de IA. Responde cada pregunta con las páginas oficiales del proveedor, no con artículos de blog ni foros (incluido este).

Entrenamiento: ¿se usa mi contenido para entrenar modelos en este plan? ¿Viene activado o desactivado por defecto? ¿Dónde está el ajuste?
Conservación: ¿cuánto tiempo se guardan los chats, los archivos subidos y los chats borrados? ¿Hay excepciones, como retenciones por motivos legales o revisiones de seguridad?
DPA: ¿hay un contrato de encargo del tratamiento disponible y cubre mi plan concreto?
Subencargados: ¿qué otras empresas tratan los datos por cuenta del proveedor? ¿La lista es pública?
Ubicación: ¿dónde se almacenan y se tratan los datos? ¿Hay opciones de residencia de datos y en qué planes?
Certificaciones: ¿qué informes o certificaciones de seguridad publica y dónde (por ejemplo, en un portal de confianza)?
Controles de administración: ¿puedo gestionar usuarios, ver registros de auditoría y desactivar funciones como conectores, memoria o enlaces compartidos?
Eliminación: ¿cómo borro datos o una cuenta completa? ¿Qué pasa con las copias de seguridad?
Sectores regulados: ¿se ofrece un acuerdo de socio comercial de HIPAA (BAA) si trabajas con datos de salud en EE. UU., o el equivalente que exija tu sector, y solo en qué productos?

Tus obligaciones como empresa que tiene los datos

Es natural preguntarse «¿es seguro OpenAI?». La pregunta más útil es «¿tengo permitido hacer esto?», porque la responsabilidad legal suele recaer en ti.

Responsable y encargado del tratamiento

Según el RGPD, tu empresa suele ser la responsable del tratamiento: decides para qué y cómo se usan los datos de tus clientes. Un proveedor de IA que usas por cuenta tuya suele ser encargado del tratamiento.

El artículo 28 del RGPD exige un contrato por escrito con los encargados, que es justo lo que aporta un DPA. También necesitas una base legal para el tratamiento y debes informar con transparencia a tus clientes.

Las leyes de protección de datos latinoamericanas también distinguen, con su propia terminología y matices, entre quien decide sobre los datos y quien los trata por encargo.

Tu aviso de privacidad y tus contratos con clientes

Tu aviso o política de privacidad. ¿Dice que compartes datos personales con proveedores de servicios en la nube o de IA? Si no, actualízalo antes de usar datos reales de clientes.
Contratos con clientes y NDA. Algunos clientes prohíben expresamente enviar sus datos a herramientas de IA de terceros. Revísalo antes de pegar, sobre todo si trabajas con otras empresas.

Qué ley de protección de datos te aplica

Depende de dónde estés tú y dónde estén tus clientes. Algunas referencias:

España: el RGPD y la Ley Orgánica 3/2018 (LOPDGDD).
México: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Colombia: la Ley 1581 de 2012.
Argentina: la Ley 25.326.
Chile: la Ley 19.628 y su reforma por la Ley 21.719.
Perú: la Ley 29733.
Clientes en EE. UU.: pueden aplicar leyes estatales como la CCPA/CPRA de California o HIPAA para datos de salud.
Datos de tarjetas de pago: rige el estándar PCI DSS.

Comprueba cuáles te aplican.

Transferencias internacionales

Es probable que los datos se traten fuera de tu país. En el marco del RGPD, el DPA debe indicar el mecanismo de transferencia, como las cláusulas contractuales tipo. Varias leyes latinoamericanas también regulan las transferencias internacionales de datos, así que revisa qué exige la tuya.

Dónde encontrar información oficial

En España, la Agencia Española de Protección de Datos (AEPD) publica guías y recursos, y el texto completo del RGPD está en EUR-Lex.

En América Latina, consulta las guías de la autoridad de protección de datos de tu país (por ejemplo, la Superintendencia de Industria y Comercio en Colombia o la Agencia de Acceso a la Información Pública en Argentina). Para cualquier caso ámbar o rojo, habla con tu DPO o con un abogado.

