Sí, hay que cumplir la ley de IA al usar ChatGPT en el trabajo, también en tu empresa, y lo mismo vale para Claude, Copilot o Gemini. Pero si lo que se hace con él es redactar, resumir y contestar correos, lo que te pide es poco y se hace en un mes. Te cuento qué te pide, qué no, cuándo sube el listón y el riesgo que de verdad importa: los datos de tus clientes pegados en cuentas personales.
¿Hay que cumplir la ley de IA al usar ChatGPT para trabajar? Por qué sí
Imagina que diriges una empresa de doce personas. No has comprado ninguna IA, no has instalado nada y nadie te ha pedido permiso. Pero un martes, alguien de administración abrió ChatGPT para contestar a un proveedor. Desde ese momento, tu empresa está dentro de la ley de IA. Te explico por qué.
La ley de la que todo el mundo habla es el Reglamento europeo de IA, que en las noticias sale como AI Act. Es la principal de las cuatro normas de la normativa de IA para empresas. No regula solo a quien fabrica la inteligencia artificial. También a quien la usa en su trabajo, y a ese papel lo llama «responsable del despliegue». Ese papel, en tu empresa, eres tú.
Piensa en la furgoneta de reparto. Al fabricante le toca que los frenos funcionen. A ti te toca que quien la conduce tenga carné. Con ChatGPT pasa igual: OpenAI responde del modelo, y tú, de cómo lo usa tu gente.
¿Y si lo usa una sola persona, de vez en cuando? También cuenta. No hay umbral de tamaño ni de frecuencia. Lo único que queda fuera es el uso personal: la receta del domingo, no el correo del lunes al cliente.
Tampoco importa quién pague la cuenta. Si esa persona de administración usa su ChatGPT gratuito, el de su móvil, tu empresa está dentro igual, aunque tú no lo hayas decidido. Es lo que se conoce como shadow AI en la empresa, y pasa en casi todas. Seguramente también en la tuya.
Lo que te pide si solo redactas, resumes y contestas correos
Si el uso es el más común (correos, resúmenes, borradores, actas), el Reglamento de IA te pide una cosa. Y hay una segunda que no es de esta ley, pero te llega en el mismo paquete.
Formar a quien lo usa. Lo dice el artículo 4 y se aplica desde el 2 de febrero de 2025. Tienes que tomar medidas para que quien usa ChatGPT en tu empresa sepa lo que necesita para su trabajo: que se inventa datos con la misma seguridad con la que acierta, qué puede pegar y qué no, y que lo que sale se revisa antes de enviarlo.
El Ómnibus digital (el Reglamento que retocó el de IA este verano) suavizó la redacción de este artículo, que ahora dice que no se exige un nivel concreto por persona. Pero la obligación sigue en pie. Qué cuenta como formación y qué no, en el artículo 4 del Reglamento de IA.
Cuidar los datos personales. Esto es del RGPD, la ley de protección de datos que ya conoces por los avisos de privacidad. Cada vez que alguien de tu equipo pega en ChatGPT el nombre de un cliente, un DNI o una nómina, está pasando datos personales a otra empresa. Y eso solo lo puedes hacer con un contrato que lo cubra.
Lo vemos más abajo con calma, porque es donde está el riesgo de verdad. La lista completa, con lo que te toca si además tienes chatbot o publicas contenido, en obligaciones de IA para pymes.
Lo que no te pide, aunque te lo digan
Seguro que te ha llegado algún correo que convierte el AI Act en una urgencia. Es normal que asuste, porque la norma es larga y está escrita para juristas. Pero si en tu empresa se usa ChatGPT para redactar, esto no te lo pide nadie:
- Registrarte en ningún sitio. La base de datos europea es para quien fabrica sistemas de alto riesgo y para algunos usos públicos.
- Avisar en cada correo de que lo ha escrito una IA. Un correo, una propuesta o un acta no llevan aviso.
- Un sello o título que acredite que cumples. No existe para quien usa IA. Lo que te sirve es la constancia de que formaste a tu gente.
- Nombrar un responsable de IA. Alguien tiene que ocuparse, pero la ley no crea un cargo obligatorio.
- Cumplir lo del «alto riesgo». Redactar no lo es, y enseguida ves qué sí.
Cuándo sube el listón: el reglamento de IA y ChatGPT, uso por uso
ChatGPT no es de alto ni de bajo riesgo por sí mismo. Lo que cuenta es para qué lo usas. Por eso la misma herramienta puede no pedirte casi nada o pedirte bastante. Busca en esta tabla lo que se hace en tu empresa:
| Qué haces con ChatGPT (o Claude, o Copilot) | ¿Cambia algo? | Qué te toca |
|---|---|---|
| Redactar correos, propuestas, actas; resumir documentos | No | Formar y cuidar los datos. Nada más. |
| Un chatbot que contesta a tus clientes en la web o por WhatsApp | Sí, desde el 2 de agosto de 2026 | Que quede claro que es una IA. Detalle en chatbot con IA en tu web. |
| Publicar imágenes o vídeos realistas hechos con IA | Sí, desde el 2 de agosto de 2026 | Etiquetarlos como generados con IA |
| Publicar textos sobre asuntos de interés público sin que nadie los revise | Sí, desde el 2 de agosto de 2026 | Indicar que son de IA, o revisarlos y firmarlos |
| Filtrar currículos, evaluar a tu plantilla, decidir un crédito | Sí: es alto riesgo | Supervisión humana, informar y guardar registros, desde el 2 de diciembre de 2027 |
| Leer las emociones de tu plantilla | Prohibido desde febrero de 2025 | No hacerlo |
La regla general es sencilla. Mientras la IA te ayude a escribir y una persona decida y firme, estás en la primera fila. El listón sube cuando la IA habla por ti con un cliente o decide sobre una persona. ¿Ves por dónde va? No es qué herramienta usas, es qué le dejas hacer.
