En 30 segundos
- Pegar datos de clientes en una IA es un tratamiento de datos: aplica el RGPD y tu tienda sigue siendo responsable.
- Desde el 2 de agosto de 2026, si un asistente conversa con clientes, estos deben saber que hablan con una IA.
- Usa planes de empresa con contrato de tratamiento de datos, no cuentas personales.
- Anonimiza antes de pegar y revisa siempre lo que la IA publica.
ChatGPT, Claude o Copilot ya son herramientas del día a día en muchos comercios: descripciones de producto, correos, análisis de ventas. El riesgo aparece cuando alguien pega una lista de clientes, un contrato o los datos de un empleado sin pensar dónde acaban. Esta guía te ayuda a ponerlo en orden sin complicarte.
Las dos normas que importan
RGPD
Se aplica cada vez que tratas datos de personas identificables: nombre, teléfono, correo, dirección, historial de compras. Pegarlos en una IA es un tratamiento de datos, y tu tienda sigue siendo responsable.
Reglamento europeo de IA
El Reglamento (UE) 2024/1689, conocido como AI Act, se aplica por fases. Para una tienda que usa IA de propósito general, lo más relevante es la transparencia del artículo 50.
Lo que pide el RGPD en la práctica
Base legal
Para usar esos datos con ese fin. Que un cliente te diera su correo para el ticket no te permite usarlo para cualquier otra cosa.
Minimización
Usa solo los datos necesarios. Si la IA no necesita el nombre, no lo pongas.
Contrato de encargado
Con el proveedor de IA si le pasas datos personales. Es lo que ofrecen los planes para empresa.
Informar
Di en tu política de privacidad si usas herramientas de terceros para tratar datos de clientes.
Italia multa a OpenAI con 15 millones de euros
La autoridad italiana de protección de datos sancionó a OpenAI por usar datos personales para entrenar ChatGPT sin una base legal adecuada, por falta de transparencia con los usuarios, por no comunicar una brecha de datos de marzo de 2023 y por no verificar la edad. Además, la obligó a hacer una campaña informativa de seis meses.
Lo que te llevas: los propios proveedores de IA están bajo vigilancia. Elige planes con contrato de tratamiento de datos y la opción de que tus conversaciones no se usen para entrenar.
Lo que pide el Reglamento de IA
- Si pones un asistente que conversa con clientes, las personas deben saber que hablan con una IA, salvo que sea evidente.
- Cuidado con el contenido generado o manipulado por IA que pueda parecer real, como imágenes o vídeos de personas.
- Tu personal debe tener un nivel suficiente de conocimiento sobre IA (art. 4, obligatorio desde febrero de 2025).
Plan personal o de empresa
No es lo mismo la cuenta gratuita que alguien abrió con su correo personal que un plan de empresa contratado por la tienda. En términos generales:
| Aspecto | Planes personales (gratuitos o de pago individual) | Planes para empresa (Team, Business, Enterprise, API) |
|---|---|---|
| Uso de tus conversaciones para entrenar modelos | Puede estar activado según el proveedor y la configuración; revisa los ajustes | Por defecto no se usan para entrenar |
| Contrato de tratamiento de datos | Normalmente no hay | Disponible, con condiciones adaptadas al RGPD |
| Control de usuarios | Cada persona gestiona su cuenta | La empresa da de alta y de baja a los usuarios |
| Quién es titular de la cuenta | El empleado | La empresa |
Qué puedes pegar y qué no
Ingenieros de Samsung pegan código interno en ChatGPT
Varios ingenieros subieron código fuente de la empresa a ChatGPT. Samsung prohibió las herramientas de IA generativa en sus dispositivos y redes internas, pidió no compartir información de la empresa desde dispositivos personales y avisó de sanciones que podían llegar al despido.
Lo que te llevas: lo que pegas en una IA sale de tu empresa. Conviene tener una política interna antes de que el equipo empiece a usarla por su cuenta.
| Tipo de información | Plan personal | Plan de empresa con contrato |
|---|---|---|
| Descripciones de producto, textos de marketing, ideas | Sí | Sí |
| Ventas agregadas sin datos de personas (por tienda, por categoría) | Sí, si no es información confidencial del negocio | Sí |
| Reseñas públicas, sin el nombre del autor | Sí | Sí |
| Correos de clientes con nombre, teléfono o dirección | No. Anonimiza antes | Solo si es necesario y con base legal |
| Listados de clientes o bases de datos | No | Solo con un fin claro y los datos mínimos |
| Datos de empleados: nóminas, evaluaciones, bajas | No | Con mucha cautela; los datos de salud, mejor nunca |
| DNI, datos bancarios o de tarjetas | No | No |
| Contraseñas y accesos | No | No |
Cómo anonimizar
La mayoría de las veces la IA no necesita saber quién es el cliente. Basta con quitar o sustituir lo que lo identifica:
Datos identificativos son nombres, correos, teléfonos, direcciones, números de pedido o de socio, y cualquier detalle que permita reconocer a alguien.
