Subí documentos de clientes a ChatGPT: ¿he hecho algo ilegal?

Publicado el 9 de julio de 2026 · 25 United Capital

Que no cunda el pánico: subir un documento con datos personales a un asistente de IA no te convierte en delincuente, pero sí puede ser una infracción del RGPD si contenía datos de terceros y no controlabas dónde se procesan. Lo importante es lo que hagas AHORA: ajustar la configuración, cambiar el flujo de trabajo y decidir qué datos no vuelven a salir de tu control.

Primero, entiende qué ha pasado de verdad

Cuando pegas texto o subes un archivo a la versión gratuita (y en algunos casos de pago) de un asistente de IA de nube, ese contenido viaja a los servidores del proveedor. Según el servicio y tu configuración, puede usarse para entrenar sus modelos. Los expertos legales españoles llevan tiempo advirtiéndolo: introducir datos personales en estos asistentes "implica perder el control sobre ellos". Perder el control de datos de TERCEROS (tus clientes) es justo lo que el RGPD te obliga a evitar.

La buena noticia: la exposición real de un documento concreto suele ser baja. El problema no es tanto ese archivo de ayer como el HÁBITO de trabajar así con datos ajenos.

Qué hacer hoy (30 minutos, en este orden)

1. Corta el entrenamiento. En la configuración del asistente, busca los controles de datos y desactiva la opción de usar tus contenidos para mejorar el modelo. En algunos servicios puedes además borrar el historial de conversaciones.
2. Borra lo borrable. Elimina las conversaciones donde subiste información sensible. No deshace el pasado, pero reduce la superficie.
3. Clasifica en dos cajas. A partir de hoy: datos TUYOS (puedes decidir tú) y datos de TERCEROS (clientes, pacientes, alumnos, proveedores). Los segundos no entran en ninguna IA que no te garantice por contrato dónde se procesan y que no entrena con ellos.
4. Anonimiza cuando dudes. Muchas tareas (resumir, redactar, estructurar) funcionan igual si sustituyes nombres y cifras identificables antes de pegar el texto.
5. Decide tu camino para lo sensible. Versiones de empresa con no-entrenamiento contractual, o IA local: modelos que se ejecutan en tu propio ordenador y de los que nada sale. Existen, son gratuitos en su mayoría, y para trabajo documental rinden cada vez mejor.

¿Tengo que notificarlo a alguien?

El RGPD exige notificar las brechas de seguridad que supongan un riesgo para los derechos de las personas. Subir un documento a un proveedor serio de IA no es automáticamente una "brecha notificable" — pero si el contenido era especialmente sensible (salud, datos financieros completos, menores), consulta a un profesional de protección de datos con el caso concreto. Diez minutos de consulta valen más que meses de duda.

La regla que te deja dormir tranquilo

Trata a cada IA como a un proveedor externo: antes de darle datos de tus clientes, exígele lo mismo que a una gestoría — saber dónde los guarda, qué hace con ellos y cómo se borran. Si un proveedor humano no te respondiera a eso, no le darías ni una carpeta. Con la IA, el mismo criterio.

Preguntas frecuentes

¿Me pueden multar por haber subido un documento a ChatGPT? Las sanciones del RGPD se dirigen a incumplimientos en el tratamiento de datos, y valoran gravedad, alcance y diligencia. Un incidente puntual, corregido y con hábitos cambiados, no es el escenario de multa típico. La reincidencia despreocupada con datos de terceros, sí puede serlo.

¿La versión de pago lo soluciona? Las versiones de empresa de los grandes proveedores excluyen por contrato el entrenamiento con tus datos — eso resuelve una parte. Dónde se procesan y bajo qué jurisdicción sigue siendo tu responsabilidad conocerlo.

¿Qué es eso de la "IA local" y por qué me la recomiendan para esto? Modelos de IA que funcionan íntegramente en tu ordenador, sin nube: lo que les das no sale de tu máquina. Para datos de terceros es la vía más simple de cumplir con "sé dónde viven mis datos": viven en tu casa.

¿Y si ya lo hice muchas veces? Empieza hoy con los 5 pasos de arriba. La ley valora la diligencia desde que conoces el riesgo — y tus clientes, la honestidad con la que trabajas desde ahora.

25 United Capital construye en público una empresa dirigida por una persona no técnica y operada por IA bajo reglas escritas — la primera: los datos sensibles viven en la máquina de su dueño. Lo que contamos aquí lo aplicamos primero.