Cómo usar ChatGPT o Claude con los datos de tu empresa sin perder el control

En muchas pymes, ChatGPT o Claude ya forman parte del día a día, aunque cada persona los use a su manera. Alguien pega el correo de un cliente para contestarlo mejor; otra persona sube una hoja de cálculo para que se la resuma. Funciona, pero la empresa no sabe qué datos salen, adónde van ni quién responde de ellos.

Ponerlo en orden no exige un departamento jurídico. Exige decidir qué puede ver el asistente, qué puede hacer y quién lo supervisa, y dejarlo por escrito. Esta guía está actualizada el 18 de octubre de 2026, cita las normas oficiales y es información general: no sustituye el asesoramiento de un profesional de la protección de datos.

Qué significa conectar un asistente de IA a los datos de tu empresa

Hay dos formas de darle datos a un asistente. La primera es la que casi todos usamos: copiar y pegar, o subir un archivo a la conversación. La segunda es conectarlo: le das acceso, con tu autorización, a una herramienta de la empresa, como el CRM, el gestor de proyectos o la agenda, para que consulte o haga cosas allí cuando se lo pides.

Esas conexiones se llaman conectores. Muchos usan MCP (Model Context Protocol), un estándar abierto que Anthropic presentó a finales de 2024 y que hoy admiten, entre otros, Claude y ChatGPT. Piensa en MCP como un enchufe común: la herramienta anuncia lo que sabe hacer (buscar un cliente, crear una tarea, leer una factura) y el asistente lo usa cuando lo necesita para responderte.

La diferencia importa. Cuando pegas un dato, eliges tú qué sale y cuándo. Cuando conectas una herramienta, el asistente puede pedir datos por su cuenta mientras trabaja en tu encargo y, si el conector lo permite, también escribir, crear o cambiar registros. Por eso una conexión se decide como se decide dar una llave: a quién, para qué puertas y hasta cuándo.

Siete cosas que revisar antes de conectar nada

1. Qué ve y qué puede hacer

Mira qué acceso pide el conector: solo lectura o también escritura, qué módulos y qué datos. Empieza por lo mínimo y amplía cuando haga falta. El RGPD lo llama minimización: tratar solo los datos adecuados, pertinentes y limitados a lo necesario para cada fin (artículo 5.1.c).

2. Con qué cuenta entra y cómo se corta

Es preferible que cada persona conecte con su propia cuenta, mediante un sistema de autorización estándar como OAuth, en lugar de compartir contraseñas o claves de acceso. Comprueba que el acceso se puede retirar en cualquier momento y quién puede hacerlo.

3. Qué queda registrado

Pregunta si queda constancia de lo que el asistente consultó o cambió, y a petición de quién. Las orientaciones de la AEPD sobre IA agéntica, de febrero de 2026, insisten en la trazabilidad: poder saber qué se hizo, cuándo, quién lo pidió y con qué datos.

4. Qué contrato tienes con el proveedor

Si el asistente va a tratar datos personales de clientes, empleados o proveedores, el proveedor de IA actúa como encargado del tratamiento y la relación tiene que estar regulada por un contrato (artículo 28 del RGPD). Comprueba si tu plan lo incluye, porque no todos los planes lo ofrecen. La AEPD publica unas directrices para los contratos entre responsables y encargados que sirven para revisarlo.

5. Qué hace el proveedor con tus conversaciones

Revisa en las condiciones y en los ajustes si el proveedor puede usar lo que escribes para entrenar o mejorar sus modelos, si puedes desactivarlo y cuánto tiempo guarda las conversaciones. La AEPD aconseja leer las condiciones del servicio antes de usarlo y elegir las versiones más seguras.

6. Dónde se tratan los datos

El RGPD no obliga a que los datos se queden en la Unión Europea, pero si salen del Espacio Económico Europeo, la transferencia necesita una base: una decisión de adecuación de la Comisión Europea o garantías adecuadas, como las cláusulas contractuales tipo (artículos 45 y 46). Pide al proveedor que te diga dónde trata los datos y con qué garantías.

7. Qué no se pega nunca

Datos de salud, datos bancarios, documentos de identidad, datos de menores o información confidencial de un cliente no van a un chat sin una razón clara y una base legal. La AEPD lo resume en su decálogo «Cuidado con lo que le confIAs», de enero de 2026: en el trabajo, sigue las políticas de tu organización y no incluyas datos confidenciales de la entidad, de su personal ni de sus clientes. Si solo necesitas el razonamiento, plantea un caso ficticio.

