ChatGPT y datos personales: qué ocurre con su información

«¿Guarda ChatGPT lo que le escribo?» La pregunta surge en todas las empresas que descubren la IA generativa. La respuesta depende menos de la herramienta que de la forma de usarla: con una cuenta personal gratuita, una suscripción individual o un plan profesional gestionado por la empresa, las reglas no son las mismas. Este artículo repasa lo que OpenAI publica en sus propias páginas, plan por plan, y después lo que sigue siendo responsabilidad de la empresa.

Qué ocurre cuando envía un mensaje

ChatGPT es un servicio en línea. El texto escrito, los archivos adjuntos y las respuestas se procesan en los servidores de OpenAI y después se guardan en el historial de la cuenta. Nada sorprendente: así funciona cualquier servicio alojado. Lo que importa es lo que viene después: cuánto tiempo se conservan esos contenidos, quién puede acceder a ellos y si pueden servir para mejorar los modelos.

El esquema siguiente muestra el trayecto de un mensaje que contiene un nombre, un IBAN y una información de salud. Sin un control previo, estos datos salen tal cual. Con un control local, pueden sustituirse por etiquetas antes de salir del equipo.

Cuenta personal: entrenamiento y ajustes

En los servicios destinados a particulares (ChatGPT gratuito y las suscripciones individuales), OpenAI indica que puede utilizar el contenido enviado para mejorar el rendimiento de sus modelos.¹ La misma página aconseja, de hecho, no introducir información sensible que uno no querría ver revisada o utilizada.¹

El usuario conserva el control sobre este punto. Cuando el ajuste «Mejorar el modelo para todos» está desactivado, las conversaciones nuevas no sirven para entrenar los modelos de OpenAI.² Las «conversaciones temporales» tampoco se utilizan para mejorar los modelos, pero pueden conservarse hasta 30 días por motivos de seguridad.² Un detalle que a menudo se pasa por alto: cuando se valora una respuesta (pulgar arriba o abajo), toda la conversación asociada puede utilizarse para el entrenamiento.²

Esta lógica no es exclusiva de OpenAI. Google indica que revisores humanos examinan una parte de las conversaciones de la aplicación Gemini y pide no introducir en ella información confidencial.¹⁰ Anthropic, por su parte, ha pedido a los usuarios de los planes de consumo de Claude que elijan si aceptan que sus datos se utilicen para el entrenamiento, con una conservación ampliada a cinco años en caso de aceptación.¹¹

ChatGPT Business y Enterprise: lo que prevé OpenAI

Los planes profesionales se basan en un marco distinto. Para ChatGPT Business (el antiguo plan Team, renombrado el 29 de agosto de 2025⁶), ChatGPT Enterprise, ChatGPT Edu y la plataforma API, OpenAI indica que no entrena sus modelos con los datos de los clientes por defecto.³ El proveedor precisa también que el cliente es propietario de sus entradas y salidas, dentro de los límites previstos por la ley, que los datos se cifran en reposo (AES-256) y en tránsito (TLS 1.2 o superior) y que se ha realizado una auditoría SOC 2.³

Para el RGPD, hay un punto decisivo: OpenAI puede firmar con sus clientes un anexo de tratamiento de datos (DPA) para ChatGPT Business, ChatGPT Enterprise y la API.³ Además, algunos clientes elegibles de Enterprise, Edu y la API pueden optar por almacenar sus contenidos en reposo en Europa.⁷

¿Cuánto tiempo se conservan las conversaciones?

Una conversación eliminada no se borra al instante. Según OpenAI, queda programada para su eliminación definitiva de sus sistemas en un plazo de 30 días, salvo que ya se haya desvinculado de la cuenta o que una obligación de seguridad o legal obligue a conservarla más tiempo.⁴ La misma regla de los 30 días figura en los compromisos de Enterprise.³

La «obligación legal» no es teórica. En el marco del litigio iniciado por The New York Times, OpenAI tuvo que conservar durante varios meses los contenidos de las cuentas de consumo y de la API. El proveedor indica que esta obligación terminó el 26 de septiembre de 2025, que conserva de forma segura un conjunto limitado de datos de abril a septiembre de 2025 y que ChatGPT Enterprise y Edu no estaban afectados.⁵

Datos confidenciales y sensibles: dónde está el verdadero problema

Para una empresa, el riesgo principal no es la herramienta en sí, sino lo que se pega en ella. Un empleado con prisa copia el correo de un cliente para reformularlo, una tabla de nóminas para resumirla o un contrato para extraer sus cláusulas. Cada uno de estos gestos transmite datos personales a un tercero.

