El mito del LOPD · sí se puede usar IA con datos de cliente

La normativa vigente en protección de datos es el Reglamento UE 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Se sigue llamando coloquialmente LOPD, pero la base europea es el RGPD. Esto importa porque las guías de la AEPD y de la APDCAT sobre IA se publican bajo este marco, no bajo la antigua LOPD de 1999 que algunas asesorías y despachos todavía mencionan por inercia. Hablar de LOPD a secas en 2026 es síntoma de manuales internos no actualizados: la conversación seria con cualquier proveedor o cliente sobre protección de datos se hace en lenguaje RGPD. Este artículo usa LOPD entre comillas porque sigue siendo la palabra que más se oye en las objeciones, pero la base normativa que se aplica realmente es la europea.

En la primera reunión con una asesoría, un despacho o una clínica, la frase aparece casi siempre: "con la LOPD no podemos usar IA con los datos de cliente". Es una objeción legítima, pero parte de una premisa errónea. El RGPD no contiene ningún artículo que prohíba el uso de IA con datos personales. Lo que contiene son obligaciones generales (base legal, minimización, seguridad, transparencia) que se aplican igual a la IA que a cualquier otro tratamiento. La pregunta correcta no es si está permitido, sino bajo qué condiciones operativas se cumple cada uno de esos principios. Y la respuesta práctica cabe en una página: cuentas corporativas, DPA firmado, política interna escrita y formación documentada del equipo.

No existe una prohibición general. Lo que el RGPD exige es una base legal de tratamiento, transparencia hacia el interesado, minimización de datos, seguridad técnica y organizativa adecuada y, cuando hay un encargado del tratamiento, un contrato Art. 28. La IA generativa entra dentro de este marco como cualquier otro servicio cloud que procese datos personales: igual que una empresa puede usar Gmail Workspace o Microsoft 365 con datos de cliente bajo determinadas condiciones, puede usar ChatGPT o Claude bajo condiciones análogas. La diferencia entre cumplimiento y riesgo no está en la herramienta: está en el contrato y en cómo se usa.

ChatGPT Free, Claude Free, Gemini gratuito y similares pueden utilizar las entradas para mejorar sus modelos, según las condiciones de servicio de cada proveedor en cada momento. Pegar ahí un correo con nombre, NIF, datos médicos o historia clínica es incompatible con el deber de confidencialidad sectorial y con el principio de minimización del RGPD. No es la IA: es la versión gratuita. Esta distinción es la que rara vez se hace bien en titulares periodísticos: cuando un medio publica que tal asesoría fue sancionada por usar IA, casi siempre el detalle es que el problema era el uso de una cuenta personal gratuita, no la IA como tecnología.

ChatGPT Team y Enterprise, Claude for Work y Gemini Workspace ofrecen retención cero, controles de administración, registros de actividad, gestión centralizada de usuarios y la posibilidad de firmar un Addendum de Tratamiento de Datos. Son la base mínima para uso profesional con datos de cliente. El coste orientativo está entre veinte y treinta euros por persona y mes, según proveedor y modalidad. Para una asesoría de seis personas, eso supone entre 1.500 y 2.200€ al año en cuentas, una cifra perfectamente asumible para una empresa que ya gasta tres o cuatro veces más en su software de gestión sectorial.

Cuando la PYME es responsable del tratamiento y la herramienta IA actúa como encargado, hace falta un contrato Art. 28 RGPD con obligaciones explícitas: finalidad y categorías de datos, instrucciones documentadas, deber de confidencialidad, autorización de subencargados, medidas técnicas de seguridad, asistencia al responsable, devolución o supresión al término del servicio y obligación de auditoría. Los proveedores corporativos lo ofrecen firmable digitalmente desde la consola administrativa: no hay que negociar texto, basta con aceptar y archivar el documento firmado. Ese documento es exactamente lo que una inspección RGPD o una queja de cliente puede pedir.

Asesorías (LGT Art. 95), despachos de abogados (LOPJ Art. 542.3) y clínicas (RGPD sanitario reforzado, deontología médica y Art. 9 RGPD para datos de salud) cargan obligaciones adicionales que viven encima del RGPD. La historia clínica nunca debe salir del sistema del centro, ni siquiera anonimizada por norma, salvo casos previstos en la propia LOPS y la normativa sanitaria autonómica. El secreto fiscal no admite que datos de cliente real circulen por sistemas que no hayan firmado las cláusulas pertinentes. La estrategia de IA respeta siempre el secreto encima del RGPD, no en sustitución. Más sobre esta arquitectura en capas en IA para asesorías, IA para despachos y IA para clínicas.

Aunque no se trata de un secreto profesional clásico, los administradores de fincas gestionan datos personales de propietarios e inquilinos bajo la LPH y, en Cataluña, el Libro V CCC. La sensibilidad legal está en convocatorias, actas, deudas en comunidad y comunicación con morosos. La adopción de IA pasa por las mismas cuatro capas: cuenta corporativa, DPA firmado, política interna y formación documentada. El detalle sectorial está en IA para administradores de fincas.

Tanto la Agencia Española de Protección de Datos (AEPD) como la Autoritat Catalana de Protecció de Dades (APDCAT) han publicado guías sobre IA y protección de datos. La línea común es clara: el RGPD se aplica como hasta ahora, las obligaciones del responsable y del encargado no cambian, y la IA generativa cuando trata datos personales debe cumplir el marco completo. Ninguna de las dos autoridades ha publicado una prohibición específica del uso de IA en sectores regulados; lo que sí han enfatizado es el deber de evaluación de impacto cuando aplique y la importancia de la transparencia hacia el interesado. La existencia de estas guías es relevante: dejan claro que el marco existe y es navegable.

Primero, auditar qué herramientas usa cada persona y bajo qué tipo de cuenta. En la mayoría de PYMEs que aún no han abordado esto, el resultado de la auditoría sorprende: hay uso informal de versiones gratuitas con datos sensibles que la dirección no había previsto. Segundo, contratar la versión corporativa adecuada para todo el equipo de manera centralizada, no caso por caso. Tercero, firmar el DPA Art. 28 con el proveedor y dejar política IA interna escrita y firmada. La plantilla Política de Uso de IA resume las seis reglas mínimas y sirve de base.

RGPD y Reglamento UE 2024/1689 conviven. El primero regula los datos personales; el segundo, la IA como tecnología. Una PYME que use IA con datos de cliente cumple los dos a la vez: cuentas corporativas y DPA para el RGPD, alfabetización del personal y política interna escrita para el Art. 4 del Reglamento UE de IA. Las dos capas están vivas desde febrero de 2025. Más detalle en el post sobre el Art. 4 y en la página dedicada al Art. 4. La calculadora de cumplimiento ayuda a estimar el grado de adecuación de la empresa hoy.

Durante un Octa, antes incluso de tocar herramientas, se firma el paquete legal: NDA, DPA Art. 28 RGPD entre OctIA y la empresa, política interna de uso de IA firmada por la dirección y Acta de Inicio. El Día 1 introduce el marco RGPD aplicado a IA en lenguaje claro, y el Día 2 trabaja persona a persona con cuentas corporativas ya configuradas, sobre archivos reales del equipo, con criterio de minimización aplicado en cada caso. El detalle está en el método. Para validar si encaja, la llamada de veinte minutos sirve como primera conversación sin compromiso.