Un comercial te enseña una diapositiva con la palabra «Enterprise» en mayúsculas, un candado y tres logos de certificaciones. Concluyes que tus datos están cubiertos y firmas. Es el momento exacto en el que la mayoría de las empresas europeas asumen un riesgo legal que no han evaluado. Porque «enterprise» es una etiqueta de marketing, no una cláusula de contrato —y el RGPD no se cumple con un sello, se cumple con una arquitectura.
IA generativa y RGPD: por qué el sello «enterprise» no te protege
El RGPD te aplica desde el minuto uno, y te aplica a ti, no a tu proveedor. Eres el responsable del tratamiento: si metes datos personales de tus clientes o tu equipo en una herramienta de IA generativa, la ley te pide que sepas dónde acaban esos datos, quién los procesa y con qué garantías. El proveedor es, en el mejor de los casos, tu encargado del tratamiento —y solo lo es de verdad si hay un contrato que lo diga. La etiqueta «enterprise» describe un plan de precios; no describe qué pasa con tu dato cuando sale de tu organización.
La diferencia importa porque las multas no son teóricas. El artículo 83 del RGPD contempla sanciones de hasta 20 millones de euros o el 4% de la facturación global anual, la cifra que sea mayor, para las infracciones más graves. Nadie te va a multar por usar IA; te pueden multar por tratar datos personales sin base legal, sin contrato de encargo o transfiriéndolos fuera del Espacio Económico Europeo sin garantías. Ese riesgo no lo cubre un candado en una diapositiva.
Lo que tu proveedor no te cuenta (y tú tampoco preguntas)
No es que mientan. Es que las preguntas incómodas no salen en la demo, y tú tampoco las haces porque la palabra «enterprise» ya te ha tranquilizado. Estas son las que se quedan sin respuesta:
- ¿Dónde se almacenan y procesan físicamente mis datos? ¿En la UE, o en Estados Unidos con «medidas equivalentes»?
- ¿El proveedor entrena sus modelos con lo que yo le mando? ¿En qué plan exactamente deja de hacerlo, y cómo lo verifico?
- ¿Cuánto tiempo retiene mis datos, y quién puede leerlos durante ese tiempo (incluidos revisores humanos por «abuso»)?
- ¿Qué subencargados hay por debajo? Un proveedor de IA rara vez procesa solo: hay hosting, hay logging, hay monitorización, y cada uno es otra empresa que toca tu dato.
- ¿Hay un contrato de encargo del tratamiento (DPA) firmado, o solo unos términos de servicio que puedo aceptar con un clic?
Dónde vive tu dato importa más que qué modelo usa
La conversación pública sobre IA gira en torno al modelo: cuál es más listo, cuál alucina menos. Para el RGPD, el modelo es casi irrelevante. Lo que importa es la geografía y la cadena de custodia del dato. Si tu proveedor procesa en servidores estadounidenses, entras en el terreno de las transferencias internacionales: necesitas una base de legitimación (una decisión de adecuación, cláusulas contractuales tipo) y, después de años de tumbos jurídicos con este tema, más te vale que esa base esté documentada y no dada por supuesta.
Aquí es donde la arquitectura gana a la etiqueta. Dos herramientas con el mismo modelo por debajo pueden tener perfiles de riesgo opuestos según dónde alojen el dato, si lo cifran en tránsito y en reposo, y si te dejan elegir región. La pregunta no es «¿es seguro tu producto?» —a eso siempre te dicen que sí—. La pregunta es «¿dónde, exactamente, se procesa este dato concreto, y me lo pones por escrito?».
«No entrenamos con tus datos»: lee la letra pequeña
Es la frase estrella de toda demo. Y suele ser cierta —con condiciones—. Muchos proveedores no entrenan con tus datos en sus planes de pago para empresa, pero sí lo hacen en los planes gratuitos o individuales que tu equipo usa por su cuenta sin que tú lo sepas. La fuga de datos rara vez viene del contrato corporativo; viene del comercial que pega el listado de clientes en la versión gratuita para «redactar un email más rápido». El «no entrenamos con tus datos» del contrato no cubre la cuenta personal que alguien abrió el martes.
RGPD no es el AI Act (y los dos te aplican)
Conviene no mezclarlos. El RGPD regula datos personales y te aplica hoy, sin periodo de gracia, uses IA o no. El AI Act regula sistemas de IA por su nivel de riesgo y llega por fases: las obligaciones de transparencia (avisar de que el usuario habla con una IA, etiquetar contenido generado) empiezan a aplicarse en agosto de 2026, mientras que buena parte de las obligaciones para sistemas de alto riesgo por uso se han retrasado —según el acuerdo provisional de mayo de 2026— hasta diciembre de 2027. Traducción práctica: no esperes al AI Act para ordenar tus datos. El RGPD ya te obliga, y es el que trae las multas grandes.
La seguridad la decide tu arquitectura, no tu proveedor
Este es el fondo del asunto. Puedes contratar la herramienta más «enterprise» del mercado y seguir incumpliendo, porque el cumplimiento no está solo en el producto que compras: está en cómo lo montas. Qué datos dejas que entren, qué campos anonimizas antes, quién tiene acceso, qué se registra, qué se retiene, dónde pones el límite entre lo que el sistema hace solo y lo que pasa por una persona. Eso es arquitectura, y es tuya. El proveedor te vende un motor; el coche lo montas tú, y respondes tú si se sale de la carretera.
Por eso la parte aburrida —el gobierno del dato— es la que de verdad te protege. Saber qué información sensible tienes, dónde vive, quién la toca y con qué contrato no es papeleo: es la diferencia entre usar IA con red y usarla a ciegas. Si no tienes ese mapa, montarlo es el primer trabajo, antes que elegir modelo. Nosotros lo tratamos como lo que es —infraestructura— en el servicio de gobierno del dato: saber qué datos tienes, dónde viven y quién los toca, y lo blindamos con seguridad pensada para sistemas de IA, no solo para la red clásica.
Qué preguntar antes de firmar
No hace falta ser abogado para no firmar a ciegas. Antes de meter datos personales en cualquier herramienta de IA generativa, exige respuestas por escrito a esto:
- Región de procesamiento y almacenamiento: ¿UE sí o no, y me dejas elegirla?
- DPA firmado conforme al artículo 28, con lista de subencargados incluida.
- Política de entrenamiento y retención: qué haces con mi dato, cuánto lo guardas, cómo lo borro.
- Transferencias internacionales: si sale del EEE, con qué base legal y qué garantías documentadas.
- Acceso humano: quién, de tu lado, puede leer mis conversaciones y bajo qué circunstancias.
Y en paralelo, ordena lo tuyo: una política de uso clara para que tu equipo sepa qué puede y qué no puede pegar en un chat. Lo desarrollamos con detalle en la guía de cómo montar la política de uso de ChatGPT en tu empresa, dentro de la guía madre de usar ChatGPT en la empresa sin teatro y sin sustos. La herramienta más cara no te salva de una política que no existe.