¿Es legal usar ChatGPT en la empresa? Depende del uso, de los datos y de la herramienta. No hay un sí o un no para todas las pymes. Usar el chat no convierte a la empresa en proveedor de IA. Pegar emails o contratos de clientes puede implicar tratamiento de datos personales y requiere revisión. No es lo mismo una cuenta gratuita que un plan de empresa con acuerdo de tratamiento. El primer paso es ver qué usa el equipo. Los términos están en el glosario del AI Act.
Tu equipo ya usa ChatGPT. O Copilot. O Gemini.
A veces desde el móvil personal. A veces con el email de un cliente pegado directamente en el chat.
Y entonces aparece la pregunta que muchas empresas buscan en Google: «¿es legal usar ChatGPT en empresas?» La legalidad de ChatGPT en la empresa no tiene una respuesta única: depende del uso, de los datos y de la herramienta.
No hay un sí o un no que valga para todas las pymes.
Sí hay un primer paso que sirve para cualquiera: ver el uso real de la IA en el equipo.
Y, si hace falta, un AI Legal Assessment: el servicio principal de Legal Stones para identificar el uso de IA, detectar necesidades y dejar un plan documentado. Inventario (incluido el Shadow AI), gobernanza, datos, contratos y formación. En remoto.
Todo empieza gratis, con cinco preguntas.
Esta guía te explica qué mirar y por dónde empezar con nosotras.
¿Qué cuenta como usar ChatGPT en la empresa?
No importa el logotipo ni quién haya contratado la herramienta.
Cuenta el chat gratuito desde una cuenta personal, un plan de pago de la empresa, Copilot dentro de Word o Gemini abierto en el navegador.
Si alguien las usa para trabajar, forman parte del uso de IA de vuestra organización, aunque Dirección no las haya contratado oficialmente.
Usar el chat no os convierte automáticamente en proveedores de IA. Lo importante es analizar qué hacéis con la herramienta y cómo la está utilizando el equipo.
El mapa de guías: ChatGPT en la empresa.
¿Qué usos de ChatGPT conviene dejar por escrito?
Mejorar un texto interno, resumir información pública o generar ideas, con una herramienta identificada y sin datos de terceros, es el tipo de uso que muchas pymes pueden dejar definido por escrito.
Es un criterio interno: para qué se puede utilizar la IA, con qué datos y con qué herramienta.
¿Prohibir ChatGPT?
Casi nunca es el mejor movimiento. Prohibirlo por completo puede empujar el uso hacia cuentas personales y herramientas que la empresa ni siquiera conoce.
Lo que suele funcionar mejor es acotar el uso y poder explicarlo.
Lo que no conviene dejar al azar
El email de un cliente. Un fragmento de contrato. Un Excel con nombres.
Pegar ese contenido en ChatGPT, Copilot o Gemini puede implicar tratamiento de datos personales.
El AI Act no sustituye al RGPD: ambos pueden tener que analizarse al mismo tiempo. Y siempre requiere revisión en vuestra empresa. No es lo mismo una cuenta gratuita que un plan enterprise con DPA.
Ese escenario lo explicamos aquí: ChatGPT con datos de clientes.
Si ni siquiera sabéis qué herramientas usa el equipo, hay un problema de visibilidad que suele llamarse Shadow AI. No es una etiqueta jurídica. Es no tener una foto clara de la IA que ya está dentro.
El Assessment sirve precisamente para sacarlo a la luz.
¿Qué revisar en el contrato del proveedor de IA?
Si vais a firmar ChatGPT Enterprise, Copilot o Gemini, el contrato del proveedor también importa. Sus condiciones pueden afectar a logs, tratamiento de datos o uso de la información para entrenamiento.
Checklist: cláusulas de IA en contratos SaaS.
Si el PDF ya está encima de la mesa: revisión de contratos.
El producto: AI Legal Assessment
El AI Legal Assessment es el servicio principal de Legal Stones: consultoría legal de IA para pymes que ya usan ChatGPT, Copilot o Gemini.