El riesgo real: datos de clientes en cuentas personales
Si hay algo de este artículo que merece la pena que cuentes en tu próxima reunión, es esto. Y no viene del AI Act, sino de la protección de datos. ¿Por qué es lo más importante? Ponte en esta situación, que es de lo más normal.
Son las once de la noche. Alguien de tu equipo quiere dejar listos los correos de impago antes de mañana. Pega el listado en su ChatGPT gratuito, con nombres, importes y teléfonos, y en cinco minutos tiene los borradores. Al día siguiente te lo cuenta contento: le ha ahorrado una hora. Y acaba de sacar datos de tus clientes de la empresa sin ningún contrato que lo cubra.
Aquí te saldrá la misma objeción que a todo el mundo: «pero he desactivado que entrenen con mis conversaciones». Es buena idea, y no arregla el problema. Esa cuenta es de la persona, no de tu empresa, así que entre tu empresa y OpenAI no hay contrato de encargado (el documento que firma el proveedor cuando trata datos por ti).
Tienes dos caminos. El primero, una cuenta de empresa: ChatGPT Business o Enterprise, Claude Team o Enterprise, o Copilot con la cuenta del trabajo. Llevan ese contrato y no usan tus conversaciones para entrenar por defecto. El segundo, quitar los datos antes de pegar: «[CLIENTE] debe [IMPORTE] desde [FECHA]» funciona igual de bien.
La guía oficial es la de la AEPD sobre RGPD e IA. La versión práctica, en RGPD e inteligencia artificial, y qué puedes pegar y qué no, en datos confidenciales e IA en la empresa.
¿Y da igual ChatGPT que Claude? Para la ley, sí: las obligaciones son las mismas con cualquier herramienta. Lo que cambia es el plan que contrates, no la marca. Nosotros trabajamos con Claude y enseñamos Claude (te lo decimos para que lo tengas en cuenta al leernos), pero aquí la respuesta honesta es esa. Si te decantas por Claude, te ayudamos con qué plan de Claude necesitas.
La ley de IA no te castiga por usar ChatGPT. Te pide saber quién lo usa, con qué cuenta y con qué datos, y eso se arregla con una lista y una tarde, no con un proyecto.
Qué hacer esta semana
Cuatro pasos, en este orden. El primero es el que más cuesta, porque te obliga a preguntar sin que nadie se sienta señalado:
- Pregunta quién usa IA, cuál y con qué cuenta. Casi siempre salen más cuentas personales de las que esperabas.
- Elige una herramienta y contrata su plan de empresa. Una para todos, para que las reglas sean las mismas.
- Escribe dos folios de reglas: qué se pega, qué no, quién revisa. Tienes una plantilla de política de uso de IA.
- Forma por puesto y guarda constancia de quién se formó, en qué y cuándo. Una hoja de cálculo te basta.
Lo que hacemos
Nosotros nos ocupamos del cuarto paso. Formamos a equipos de pymes en Claude, puesto a puesto, con ejercicios sobre sus propios documentos y con lo que se puede pegar y lo que no como parte del método. Cada persona sale con su certificado (nombre, contenido y fecha) y tú, con el registro. Cuéntanos cuántas personas hay en tu equipo en la página de empresas.
Si eres una persona del equipo y quieres empezar por tu cuenta, Claude para principiantes es el primer paso. La autoridad que vigila en España es la AESIA. Esto es orientación práctica, no asesoramiento legal; para tu caso concreto, consúltalo con quien te lleve lo legal.
Preguntas frecuentes
¿Tengo que avisar a mis clientes si uso ChatGPT para redactar?
No en correos, propuestas, actas ni documentos que revisa y envía una persona. El aviso es obligatorio desde el 2 de agosto de 2026 si un cliente habla con un chatbot, si publicas imágenes o vídeos realistas hechos con IA, o si publicas textos de interés público que nadie ha revisado.
¿ChatGPT es una IA de alto riesgo?
La herramienta no; lo que cuenta es el uso. Redactar o resumir no es alto riesgo. Usarla para decidir sobre personas, como filtrar currículos o evaluar a tu plantilla, sí lo es, y esas obligaciones se aplican desde el 2 de diciembre de 2027.
¿Necesito registrarme para usar ChatGPT en mi empresa?
No. El registro en la base de datos europea es para quien fabrica sistemas de alto riesgo y para algunos usos del sector público. Una empresa que usa ChatGPT para trabajar no se registra en ningún sitio.
¿Qué datos se pueden meter en ChatGPT?
Datos personales de clientes o empleados, solo con una cuenta de empresa que tenga contrato de encargado con el proveedor. Con una cuenta personal, ninguno: se anonimiza antes de pegar, cambiando nombres, DNI e importes por marcadores.
¿Qué pasa si mis empleados usan ChatGPT con su cuenta personal?
Tu empresa sigue estando dentro del Reglamento de IA, y los datos que peguen salen sin contrato, aunque hayan desactivado el entrenamiento. La solución es una cuenta de empresa, unas reglas escritas y formación; prohibirlo solo hace que se use a escondidas.