Cómo anonimizar datos de clientes antes de usar ChatGPT

Puedes hacerlo hoy mismo con un simple editor de texto. Para un correo corto, son unos minutos.

Pregúntate si la IA necesita el dato personal. Casi nunca lo necesita. Para reescribir una respuesta, resumir una queja o proponer una solución, la IA necesita la situación, no la identidad. Empieza por quitar todo lo que la tarea no requiera.
Sustituye los identificadores por marcadores. Usa marcadores claros y siempre iguales: [NOMBRE_CLIENTE], [N_PEDIDO], [CIUDAD], [CORREO], [TELEFONO], [PRODUCTO]. Guarda la correspondencia (qué marcador equivale a qué dato real) solo en tus propios sistemas. Cuando la IA te devuelva el borrador, vuelve a poner tú los datos reales.
Generaliza en lugar de borrar cuando el contexto importa. Convierte los datos exactos en rangos, zonas o periodos (tienes ejemplos en la tabla de abajo).
Quita los identificadores indirectos. Cargos poco comunes, hechos inusuales, historiales largos y combinaciones de detalles pueden identificar a alguien aunque no haya nombre. «Una clienta de seis años en un pueblo pequeño que lleva la única clínica veterinaria» no es anónima.
En hojas de cálculo, elimina columnas antes de subir. Borra o enmascara las columnas identificativas (nombre, correo, teléfono, dirección, ID de cliente) y sube solo las columnas que necesita la tarea. Si quieres analizar patrones de devoluciones, probablemente te bastan el producto, el rango de fechas y el motivo, no quién la pidió. Si necesitas distinguir filas, puedes sustituir el ID de cliente por un código aleatorio o un valor con hash; eso sigue siendo seudonimización (ver abajo), no anonimización.

Ejemplos de generalización

Tipo de dato	Dato exacto	Cómo generalizarlo
Edad	47	Un rango (de 45 a 54 años)
Dirección	Dirección completa	Una zona («el norte del país»)
Importe	1284	Un rango («poco más de mil»)
Fecha	Fecha exacta	Un periodo («la semana pasada»)

Seudonimizar no es lo mismo que anonimizar

La diferencia tiene consecuencias legales:

Los datos seudonimizados tienen los identificadores sustituidos, pero se pueden volver a vincular a la persona con información adicional que tú guardas (como tu tabla de marcadores). Según el RGPD, siguen siendo datos personales.
Los datos anonimizados no pueden vincularse razonablemente a una persona por nadie. Quedan fuera del RGPD.

Ejemplo resuelto: un correo de queja de una clienta

Antes: el correo original (no pegues esto)

Hola, soy Laura Méndez (laura.m@example.com). El pedido n.º 48213 del estuche térmico de viaje llegó a mi casa en Sevilla con cuatro días de retraso. Tengo diabetes tipo 1 y lo necesitaba para mantener fría la insulina durante un viaje, así que tuve que comprar otro en el aeropuerto por 39 €. Soy clienta desde hace seis años y esto no es aceptable. Laura, 600 00 00 00

Contiene un nombre, un correo, un teléfono, un número de pedido, una ciudad, un importe, un historial como clienta y un dato de salud (categoría especial de datos).

Después: minimizado y con marcadores

Hola, soy [NOMBRE_CLIENTE]. El pedido [N_PEDIDO] de [PRODUCTO] llegó a mi casa en [CIUDAD] con cuatro días de retraso. Lo necesitaba por un motivo personal urgente durante un viaje, así que tuve que comprar un reemplazo en otro sitio por unos 40 €. Soy cliente desde hace tiempo y esto no es aceptable.

Qué cambió:

El correo y el teléfono desaparecen porque la respuesta no los necesita.
El nombre, el número de pedido, el producto y la ciudad son marcadores que rellenas después.
La diabetes y la insulina se generalizan como «motivo personal urgente». La IA puede escribir una respuesta empática sin conocer la enfermedad.
El importe exacto pasa a «unos 40 €» y los seis años de historial, a «desde hace tiempo».