El RGPD exige que los datos tratados sean «adecuados, pertinentes y limitados a lo necesario» (principio de minimización, artículo 5).⁹ Algunas categorías, como los datos de salud, gozan de una protección reforzada (artículo 9).⁹ Y es la empresa, como responsable del tratamiento, quien debe poder demostrar que respeta estos principios (artículo 24).⁹ En Francia, la CNIL (la autoridad francesa de protección de datos) lo recuerda a propósito de la IA generativa: es la organización usuaria la que asume la responsabilidad en caso de mal uso de la IA por parte de su personal.⁸

Muchas veces, el dato personal no es necesario para la tarea. Reformular un mensaje no exige el nombre real del cliente ni su IBAN: basta con una etiqueta, y la respuesta sigue siendo útil.

Los buenos hábitos en la empresa

En Francia, la CNIL recomienda regular el uso de la IA generativa mediante una política o normativa interna que distinga claramente los usos autorizados y los prohibidos.⁸ En concreto:

1. Dar prioridad a una cuenta profesional. Un plan gestionado por la empresa, con un DPA, aporta un marco contractual que una cuenta personal no puede ofrecer. Para usos no confidenciales, la CNIL contempla también un servicio de consumo utilizado con direcciones profesionales específicas, desactivando si es posible la reutilización de los datos.⁸
2. Revisar los ajustes. En una cuenta individual, desactivar «Mejorar el modelo para todos» y utilizar las conversaciones temporales para los asuntos puntuales.²
3. Minimizar antes de enviar. Eliminar o sustituir nombres, datos de contacto, identificadores bancarios, datos de salud y secretos empresariales.
4. Formar a los equipos. Explicar el porqué, no solo prohibir: eso es lo que hace que una regla perdure.
5. Apoyar la minimización con herramientas. Un control en el equipo puede detectar los datos sensibles en el momento del envío y proponer anonimizarlos. Es la función de Tacite-IA, presentado más abajo, entre otras medidas posibles.

Preguntas frecuentes

Fuentes

1. How OpenAI handles data in consumer services. OpenAI Help Center. Consultado el 5 de octubre de 2026.
2. Data controls in ChatGPT. OpenAI Help Center. Consultado el 5 de octubre de 2026.
3. Enterprise privacy at OpenAI. OpenAI, página actualizada el 8 de enero de 2026. Consultado el 5 de octubre de 2026.
4. Chat and file retention in ChatGPT. OpenAI Help Center. Consultado el 5 de octubre de 2026.
5. How we’re responding to The New York Times’ data demands in order to protect user privacy. OpenAI, actualización del 22 de octubre de 2025. Consultado el 5 de octubre de 2026.
6. ChatGPT Business - Overview. OpenAI Help Center. Consultado el 5 de octubre de 2026.
7. Business data privacy, security, and compliance. OpenAI. Consultado el 5 de octubre de 2026.
8. Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative. CNIL (autoridad francesa de protección de datos), 18 de julio de 2024. En francés. Consultado el 5 de octubre de 2026.
9. Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (Reglamento general de protección de datos, RGPD). EUR-Lex. Consultado el 5 de octubre de 2026.
10. Gemini Apps Privacy Hub. Google. Consultado el 5 de octubre de 2026.
11. Updates to Consumer Terms and Privacy Policy. Anthropic, 28 de agosto de 2025. Consultado el 5 de octubre de 2026.

ChatGPT es una marca de OpenAI, Copilot de Microsoft, Claude de Anthropic y Gemini de Google. Tacite-IA no está afiliado a ninguno de estos proveedores. Artículo informativo, que no constituye asesoramiento jurídico.