Qué no debes contarle a la IA: datos de clientes, RGPD y la ley europea

No pegues en una IA nada que permita saber de quién hablas: nombres con teléfono, DNI, historiales de pacientes, cuentas bancarias, contraseñas ni contratos que te ha dado otra persona. Lo demás sí: la pregunta del cliente sin su nombre, el texto del cartel, la lista de pedidos sin datos personales. Antes de usarla, entra en los ajustes y desactiva que tus conversaciones sirvan para entrenar: en ChatGPT es «Mejorar el modelo para todos» y en Gemini es «Guardar actividad».

Es para ti si usas ChatGPT o Gemini en el negocio y no sabes qué puedes pegar. Al terminar tendrás los ajustes cambiados, una plantilla para quitar datos y claro qué te pide la ley europea de IA desde agosto de 2026. No es asesoramiento jurídico: es la lectura de las normas y de las páginas oficiales, consultadas en septiembre de 2026. Forma parte de la sección Inteligencia artificial para tu negocio.

Qué hacen con lo que escribes

La IA, o inteligencia artificial, es como un ayudante nuevo que escribe deprisa y ha leído de todo, pero que no conoce tu tienda y que, si no sabe algo, se lo inventa antes que decir «no lo sé». Lo que le escribes no se queda en tu móvil. Viaja a los servidores de la empresa que la fabrica, y lo que pasa después depende de tu plan.

En las cuentas personales, puede servir para entrenar

La ayuda oficial de OpenAI explica que puedes elegir si tus chats de ChatGPT sirven para entrenar sus modelos, es decir, para enseñar a las próximas versiones. Se desactiva así:

• En la web: menú de tu cuenta, Configuración, Controles de datos, y apagar «Mejorar el modelo para todos».
• En el móvil: menú lateral, tu foto, Controles de datos, y apagar la misma opción.

Dos detalles importan. Si pulsas el pulgar arriba o abajo en una respuesta, esa conversación entera puede usarse para entrenar igualmente. Y el chat temporal no se usa para entrenar, pero se puede guardar hasta 30 días por seguridad.

En Gemini, además, puede leerlo una persona

La ayuda de Google dice que revisores humanos leen algunas conversaciones, desvinculadas antes de tu cuenta. Para evitarlo en tus chats futuros, entra en «Actividad en las aplicaciones de Gemini» y desactiva «Guardar actividad». Aun así, Google guarda esas conversaciones 72 horas.

Los datos que nunca van a una IA

La Agencia Española de Protección de Datos publicó en enero de 2026 un decálogo llamado «Cuidado con lo que le confIAs». Pide no compartir nombre completo, dirección, teléfono, DNI o NIE ni imágenes de personas, y tampoco datos médicos, financieros, contractuales o de dónde ha estado alguien. Llevado al mostrador, queda así.

Tabla: esto sí, esto no

Esto no lo pegues	Esto sí, tal cual o así
«Ana López, 612 345 678, lumbalgia crónica, sesión el martes»	«Paciente con dolor lumbar pide cambiar la cita del martes»
Foto del DNI o del contrato de alquiler de un cliente	Las cláusulas que no entiendes, sin nombres ni direcciones
La hoja de encargos de tartas con nombres y teléfonos	Los encargos contados: «12 tartas de chocolate, 5 de queso»
El número de cuenta o el extracto del banco	«Gasto 400 € al mes en harina, ¿cómo lo reparto por semanas?»
Contraseñas, claves del TPV o del correo	Nada. No hay versión segura de una contraseña
La reseña con el nombre de quien la escribe	El texto de la reseña, sin el nombre, para preparar la respuesta

Regla corta: si no lo dirías en voz alta con la tienda llena, no lo escribas en la IA.

Cómo quitar los datos antes de pegar

¿Te llega un correo largo de un cliente y quieres una respuesta ordenada? Puedes usar la IA sin darle su identidad. Se llama anonimizar: quitar lo que permite saber quién es. Tardas un minuto.

Plantilla para copiar

Pega el texto en las notas del móvil, cambia los datos por huecos y copia esto en la IA:

Te paso un mensaje de un cliente de mi [tipo de negocio] en [tu ciudad]. He cambiado los datos personales por huecos entre corchetes: [CLIENTE], [TELÉFONO], [FECHA], [DIRECCIÓN]. No intentes rellenarlos ni adivinarlos. Escríbeme una respuesta amable, de cinco líneas como mucho, que deje los huecos tal cual para que yo los complete.

Mensaje: [pega aquí el texto ya limpio]

Qué quitar, uno por uno

• Cambiar nombres y apellidos por [CLIENTE] o [PACIENTE].
• Borrar teléfonos, correos, direcciones, DNI y número de historia.
• Quitar lo que identifica en un barrio pequeño: «la vecina del quinto» también es un dato.
• Completar tú los huecos al copiar la respuesta.

En la clínica de Marta hay una norma extra. Los datos de salud son una categoría especial en el artículo 9 del RGPD. La dolencia unida a un nombre no va nunca a una cuenta personal de IA, ni con el entrenamiento desactivado. Más plantillas en cómo pedirle las cosas a la IA.