Prompt de ejemplo y último paso

Estás ayudando a una pequeña tienda en línea a responder la queja de un cliente. Redacta una respuesta breve, cálida y profesional al correo de abajo. Pide disculpas por el retraso en la entrega, reconoce que causó una molestia real y ofrece reembolsar el coste del reemplazo al recibir el comprobante. Mantén los marcadores entre corchetes exactamente como están. No inventes datos.

[pega aquí el correo limpio]

Después añades tú el nombre real y el número de pedido antes de enviar. Si la respuesta debe mencionar el motivo médico, esa frase la escribes tú.

Para estructurar prompts como este, consulta nuestra guía sobre cómo escribir prompts de IA para correos de empresa (en inglés). Y si lo que respondes son reseñas públicas, mira nuestro método para responder reseñas de clientes con IA.

Ajustes que debes revisar en cualquier plan

Los nombres y la ubicación de los menús cambian, así que toma esto como una lista de cosas que encontrar, no como clics exactos. El Centro de ayuda de OpenAI tiene las instrucciones vigentes.

Controles de datos y entrenamiento de modelos. Busca el ajuste que decide si tu contenido puede usarse para mejorar los modelos y confirma tú mismo su estado actual.
Chats temporales o de tipo «incógnito». Normalmente evitan que el chat aparezca en tu historial. Aun así, pueden conservarse durante un tiempo, por ejemplo para revisiones de seguridad, así que revisa en el Centro de ayuda qué cambian y qué no.
Memoria e instrucciones personalizadas. Revisa qué se guarda sobre ti y, sobre todo, sobre tus clientes. Borra lo que no debería estar ahí.
Enlaces compartidos. Revisa las conversaciones compartidas antiguas y elimina las que contengan trabajo de clientes.
Conectores e integraciones. Si tienes conectados el correo, el almacenamiento en la nube o el calendario, deja solo lo que de verdad necesitas.
Seguridad de la cuenta. Activa la verificación en dos pasos. No compartas credenciales. Retira el acceso el mismo día en que alguien deja la empresa.

Cuándo no usar ChatGPT en absoluto

Algunos casos son un «no» claro, sea cual sea el plan.

Nunca pegues

Contraseñas, claves de API u otras credenciales de acceso
Números de tarjeta de pago (a los datos de tarjeta se les aplican las normas PCI DSS)
Credenciales de banca en línea o datos bancarios completos
Números completos de identificación oficial: pasaporte, DNI o NIE, CURP, cédula, RUT, número de seguridad social, licencia de conducir

No uses IA para esto, salvo que esté cubierto de forma explícita

Datos de salud, de casos legales, de menores u otras categorías especiales o datos sensibles, salvo que tengas un acuerdo empresarial, una base legal y un cumplimiento sectorial que lo cubran expresamente.
Datos que un contrato o NDA con tu cliente te prohíbe compartir con terceros.
Datos recogidos con un aviso de privacidad que no permite este uso.
Decisiones importantes sobre personas, como crédito, contratación o acceso a servicios o ayudas. Se aplican exigencias de exactitud y equidad y obligaciones legales sobre decisiones automatizadas (incluido el artículo 22 del RGPD, y las normas que correspondan en tu país).
Tareas en las que anonimizar eliminaría justo la información que la tarea necesita. Es señal de que ese trabajo debe quedarse en casa o pasar a un sistema con el contrato adecuado.
Cualquier situación en la que no puedas verificar los términos del plan, como cuando el equipo usa cuentas personales. Esto se suele llamar «IA en la sombra» (shadow AI) y es un punto ciego habitual, porque la empresa no controla la configuración ni los términos de esas cuentas.

Política de datos e IA de una página para tu equipo

Cópiala, sustituye lo que está entre corchetes y mantenla en una sola página. Si quieres una versión más completa, con registro de herramientas aprobadas y plan de implantación, usa nuestra plantilla de política de uso aceptable de IA para pequeñas empresas (en inglés).

