Usar ChatGPT y otras IA generativas en tu empresa: qué exige la ley y cómo cumplir

Para quién

Para cualquier empresa u organización cuyo personal use herramientas de IA generativa de terceros (ChatGPT, Copilot, Gemini u otras) para redactar, resumir, traducir, programar o crear imágenes.

Requisitos previos

• Saber qué herramientas usa realmente tu equipo, también las que no ha aprobado nadie.
• Saber si se introducen datos personales o información confidencial.

Qué dice la norma

El proveedor de la herramienta tiene sus propias obligaciones, como marcar el contenido en formato legible por máquina. A ti, como usuario, te tocan las anteriores.

Pasos

1. Haz un inventario. Lista las herramientas, quién las usa y para qué. Usa la plantilla de registro de sistemas de IA.
2. Aprueba una política de uso. Define herramientas autorizadas, datos que no se pueden introducir y revisión humana obligatoria. Hay una plantilla gratuita.
3. Forma a tu equipo. Adapta la formación al perfil: qué puede hacer la herramienta, sus errores y tus reglas. Guarda las evidencias.
4. Protege los datos. Si se introducen datos personales, se aplica el RGPD. Usa cuentas corporativas y revisa las condiciones del proveedor sobre el uso de tus datos.
5. Etiqueta lo que corresponda. Desde agosto de 2026, el contenido sintético que pueda confundirse con real y los textos de interés público sin revisión editorial humana necesitan aviso. Hay textos de ejemplo.
6. Vigila los cambios de uso. Si la herramienta pasa a filtrar candidatos o evaluar a empleados, cambia el nivel de riesgo y hay que revisar todo.

Sanciones

El incumplimiento de las obligaciones de transparencia puede acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio mundial, la cuantía que sea mayor; para pymes, la que sea menor (art. 99). El régimen sancionador español sigue pendiente de ley.

Checklist

• Inventario de herramientas de IA hecho.
• Política de uso aprobada y comunicada.
• Formación impartida y evidencias guardadas.
• Reglas sobre datos personales y confidenciales.
• Criterio de etiquetado de contenido generado.
• Revisión periódica de los usos.

Errores frecuentes

• Pensar que, como la herramienta es de un tercero, la empresa no tiene obligaciones.
• Prohibir la herramienta sin ofrecer alternativa: el personal la usa igualmente, sin control.
• Pegar datos de clientes o candidatos en cuentas personales.
• Confiar en el resultado sin revisión humana.

Preguntas frecuentes

¿Estoy obligado a formar a mi plantilla si solo uso ChatGPT?

Sí. El art. 4 se aplica desde el 2 de febrero de 2025 a quien utiliza sistemas de IA. Debes adoptar medidas para apoyar la alfabetización en IA de tu personal, adaptadas a sus conocimientos, su experiencia y el contexto de uso. Desde el Ómnibus (27 de julio de 2026) la norma no exige garantizar un nivel concreto a cada persona, pero sí adoptar medidas y poder demostrarlas.

¿Tengo que decir que un texto lo ha escrito una IA?

Depende. El art. 50.4 exige aviso para textos publicados con el fin de informar al público sobre asuntos de interés público, salvo que haya revisión humana y responsabilidad editorial. No cubre toda comunicación interna o comercial.

¿Cuándo se convierte en alto riesgo?

Cuando se usa para ámbitos del anexo III, por ejemplo para seleccionar candidatos o evaluar trabajadores. Esas obligaciones se aplican desde el 2 de diciembre de 2027.