Riesgos de Seguridad y Privacidad en ChatGPT para Empresas 2026

La inteligencia artificial ha dejado de ser una novedad, para convertirse en una herramienta estructural en las empresas. Sin embargo, nuestra responsabilidad como expertos legales es mirar más allá de la eficiencia operativa y analizar la «letra pequeña» que rige herramientas como ChatGPT.

Basándonos en las Condiciones de Uso y Políticas de Privacidad actualizadas de ChatGPT y vigentes a enero 2026, hemos identificado 5 áreas críticas de riesgo legal que todo departamento de compliance y dirección jurídica debe auditar antes de desplegar estas soluciones:

1. El riesgo de confidencialidad y el «entrenamiento» del modelo.
2. Propiedad intelectual: ¿De quién es el resultado?
3. Responsabilidad civil y la cláusula «AS IS».
4. Soberanía de datos y GDPR.
5. Decisiones automatizadas y perfilado.

El riesgo de confidencialidad y el «entrenamiento» del modelo de ChatGPT

El error más común en las empresas es permitir que los empleados utilicen cuentas personales o gratuitas de ChatGPT para tareas corporativas en las que se gestionan datos confidenciales. Esta práctica, conocida como Shadow AI, crea una peligrosa brecha de gobernanza: mientras la organización cree estar protegiendo sus activos correctamente, los empleados están aceptando individualmente unas condiciones de uso diseñadas para consumidores, donde la renuncia a la privacidad es la contraprestación por la gratuidad del servicio, dejando a la empresa sin capacidad legal para auditar o reclamar la soberanía de esa información:

1. El riesgo: en las versiones estándar (consumidor) de ChatGPT, OpenAI puede utilizar el contenido de los chats para entrenar sus modelos. Esto implica que secretos comerciales, datos de clientes o estrategias legales introducidos en el chat podrían teóricamente integrarse en el conocimiento futuro de la IA.
2. Mitigación empresarial: las versiones ChatGPT Enterprise y ChatGPT Business tienen una política estricta de «no entrenamiento» por defecto. OpenAI establece explícitamente que no utiliza los datos de entrada ni de salida de estos planes para mejorar sus modelos.
3. Consejo legal: es imperativo establecer una política interna que prohíba el uso de cuentas personales de ChatGPT para asuntos confidenciales y forzar la transición a entornos corporativos en los que la propiedad de los datos esté garantizada contractualmente. El riesgo de Shadow AI de ChatGPT se vincula con el incumplimiento del deber de documentación, establecido en el artículo 30 del RGPD: si los empleados utilizan cuentas personales, la empresa pierde la trazabilidad de los tratamientos y no puede cumplir con su obligación de mantener un Registro de Actividades de Tratamiento (RAT) completo y actualizado.

Propiedad intelectual. ¿De quién es el resultado?

Desde una perspectiva de propiedad intelectual, la asignación de derechos de ChatGPT es favorable al cliente, pero jurídicamente incompleta si no se interpreta junto con las limitaciones técnicas del modelo: no garantiza la originalidad ni la exclusividad del activo, lo que plantea un desafío sustancial para la defensa de derechos frente a terceros:

1. Asignación de derechos: OpenAI cede expresamente al usuario todo derecho, título e interés sobre el output (la respuesta generada) de ChatGPT. Contractualmente, esto elimina a OpenAI de la ecuación de propiedad, permitiendo a la empresa explotar comercialmente los resultados sin reclamaciones por parte del proveedor.
2. Cláusula de similitud: aquí radica el riesgo de comoditización del activo. Las condiciones de ChatGPT estipulan claramente que, dada la naturaleza de la IA, el resultado «puede no ser único«. Debido a que los modelos generan respuestas basándose en probabilidades estadísticas, es técnicamente posible e incluso probable que otros usuarios reciban respuestas idénticas o sustancialmente similares a las suyas.
3. Implicación: si tu empresa utiliza ChatGPT para generar código de software o redacción jurídica, se enfrenta a una dilución de la propiedad intelectual. La cesión de derechos de OpenAI no se extiende a los resultados de otros usuarios, lo que significa que no tiene garantía de exclusividad. Un competidor podría obtener legítimamente el mismo código o texto utilizando un prompt similar, haciendo que la protección del producto final con copyright o patentes sea muy difícil de defender en un litigio.