Plantilla para copiar

Política de datos e IA de [nombre de la empresa] Responsable: [nombre]. Última revisión: [fecha]. Próxima revisión: [fecha].

1. Herramientas aprobadas

Aprobadas para datos de clientes: [herramienta y plan, p. ej., «ChatGPT, solo nuestro espacio de trabajo empresarial»].
Las cuentas personales de IA (gratuitas o de pago) nunca se usan para datos de clientes.

2. Qué se puede pegar

🟢 Verde (preguntas genéricas, texto totalmente anonimizado): cualquier herramienta aprobada.
🟠 Ámbar (nombres, correos, historiales de pedidos, tickets de soporte): solo en el plan empresarial aprobado, después de quitar los identificadores o sustituirlos por marcadores como [NOMBRE_CLIENTE] y [N_PEDIDO].
🔴 Rojo (salud, datos de tarjeta o bancarios, números de identificación, contraseñas, datos de menores, datos bajo NDA): nunca, salvo aprobación por escrito de [responsable] tras asesoramiento profesional.

3. Ajustes y seguridad obligatorios

Verificación en dos pasos activada.
Ajustes de entrenamiento y datos revisados por [responsable] el [fecha].
Nada de enlaces compartidos con trabajo de clientes.
Conectores activados solo con aprobación.

4. Antes de pegar, pregúntate

¿La IA necesita este dato para hacer la tarea?
¿Se lo enviaría por correo a un proveedor externo sin contrato?

5. Dudas y errores

Si tienes dudas, pregunta a [nombre/canal].
Si pegas algo que no debías, avisa a [nombre] el mismo día. Lo importante es avisar rápido. Nadie será sancionado por avisar.

6. Revisión

[Responsable] revisa los términos de los proveedores cada trimestre y siempre que cambiemos de plan o de herramienta.

Si alguien ya pegó datos sensibles de clientes

Pasa. Una respuesta tranquila y rápida importa más que el error en sí.

Mantén la calma y no lo ocultes. Anota qué se compartió, cuándo, en qué cuenta y con qué plan.
Borra la conversación y los enlaces compartidos. Revisa también si la memoria guardó algún dato. El borrado puede no ser inmediato en los sistemas del proveedor, así que revisa los términos de conservación de ese plan.
Comprueba qué términos aplicaban. ¿Era una cuenta empresarial con DPA o una cuenta personal? Eso cambia la gravedad.
Evalúa si es una violación de seguridad de datos personales. Las reglas de notificación se resumen justo debajo. En cualquier caso, pide consejo pronto a tu DPO o a un abogado para no quedarte fuera de plazo.
Contacta al proveedor si hace falta. Usa la vía de contacto de privacidad que indica la política de privacidad de OpenAI.
Corrige la causa. Actualiza la política, informa al equipo y pasa a todos a un plan aprobado.

El plazo de 72 horas del RGPD y las reglas en América Latina

Según el RGPD (artículo 33), una violación de seguridad debe notificarse a la autoridad de control sin dilación indebida y, si es posible, en un plazo de 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, puede que también tengas que informar a los afectados (artículo 34).

En América Latina, las obligaciones de aviso ante incidentes de seguridad varían según el país, así que revisa tu ley.

Las mismas preguntas valen para otras herramientas de IA

Nada de este método es exclusivo de ChatGPT. Claude, Gemini, Microsoft Copilot y otros asistentes tienen cada uno sus propios términos para consumidores y para empresas (en inglés), y suele repetirse la misma división: planes personales con unos términos y planes empresariales con otros. Aplica el mismo checklist a cada uno.

No olvides las funciones de IA integradas en herramientas que ya usas (en inglés). Los clientes de correo, los CRM, las plataformas de soporte y los editores de documentos incluyen cada vez más asistentes de IA que también pueden tratar datos de clientes. Revisa sus términos y ajustes igual que harías con un chatbot independiente.