Ejemplo Un correo inventado, antes y después de anonimizarlo:
El correo de la clienta
«Hola, soy Laura Gómez, socia número 48213. Compré un abrigo en vuestra tienda de la calle Mayor el día 3 y la cremallera se ha roto. Mi teléfono es 600 000 000. Estoy muy decepcionada.»
Lo que pegas en la IA
«Hola, soy [CLIENTE]. Compré un abrigo en vuestra tienda [TIENDA] hace unos días y la cremallera se ha roto. Estoy muy decepcionada.»
Plantilla de política interna
Una página con las reglas ahorra muchas dudas al equipo. Puedes copiar esta y adaptarla, o descargarla en Word lista para firmar:
DOCXPlantilla: política de uso de IAWord editable con los 7 puntos y una tabla de firmas del equipo.Descargar ↓Política de uso de IA de [NOMBRE DE LA TIENDA]
1. Herramientas autorizadas. Solo se usan las herramientas contratadas por la empresa: [por ejemplo, ChatGPT Business, Claude Team o Microsoft 365 Copilot]. No se usan cuentas personales para temas de trabajo.
2. Usos permitidos. Textos de producto y marketing, borradores de correos, resúmenes, ideas, análisis de datos agregados y apoyo en tareas internas.
3. Datos prohibidos. Nunca se introducen DNI, datos bancarios o de tarjetas, contraseñas, datos de salud ni datos de empleados. Los datos de clientes se anonimizan siempre que sea posible.
4. Revisión humana. Todo lo que sale hacia un cliente o se publica (respuestas a reseñas, correos, textos de la web) lo revisa una persona antes.
5. Transparencia. Si un cliente habla con un asistente de IA, se le informa de forma clara al inicio.
6. Dudas e incidencias. Si alguien introduce por error datos que no debía, avisa ese mismo día a [RESPONSABLE]. No pasa nada por avisar; sí pasa por ocultarlo.
7. Responsable. [NOMBRE] revisa esta política cada seis meses y da de alta y de baja los accesos.
Fecha: [FECHA]. Leída y aceptada por: [NOMBRE Y FIRMA].
Antes de lanzar un chatbot
Air Canada tiene que responder por lo que dijo su chatbot
El asistente de su web le dijo a un cliente que podía pedir la tarifa reducida por fallecimiento de un familiar después de volar. La política real decía lo contrario. La aerolínea alegó que el chatbot era responsable de sus propios actos, pero el tribunal lo rechazó y la obligó a compensar al cliente.
Lo que te llevas: lo que diga tu chatbot lo dice tu tienda. Limítalo a información que hayas revisado.
Un asistente en la web o en WhatsApp que responde dudas sobre horarios, envíos o devoluciones puede ser muy útil. Antes de activarlo, marca cada punto:
- El primer mensaje dice claramente que es un asistente de IA. Por ejemplo: «Hola, soy el asistente virtual de [TIENDA], una inteligencia artificial. Si prefieres hablar con una persona, escribe PERSONA».
- Hay una forma sencilla de pasar a una persona, y alguien atiende esos casos.
- Solo responde con información que tú le has dado: horarios, políticas de envío y devolución, preguntas frecuentes.
- Has probado preguntas difíciles: quejas, peticiones de descuento, preguntas fuera de tema, intentos de que diga algo inapropiado.
- No pide datos que no necesita. Si hace falta un número de pedido, no pide DNI.
- Tienes contrato de tratamiento de datos con el proveedor de la herramienta.
- Tu política de privacidad menciona el asistente y el proveedor.
- Sabes cuánto tiempo se guardan las conversaciones y dónde.
- Alguien revisa una muestra de conversaciones cada semana durante el primer mes.
- Hay un plan para apagarlo rápido si empieza a responder mal.
Revisa lo que publica la IA
La IA propone; tú decides.
Por dónde empezar
Cinco pasos para esta semana:
- Pregunta al equipo qué herramientas de IA usa y con qué cuentas. Sin juzgar: el objetivo es saber.
- Decide qué herramienta de empresa vais a usar y contrata el plan adecuado.
- Adapta la plantilla de política, explícala en una reunión corta y pide que la firmen.
- Enseña con un ejemplo real cómo anonimizar un correo.
- Si vas a lanzar un chatbot, pasa la lista anterior antes de activarlo.
Este artículo es orientativo y no sustituye el asesoramiento legal. Las condiciones de los proveedores y la aplicación de la normativa pueden cambiar. Si tratas datos sensibles o tienes dudas concretas, consulta con tu delegado de protección de datos o con un abogado especializado.