Responsabilidad civil y la cláusula «AS IS»

Para una consultora legal como 7Experts, las cláusulas de limitación de responsabilidad son críticas. ChatGPT blinda sus servicios con descargos de responsabilidad contundentes que establecen un desequilibrio contractual deliberado: el proveedor retiene la propiedad intelectual del servicio, pero transfiere la totalidad del riesgo operativo y legal al cliente. Jurídicamente, esto anula la presunción de idoneidad del producto, dejando a la empresa sin recurso legal para reclamar daños consecuentes o lucro cesante provocados por un error de la IA:

1. Ausencia de garantías: el servicio se ofrece tal cual (AS IS). OpenAI renuncia explícitamente a cualquier garantía implícita de comerciabilidad, idoneidad para un fin determinado o no infracción. Contractualmente, no garantizan que el servicio sea ininterrumpido, preciso o libre de errores, ni que el contenido esté seguro o no sufra pérdidas.
2. Prohibición de confianza ciega: las condiciones prohíben expresamente confiar en el output como única fuente de verdad o información fáctica, o como sustituto de asesoramiento profesional. El usuario acepta que cualquier uso de los resultados corre bajo su exclusivo riesgo.
3. Riesgo de alucinaciones: se advierte que, dada la naturaleza probabilística del aprendizaje automático, la IA puede generar hechos incorrectos o que no reflejan la realidad sobre personas, lugares o hechos. La empresa asume la obligación de evaluar la exactitud del resultado antes de usarlo.
4. Indemnización: si es una empresa, acepta indemnizar y eximir de responsabilidad a OpenAI (incluyendo honorarios de abogados) frente a reclamaciones de terceros derivadas de su uso de los servicios o de su contenido. Esto transfiere la carga del riesgo legal casi totalmente al usuario empresarial, quien respondería, por ejemplo, ante una demanda por infracción de copyright generada por el uso de la herramienta.

Soberanía de datos y GDPR

Para las empresas que operan en Europa o manejan datos sensibles, la localización de los datos es un requisito de cumplimiento ineludible. El despliegue de IA en la nube plantea un desafío crítico en materia de transferencias internacionales de datos: procesar información de ciudadanos europeos en servidores globales, sin las garantías adecuadas, puede constituir una infracción grave del RGPD. Por tanto, la capacidad técnica de segregar geográficamente el almacenamiento es la única vía para garantizar la soberanía digital sin frenar la innovación operativa:

1. Residencia de datos: los clientes de planes ChatGPT Enterprise, Edu y la plataforma API pueden seleccionar explícitamente la región geográfica donde se almacenan sus datos en reposo (incluyendo Europa, EEUU, Japón, entre otros). Esto permite alinear la infraestructura tecnológica con los requisitos locales de soberanía de datos, evitando que la información sensible salga de la jurisdicción elegida.
2. Tratamiento de datos (DPA): ChatGPT permite la firma de un Data Processing Addendum (DPA). Es importante destacar que, dependiendo del caso de uso concreto, OpenAI puede actuar como encargado del tratamiento o como responsable conjunto (joint controller). La calificación jurídica depende de quién determine los fines y medios del tratamiento en cada caso específico. Este contrato es un mecanismo necesario, aunque no suficiente por sí solo, para validar el cumplimiento con el RGPD (Europa) y el CPRA (California), asegurando que existen garantías legales vinculantes para el procesamiento de la información corporativa.
3. Riesgo de terceros: el riesgo se dispara si los empleados utilizan GPTs, conectores o aplicaciones de terceros dentro de la interfaz de ChatGPT. Legalmente, esto genera una fuga de cumplimiento: la información compartida con estos terceros sale del control de OpenAI y pasa a regirse exclusivamente por las políticas de esos desarrolladores externos. OpenAI se exime de responsabilidad sobre estos servicios, lo que significa que los datos pueden estar fluyendo hacia servidores no auditados fuera del paraguas de seguridad de la empresa.
4. Transferencias internacionales de datos: la mera selección de una región de almacenamiento no garantiza que no haya transferencias internacionales durante el procesamiento. Las empresas deben verificar que existen mecanismos válidos de transferencia como las Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea. Conforme a la doctrina Schrems II, es obligatorio realizar una Transfer Impact Assessment (TIA) antes de transferir datos a países sin decisión de adecuación. Esta evaluación debe documentar si el país de destino ofrece un nivel de protección “esencialmente equivalente” al europeo.

Decisiones Automatizadas y Perfilado

El uso de la IA para la toma de decisiones que afecten a personas físicas está estrictamente regulado y limitado por OpenAI. Desde la óptica del cumplimiento normativo, esto supone una barrera crítica para la automatización total: las condiciones de uso clasifican al sistema como una herramienta probabilística, no determinista. Por tanto, delegar en el algoritmo la «última palabra» sobre derechos fundamentales o intereses económicos de un individuo constituye un incumplimiento material del contrato, eliminando cualquier cobertura de responsabilidad y dejando a la empresa expuesta ante reclamaciones por discriminación o sesgo algorítmico.