Si estás comparando herramientas, nuestra guía sobre cómo elegir un asistente de redacción con IA para una pequeña empresa (en inglés) incluye un plan de prueba de 5 días. Haz que «revisar los términos y ajustes de datos» forme parte del primer día, antes de que entre ningún dato real de clientes.

Preguntas frecuentes

¿ChatGPT se entrena con lo que escribo?

Depende de tu plan y de tu configuración. OpenAI publica compromisos de datos distintos para sus planes personales y para sus productos empresariales. Revisa la política de privacidad de OpenAI, su página de privacidad para empresas y los controles de datos de tu propia cuenta, y confirma tú mismo el estado actual en lugar de suponer un valor por defecto.

¿ChatGPT Plus es más seguro para datos de clientes que la versión gratuita?

No automáticamente. Plus es un plan personal de pago que se rige por los términos para consumidores. Las condiciones de datos de nivel empresarial, como un contrato de encargo del tratamiento (DPA) y los controles de administración, suelen estar ligadas a las ofertas empresariales de OpenAI. Revisa las páginas de planes vigentes antes de usar cualquier plan con datos de clientes.

¿ChatGPT cumple con el RGPD o con la ley de protección de datos de mi país?

Ninguna herramienta cumple por sí sola. El cumplimiento depende de cómo la uses: una base legal, un DPA con el proveedor, un aviso de privacidad que cubra ese uso, minimización de datos y garantías para las transferencias internacionales. Lo mismo aplica, con sus particularidades, a las leyes de México, Colombia, Argentina, Chile o Perú. Empieza por comprobar si hay un DPA disponible para tu plan.

¿Puedo usar ChatGPT con información de pacientes o de salud?

Trata la información de salud como dato rojo. En el marco del RGPD es una categoría especial de datos, y las leyes latinoamericanas la consideran dato sensible, con protección reforzada. Si trabajas con datos de salud en EE. UU., HIPAA exige un acuerdo de socio comercial (BAA), y OpenAI indica que solo lo ofrece para ciertos productos. Verifícalo en las páginas de OpenAI y pide asesoramiento de cumplimiento antes de usarlo.

¿El chat temporal hace seguro pegar datos de clientes?

Reduce parte de la exposición, por ejemplo porque el chat no queda en tu historial, pero el contenido puede conservarse durante un tiempo por motivos de seguridad. Revisa el Centro de ayuda de OpenAI para conocer los detalles actuales. No sustituye la minimización de datos ni unos términos empresariales adecuados.

¿Puedo subir a ChatGPT una hoja de cálculo con datos de clientes?

Solo después de eliminar o enmascarar las columnas identificativas, subir únicamente las columnas que necesita la tarea y confirmar que los términos de tu plan y tu aviso de privacidad lo permiten. Revisa con cuidado las columnas de texto libre, como las de notas, porque suelen contener datos personales.

¿Tengo que decirles a mis clientes que uso herramientas de IA con sus datos?

Si tratas los datos personales de tus clientes con un proveedor externo, la ley de privacidad suele exigir que tu aviso o política de privacidad lo recoja. Los contratos con clientes también pueden exigir su consentimiento antes de usar herramientas de IA. Pide asesoramiento según tu país.

¿Usar la API de OpenAI es más seguro que la app de ChatGPT?

La API se rige por términos empresariales con sus propios compromisos de datos, que OpenAI describe en las páginas de su plataforma. Aun así, necesitas un DPA, minimización de datos y un manejo seguro por tu parte, como proteger las claves de API. Revisa la política vigente de uso de datos de la API.

¿Qué hago si un empleado pegó datos de clientes en su cuenta personal de ChatGPT?

Anota qué se compartió, cuándo y en qué cuenta. Borra el chat y los enlaces compartidos, y revisa la memoria. Evalúa si es una violación de seguridad que debas notificar (con el RGPD, las notificables deben comunicarse a la autoridad en 72 horas cuando sea posible; en América Latina las reglas varían por país) y pide asesoramiento. Después, actualiza tu política para que los datos de clientes solo entren en cuentas empresariales aprobadas.