¿Es ChatGPT compatible con el RGPD para empresas?
Depende del plan y de cómo lo configures. Qué cambia entre la versión gratuita, Plus, Business y Enterprise, y qué tienes que revisar antes de usarlo con datos de clientes.
Respuesta corta: ChatGPT no es compatible o incompatible con el RGPD por sí mismo. Depende del plan que use tu equipo, de cómo esté configurado y de qué datos metas. Una empleada que resume el contrato de un cliente con su cuenta gratuita personal no es el mismo caso que una empresa con ChatGPT Enterprise, contrato firmado y una norma clara.
Aquí tienes los planes ordenados, lo que tienes que revisar y dónde encaja Verselo, también dónde no.
¿Por qué no hay un sí o un no?
El RGPD no tiene una lista de programas permitidos. Lo que exige es que tú, como responsable del tratamiento, puedas demostrar que cada tratamiento de datos personales cumple los principios. Lo dicen el artículo 5.2 y el artículo 24 del RGPD. La IA es una herramienta más, y si una herramienta encaja depende de para qué la uses.
Las autoridades europeas de protección de datos crearon un grupo de trabajo específico sobre ChatGPT dentro del Comité Europeo de Protección de Datos. Su informe de mayo de 2024 deja claro, entre otras cosas, que la imposibilidad técnica no sirve como excusa para no cumplir el RGPD, y que las respuestas de la IA sobre personas pueden ser inexactas. Si usas ChatGPT en tu empresa, ese problema también es tuyo.
La AEPD va en la misma línea en su resumen de obligaciones y recomendaciones para la IA generativa de enero de 2026, pensado para su propia organización: los casos de uso con información personal, sensible o confidencial deben ir preferentemente en sistemas internos o en sistemas que garanticen el control de la organización.
¿Qué cambia entre los planes de ChatGPT?
Aquí está la diferencia de verdad. OpenAI separa mucho los planes personales de los de empresa. Situación a octubre de 2026, según OpenAI:
| Plan | ¿Entrena con tus datos? | Contrato de encargo | Almacenamiento en Europa |
|---|---|---|---|
| Free, Plus, Pro | sí, salvo que el usuario lo desactive | no | no |
| Business (antes Team) | no, por defecto | sí | en espacios nuevos |
| Enterprise, Edu | no, por defecto | sí | a elegir en espacios nuevos |
| API | no, por defecto | sí | con proyectos europeos |
Fuentes: OpenAI sobre datos de empresa, OpenAI sobre residencia de datos en Europa y, para el plan Business, la noticia de Netzwoche del 7 de septiembre de 2026. Compruébalo con el proveedor antes de decidir, porque estos datos cambian.
Dos detalles que no salen en la tabla. Primero, la residencia en Europa se refiere a los datos guardados. Dónde se procesa la petición en el momento de responder es otra pregunta, y conviene tenerla por escrito. Segundo, el mejor plan de empresa no sirve de nada si medio equipo sigue usando su cuenta personal en paralelo.
¿Qué tienes que revisar antes de usarlo?
Siete puntos que cualquier empresa a partir de cinco personas debería tener resueltos:
- El plan. Usar cuentas personales para trabajar es el error más común. La herramienta tiene que ser de la empresa, con cuentas de la empresa.
- El contrato de encargo del tratamiento. Si un proveedor trata datos personales por cuenta tuya, el artículo 28.3 del RGPD exige un contrato. Sin contrato, nada de datos de clientes.
- El entrenamiento. Aclara si lo que escribe tu equipo y lo que devuelve la IA se usa para entrenar modelos. Lo preferible es que no.
- Dónde están los datos. Dónde se guardan, dónde se procesan y con qué base salen de la UE si salen. Las transferencias internacionales se rigen por el capítulo V del RGPD.
- La evaluación de impacto. El artículo 35 del RGPD la exige cuando el tratamiento implica un riesgo alto. Con IA y datos personales, es probable que te toque.
- Una norma interna. Por escrito y con ejemplos: qué puede entrar y qué no. Si hay representación de los trabajadores, cuenta con ella desde el principio.
- Formación. Desde febrero de 2025, el Reglamento de IA exige medidas de alfabetización en IA. Lo explicamos en el artículo sobre alfabetización en IA y el artículo 4.
Si hoy no sabes qué cuentas usa tu equipo, empieza por ahí. El artículo sobre la IA en la sombra en la empresa explica cómo averiguarlo sin montar una caza de brujas.