Al terminar tenéis tres cosas:
- Uso de IA identificado, incluido el que Dirección no veía (Shadow AI).
- Necesidades identificadas: gobernanza, datos, contratos y formación.
- Un plan documentado con informes de trabajo y medidas recomendadas.
Se hace en remoto. Alcance y precio se confirman antes de empezar.
El primer paso es gratuito: cinco preguntas, un par de minutos y una primera foto del uso.
Si el indicio es crítico o moderado, el siguiente paso es el Assessment.
Alfabetización en IA y artículo 4
El artículo 4 establece la obligación de adoptar medidas para apoyar la alfabetización en IA.
Se aplica a proveedores y responsables del despliegue: primero hay que ver si vuestra empresa entra en alguno de esos roles. No todas las que usan ChatGPT son proveedoras de IA. Tampoco existe un certificado oficial de la UE ni un único curso obligatorio.
La formación de Legal Stones orientada a estas medidas está en CursoAIAct.
Antes de formar al equipo, conviene la foto del uso (las cinco preguntas) y, si toca, el Assessment. Ahí aparece si la necesidad es formación, una política interna, revisión de contratos o las tres.
La política de uso de IA es una medida recomendada, no una obligación con ese nombre.
El detalle del artículo 4: alfabetización en IA y artículo 4.
Preguntas frecuentes
¿Es legal usar ChatGPT en empresas?
Depende del uso, los datos y la herramienta. El primer paso en Legal Stones son cinco preguntas gratis. Si hace falta, el AI Legal Assessment.
¿Es legal pegar un email de un cliente en ChatGPT?
Depende de qué datos contiene, de qué plan usáis y de si hay instrucciones internas. Un email con nombre y contacto suele incluir datos personales. No conviene tratarlo como un uso inocuo por defecto.
¿Hay que prohibir ChatGPT?
No necesariamente. Acotar y definir el uso suele ser más útil que prohibirlo por completo.
¿Usar ChatGPT obliga a cumplir el AI Act?
No es automático. Hay que analizar el rol de la empresa y el uso concreto. El Assessment identifica ese uso y las necesidades.
¿El curso de CursoAIAct es el certificado oficial de la UE?
No. No existe ese certificado oficial. CursoAIAct es la formación de Legal Stones en alfabetización en IA.
¿Por dónde empiezo?
Por las cinco preguntas. Si el indicio lo pide, el Assessment. Si hay un contrato del proveedor pendiente, revisión de contratos. Si la necesidad es formar al equipo, CursoAIAct.
Empezar con 5 preguntas gratis →
CursoAIAct: formación en alfabetización de IA →
ChatGPT con datos de clientes →
Checklist de uso de ChatGPT en la pyme
Es un método de Legal Stones para dejar por escrito el uso real. No es una norma del AI Act ni un certificado. Conviene poder responder, aunque sea en una página:
- Qué herramientas usa el equipo: ChatGPT, Copilot, Gemini u otras, incluidas las cuentas personales.
- Para qué se usan: redactar, resumir, atender clientes, decidir sobre personas.
- Si entra información de clientes, empleados o contratos.
- Si hay una cuenta de empresa con acuerdo de tratamiento o solo planes gratuitos.
- Si existe una política interna y un inventario, aunque sean breves.
- Si hay contrato con el proveedor: DPA, logs y uso de datos para entrenar el modelo.
El primer paso sigue siendo las cinco preguntas. Si el indicio es crítico o moderado, el siguiente paso es el AI Legal Assessment.
Fuentes
- Texto del AI Act, incluido el artículo 4: Reglamento (UE) 2024/1689 (EUR-Lex).
- Agencia Española de Protección de Datos: innovación y tecnología y la guía Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial.
- Agencia Española de Supervisión de la Inteligencia Artificial: AESIA.
Esta página enlaza esas fuentes. No reproduce el articulado y no clasifica un caso concreto.