Plan gratis o personal frente a plan de empresa

La diferencia no está en lo lista que es la IA, sino en el papel que firma quien la fabrica. En las cuentas gratuitas e individuales, el proveedor trata lo que escribes según sus propias condiciones. Sirven para redactar o resumir información que no es de nadie.

En los planes de empresa, la ayuda de OpenAI dice que por defecto no usa para entrenar el contenido de sus espacios Business, Enterprise, Edu y para sanidad. El centro de privacidad de Google Workspace dice que el contenido de las cuentas de empresa no lo revisan personas ni se usa para entrenar fuera de tu organización sin permiso.

Para el RGPD importa otra cosa. En un plan de empresa el proveedor suele actuar como encargado del tratamiento: quien maneja datos por encargo tuyo, como la gestoría que lleva tus nóminas. El artículo 28 del RGPD exige un contrato con él. Antes de meter datos de clientes, busca en las condiciones de tu plan ese contrato, que suele llamarse «acuerdo de tratamiento de datos», y guarda una copia.

Qué	Cuenta gratis o personal	Plan de empresa
Entrena con tus chats	Sí, salvo que lo apagues	No, por defecto
Contrato de encargo del RGPD	No	Sí, búscalo y guárdalo
Datos de clientes	Solo anonimizados	Con contrato y aviso en tu privacidad
Datos de salud con nombre	Nunca	Solo con asesoramiento

Qué te pide el RGPD si usas IA con datos de clientes

El RGPD no prohíbe la IA. Te pide lo mismo que con el programa de citas o la gestoría:

• Apuntar qué herramienta usas y para qué, junto al resto de tratamientos.
• Tener contrato de encargo con el proveedor si le pasas datos personales.
• Contarlo en tu política de privacidad. Cómo se redacta está en los textos legales obligatorios de tu web.
• Usar solo los datos necesarios. Si la respuesta sale igual sin el nombre, el nombre sobra.
• Revisar lo que produce antes de que llegue al cliente, porque se equivoca con fechas y cifras.

Pegar el historial de un paciente en una cuenta personal es pasar datos de salud a una empresa sin contrato. Es el caso que puede traerte un disgusto serio.

Qué te pide la ley europea de IA si solo usas herramientas

El Reglamento europeo de inteligencia artificial, el AI Act, reparte obligaciones según el papel de cada uno. Quien fabrica ChatGPT o Gemini es el proveedor y carga con la mayor parte. Tú, que las usas en la frutería o en la clínica, eres el responsable del despliegue: quien la pone a trabajar. Las fechas salen del calendario oficial de la Comisión Europea.

Desde febrero de 2025: saber lo que usas

El artículo 4 pide que quien use la IA en tu negocio la conozca lo suficiente. Se aplica desde el 2 de febrero de 2025 y su supervisión empezó el 3 de agosto de 2026. La reforma del verano de 2026, el llamado Ómnibus digital, la mantuvo sin fijar un nivel concreto. La Comisión aclara que no hace falta certificado y que basta un registro interno. En la práctica: media hora con quien use la IA, explicarle la tabla de arriba y que se inventa datos, y apuntarlo con la fecha.

Desde el 2 de agosto de 2026: transparencia

El artículo 50 se aplica desde el 2 de agosto de 2026. Te toca en tres casos:

• Un asistente que habla con clientes. Avisar de que es una IA es obligación de quien fabrica el sistema, salvo que sea evidente. Aun así, si pones uno en tu WhatsApp, que el primer mensaje diga «soy un asistente automático de [tu negocio]». Cómo montarlo está en los asistentes de IA para WhatsApp y el teléfono.
• Imágenes o vídeos realistas que no son reales. Si publicas un montaje creíble de una persona, un lugar o un hecho, tienes que decir que es artificial. Un vídeo inventado de un famoso recomendando tu pan entra de lleno.
• Textos para informar al público sobre temas de interés general, como la salud. Se etiquetan como hechos con IA salvo que una persona con conocimientos los revise y responda de ellos. Si Marta escribe con IA sobre la lumbalgia y lo revisa ella como fisioterapeuta, queda fuera. Corregir la ortografía no cuenta como revisión.

Lo que no te toca

Las reglas de alto riesgo, como usar IA para elegir a quién contratas, se aplican desde el 2 de diciembre de 2027. Si no decides nada importante sobre personas con la IA, no van contigo.

Resumen: qué hacer esta semana

1. Apagar «Mejorar el modelo para todos» en ChatGPT y «Guardar actividad» en Gemini, en el móvil y en el navegador.
2. Guardar la plantilla de anonimizar en las notas del móvil y usarla la próxima vez que pegues un mensaje de un cliente.
3. Pegar la tabla «esto sí, esto no» junto a la caja o en el cuarto de atrás.
4. Si vas a dar datos de clientes a una IA, contratar un plan de empresa, guardar su contrato de tratamiento y añadirlo a tu política de privacidad.
5. Explicar a quien trabaje contigo los riesgos de la IA y apuntar la fecha en una hoja.

Si quieres que te ayude a ponerlo en marcha en tu negocio, sin perder semanas probando, en mi consultoría de IA para pymes te cuento cómo trabajo.