¿Qué datos no deberían entrar nunca en una cuenta personal?
Datos personales de clientes, como nombres con DNI o cuentas bancarias. Contratos y documentos internos con condiciones confidenciales. Datos de empleados: nóminas, bajas médicas, currículums. Y todo lo que esté bajo secreto profesional.
No es por fastidiar. Con una cuenta personal, OpenAI no es tu encargado del tratamiento para esos datos, y tú no controlas lo que pasa después. Si tu equipo necesita la IA justo para ese trabajo, y casi todos la necesitan, necesita una herramienta con contrato y control.
¿Dónde encaja Verselo?
Verselo es un espacio de trabajo con IA para pymes. Tu equipo chatea con modelos de Anthropic (Claude) y OpenAI, pregunta a los documentos de la empresa y recibe respuestas con la fuente. En protección de datos, esto es lo que hay:
- Las peticiones a la IA se procesan en centros de datos de la UE: AWS Bedrock en Fráncfort y Microsoft Azure en regiones europeas. La base de datos y los archivos están en Supabase en Fráncfort, y los servidores en Hetzner, en Alemania.
- Los datos de clientes no entrenan ningún modelo. Los proveedores de modelos están obligados a no conservar nada.
- El administrador ve quién usa la IA y cuánto cuesta, decide qué modelos se permiten y cuánto tiempo se guardan los chats, y quita un acceso con un clic. Un registro de auditoría guarda doce meses de actividad.
- El contrato de encargo del tratamiento llega con el lanzamiento.
Una excepción, mejor contada por nosotros que encontrada en la letra pequeña: si alguien usa la búsqueda web, los términos de búsqueda van a Google. Archivos, chats y conocimiento de la empresa se quedan donde están. Si no lo quieres, el administrador desactiva la búsqueda web.
Y lo que Verselo no hace: cumplir por ti. También con Verselo necesitas una norma interna, un equipo formado y, según el uso, una evaluación de impacto. Verselo te pone fáciles las preguntas técnicas de la lista. Las organizativas siguen siendo tuyas.
Hasta el lanzamiento te enseñamos la plataforma en una llamada.
¿Cuál es el siguiente paso con sentido?
Si tu equipo ya usa ChatGPT, y en la mayoría de empresas es así, tienes dos caminos limpios. O pasas a todos a un plan de empresa de OpenAI, firmas el contrato y escribes la norma. O eliges un espacio de trabajo pensado para empresas en la UE. Las dos opciones son mejores que la situación en la que cada uno tiene su cuenta y nadie sabe qué acaba dónde.
Preguntas frecuentes
¿Puede mi equipo usar ChatGPT con datos de clientes?
Con una cuenta personal gratuita o Plus, no sin más. Ahí no hay contrato de encargo del tratamiento según el artículo 28 del RGPD, y lo que escribes puede usarse para entrenar el modelo si nadie lo desactiva. Con un plan de empresa como ChatGPT Business o Enterprise, el contrato firmado y una norma interna sobre qué datos pueden entrar, sí es posible. La responsabilidad sigue siendo de tu empresa.
¿Basta con desactivar el entrenamiento en los ajustes?
No. Desactivarlo evita que tus mensajes mejoren el modelo, pero no sustituye al contrato de encargo del tratamiento, no decide dónde se guardan los datos y no te dice quién mete qué en la herramienta. Además, en una cuenta personal ese ajuste lo controla cada empleado, no tú.
¿Existe una certificación RGPD para ChatGPT?
No, y no existe para ninguna herramienta de IA en bloque. El RGPD no evalúa productos sino tratamientos. Lo que cumple o no es tu uso concreto: qué plan, qué contratos, qué datos y qué normas internas. Un proveedor te lo puede poner más fácil o más difícil, pero no puede cumplir por ti.
¿En qué se diferencia Verselo de ChatGPT en protección de datos?
Verselo procesa las peticiones a la IA en centros de datos de la UE, con AWS en Fráncfort y Microsoft Azure en regiones europeas, y guarda los archivos en Supabase en Fráncfort. Los datos de clientes no entrenan ningún modelo. Verselo dice abiertamente la excepción: con la búsqueda web, los términos de búsqueda van a Google, y el administrador puede desactivarla. El contrato de encargo llega con el lanzamiento.