Aquí es importante distinguir entre (1) decisiones únicamente automatizadas con efectos jurídicos o significativos, que están prohibidas por el artículo 22.1 RGPD salvo excepciones tasadas (como son por consentimiento explícito, necesidad contractual u obligación legal); y (2) decisiones con apoyo de IA y supervisión humana cualificada y efectiva, que sí están permitidas.

Otros aspectos a tener en cuenta:

1. Restricción de uso: está prohibido contractualmente utilizar el output para tomar decisiones que tengan un impacto legal o material en una persona sin revisión humana cualificada. Incluyendo ámbitos de alto riesgo como la concesión de créditos, contratación educativa o laboral, vivienda, seguros, y diagnósticos médicos o legales.
2. Implicación legal: automatizar procesos de RRHH o scoring legal con esta ChatGPT sin supervisión humana viola los términos de uso. Al aceptar las condiciones, la empresa reconoce que la IA puede generar resultados inexactos y asume la responsabilidad única de evaluar la exactitud del resultado antes de aplicarlo a una persona real.
3. Derechos del interesado (Art. 22.3 RGPD): independientemente de las condiciones de OpenAI, cuando se adopten decisiones automatizadas, el responsable debe implementar medidas adecuadas para salvaguardar los derechos del interesado, incluyendo como mínimo: el derecho a obtener intervención humana del responsable, el derecho a expresar su punto de vista, y el derecho a impugnar la decisión.
4. Obligación de transparencia (Arts. 13-14 RGPD): cuando se utilice IA para procesar datos personales, los interesados deben ser informados de: la existencia de decisiones automatizadas (incluida la elaboración de perfiles), información significativa sobre la lógica aplicada, y la importancia y consecuencias previstas de dicho tratamiento. Esta obligación de transparencia es independiente del tipo de plan contratado con OpenAI.
5. Obligación de realizar EIPD (Art. 35 RGPD) el artículo 35 del RGPD establece la obligación de realizar una Evaluación de Impacto en Protección de Datos (EIPD) cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de ChatGPT requerirá EIPD obligatoria cuando implique:
   
   1. Evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado (perfilado).
      
   2. Tratamiento a gran escala de categorías especiales de datos.
      
   3. Uso de nuevas tecnologías que por su naturaleza, alcance, contexto o fines entrañen un alto riesgo.
      
      La EIPD debe incluir: descripción sistemática de las operaciones de tratamiento previstas, evaluación de la necesidad y proporcionalidad, evaluación de los riesgos para los derechos y libertades de los interesados, y medidas previstas para afrontar los riesgos.
      
6. Interacción con el Reglamento de Inteligencia Artificial (AI Act): el Reglamento Europeo 2024/1689 de Inteligencia Artificial (AI Act) ya está parcialmente en vigor y establece obligaciones adicionales que deben considerarse conjuntamente con el RGPD. El AI Act clasifica los sistemas de IA según su nivel de riesgo. Los usos de ChatGPT para decisiones en empleo, crédito, educación o servicios esenciales pueden clasificarse como sistemas de “alto riesgo”, lo que activa obligaciones específicas de gestión de calidad, documentación técnica y supervisión humana. El AI Act refuerza las obligaciones de transparencia del RGPD, exigiendo que los usuarios sean informados cuando interactúan con un sistema de IA y cuando se genera contenido sintético.

Conclusión

OpenAI ofrece en ChatGPT herramientas robustas con certificaciones de seguridad de alto nivel como SOC 2 Tipo 2 y cifrado AES-256. Sin embargo, la seguridad técnica no equivale a inmunidad legal. Para las empresas, el riesgo no reside tanto en la tecnología, sino en la gobernanza.

Como asesores legales, en 7Experts recomendamos no solo la contratación de las licencias adecuadas (Enterprise/Business), sino la implementación de protocolos de uso que consideren la identificación previa de bases jurídicas para cada tratamiento, la falta de exclusividad del contenido generado, las garantías necesarias para transferencias internacionales, y la obligación de supervisión humana en decisiones críticas, así como la realización de EIPD cuando sea obligatorio.

Contáctanos para más información. En 7Experts te ayudaremos a realizar una auditoría de protección de datos, una Evaluación de Impacto en Protección de Datos (EIPD) o la implementación de la ISO 27001 para una mayor garantía de control y seguridad de los datos de la empresa.