ChatGPT ya tiene alrededor de 800 millones de usuarios en todo el mundo, pero donde verdaderamente se está notando su desarrollo es en el ámbito empresarial.
Sin embargo, con la entrada en vigor de la Ley de IA de la UE (Reglamento 2024/1689) el uso de esta herramienta convierte a la empresa en “responsable del despliegue” de un sistema de inteligencia artificial y, por tanto, deben cumplir una serie de obligaciones.
Obligaciones de la Ley de IA comunes a todas las empresas que usan ChatGPT
Cabe decir que la guía está orientada al uso de ChatGPT Business, la versión para empresas de la herramienta, que es la que ofrece garantías para el cumplimiento legal.
Formar al equipo (y guardar las pruebas)
El artículo 4 obliga a adoptar medidas para que el personal que usa IA tenga un nivel suficiente de alfabetización, proporcional a su función y contexto. No exige cursos formales ni diplomas: exige que quien usa ChatGPT sepa lo que hace.
En la práctica, basta una sesión interna que cubra lo esencial: qué es y cómo funciona la herramienta, cuándo y por qué se inventa cosas, qué información no puede introducirse jamás o cuándo el contenido generado necesita aviso o etiqueta.
Lo que sí es imprescindible es crear un registro con el material impartido, los asistentes y la fecha, como prueba ante una inspección.
Escribir una política interna de uso
La segunda medida es documentar qué se puede y qué no se puede hacer con ChatGPT dentro de la empresa. Los tres pilares de esa política deben ser:
-
Prohibición estricta de introducir datos de clientes, información financiera, médica o propiedad intelectual en cuentas gratuitas.
-
Autorización expresa de los usos genéricos (plantillas, resúmenes de textos públicos, lluvias de ideas).
-
Validación humana obligatoria de todo texto o código generado antes de usarse formalmente.
Hacer inventario de los usos de ChatGPT
En este inventario se indica qué departamentos usan ChatGPT y para qué tareas.
La clasificación importa porque el riesgo no está en la herramienta sino en el uso (como veremos más adelante). Redactar emails o resumir informes tiene un riesgo mínimo, pero si integras ChatGPT vía MCP o API en procesos que deciden sobre personas (filtrar currículums, evaluar la solvencia de un cliente al que financias), entras en territorio de alto riesgo del anexo III, con obligaciones de supervisión humana o mitigación de sesgos.
Cumplir con la identificación y etiquetado de la IA
El artículo 50 es uno de los pilares en la aplicación del AI Act desde el 2 de agosto y señala que es obligatorio que “los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de utilización”.
Configurar la herramienta para blindar tus datos
Usa versiones corporativas (ChatGPT Business o Enterprise), que garantizan por contrato que tus datos no se usarán para entrenar futuros modelos.
Si parte del equipo trabaja con cuentas gratuitas, la instrucción debe ser desactivar el entrenamiento del modelo y el historial en el menú de privacidad de la cuenta.
Soluciones para usar ChatGPT de forma legal
Herramientas como OneTrust escanean y detectan qué empleados usan el chat de forma oculta (Shadow AI), clasifica automáticamente cada caso de uso según su nivel de riesgo (mínimo, específico o alto) y evalúa mediante plantillas si se están introduciendo datos confidenciales que violen el RGPD.
Otras como Atico34 van un paso más allá y con su software Atico34 AI Governance se integran con ChatGPT vía MCP, de manera que no sólo se pueden centralizar todos los usos de esta herramienta, sino que se puede integrar con cualquier software o programa que use la empresa y gestionar todas las herramientas y sistemas de IA (y sus riesgos) desde una misma interfaz conversacional.
Los seis grandes usos de ChatGPT en la empresa, y cómo cumplir el AI Act en cada uno
Elaboración y redacción de contenidos
La ley no obliga a etiquetar el texto comercial. Solo se deben identificar los artículos del blog que informan sobre salud, seguridad o derechos del consumidor, salvo que exista una revisión humana profunda y una persona asuma la responsabilidad de su autoría y publicación.
Procesamiento, resumen y síntesis de información
Resumir informes, analizar opiniones de clientes o extraer cláusulas de contratos no plantea ningún problema con la Ley de IA, pero sí con el RGPD si el documento contiene datos personales. La premisa: lo que lleve nombres, datos financieros o información confidencial se debe anonimizar.
Resolución de consultas y asistencia
Los chatbots o asistentes virtuales deben identificarse de manera inequívoca desde el primer contacto, con un mensaje como “Hola, soy el asistente virtual de la empresa Axyz”.
Importante, no sirve con poner un aviso de “Asistente virtual” ni usar imágenes de personas o nombres que simulan ser reales.
Generación de ideas y creatividad
No es necesario identificar como IA los contenidos creativos, salvo que puedan inducir a error en las personas, como es el caso de las ultrafalsificaciones o deepfakes.
Edición, corrección y traducción
La propia ley deja fuera del régimen de contenido generado las funciones de apoyo a la edición estándar, así que pulir textos, cambiar tonos o traducir no exige identificar ni etiquetar la IA.
Eso sí, ojo con la traducción de documentos con consecuencias legales (contratos, etiquetado de producto). Debe pasar siempre por revisión humana cualificada, porque un matiz mal traducido es responsabilidad de la empresa.
Estructuración y limpieza de datos
Convertir texto en tablas, pasar un PDF a CSV o normalizar listas caóticas son tareas internas que no entrañan riesgo directo para las personas y que no exigen ningún etiquetado salvo que se traten datos personales sensibles.