Lo que pide hoy el RGPD

El Reglamento General de Protección de Datos no tiene un capítulo propio para la IA: se aplica como a cualquier otro tratamiento. Al usar un asistente con datos personales, estas son las preguntas que te tocan:

• Base legal (artículo 6): ¿con qué base tratas esos datos para esa finalidad?
• Minimización (artículo 5.1.c): ¿necesita el asistente todos esos datos?
• Encargado del tratamiento (artículo 28): ¿hay contrato con el proveedor?
• Seguridad (artículo 32): ¿quién accede, con qué cuenta y qué queda registrado?
• Evaluación de impacto (artículo 35): si el tratamiento puede entrañar un alto riesgo para las personas, hay que evaluarlo antes. La AEPD aclara que usar agentes de IA no obliga por sí solo a hacerla: depende del tratamiento.
• Decisiones automatizadas (artículo 22): las personas tienen derecho, con excepciones, a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que les afecte de forma significativa. Regla práctica: la IA propone y una persona decide.

Si en tu empresa hay representación legal de los trabajadores, el artículo 64.4.d del Estatuto de los Trabajadores le da derecho a que le informes de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre las condiciones de trabajo y sobre el acceso y mantenimiento del empleo, incluida la elaboración de perfiles.

Qué exige ya el Reglamento europeo de IA a quien usa IA

El Reglamento (UE) 2024/1689, de inteligencia artificial, se aplica por fases, y en julio de 2026 se reformó con el Reglamento (UE) 2026/1744, el llamado ómnibus digital sobre IA. Si tu empresa usa ChatGPT o Claude en su trabajo, para el reglamento es «responsable del despliegue»: quien usa un sistema de IA bajo su propia autoridad, fuera de una actividad personal no profesional (artículo 3). Esto es lo que te afecta a 18 de octubre de 2026.

Desde el 2 de febrero de 2025: alfabetización y prácticas prohibidas

Alfabetización en IA (artículo 4). Desde el 27 de julio de 2026, con la reforma, el artículo dice que proveedores y responsables del despliegue adoptarán medidas para apoyar la alfabetización en IA de su personal y de quienes usan estos sistemas en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso. No exige garantizar un nivel concreto en cada persona, pero sí poner medidas: una formación breve, unas normas de uso, ejemplos de lo que se hace y de lo que no.

Prácticas prohibidas (artículo 5). La que más cerca le queda a una empresa corriente: está prohibido usar sistemas de IA para inferir las emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad (artículo 5.1.f). No uses herramientas que deduzcan el estado de ánimo de tu equipo a partir de su voz o de su cara.

Desde el 2 de agosto de 2026: transparencia

Si usas IA para generar o manipular imágenes, audio o vídeo que puedan pasar por reales (una ultrasuplantación, en el lenguaje del reglamento), tienes que decir que son artificiales. Si publicas texto generado por IA para informar al público sobre asuntos de interés público, también, salvo que haya pasado por revisión humana o control editorial y alguien asuma la responsabilidad editorial (artículo 50.4).

Desde el 2 de diciembre de 2027: usos de alto riesgo

Algunos usos se consideran de alto riesgo y traen obligaciones adicionales para quien los despliega: encomendar la supervisión humana a personas con la formación y la autoridad necesarias, conservar los registros que genere el sistema e informar a los trabajadores y a sus representantes antes de usarlo en el lugar de trabajo (artículo 26). Para una pyme, los más probables son los de empleo: usar IA para seleccionar personal (anuncios dirigidos, filtrar candidaturas, evaluar candidatos) o para decidir sobre condiciones de trabajo, ascensos o despidos, asignar tareas según el comportamiento o supervisar y evaluar el rendimiento (anexo III, punto 4).

Esas obligaciones iban a aplicarse el 2 de agosto de 2026; el ómnibus digital las ha aplazado al 2 de diciembre de 2027 para los usos del anexo III. Si ya usas IA en alguno de esos procesos, no esperes: que una persona revise y decida, y documenta cómo lo haces. Te sirve hoy para el RGPD y el Estatuto de los Trabajadores, y mañana para el reglamento de IA.

Un plan para la primera semana

No hace falta un proyecto de meses. Con una semana bien aprovechada pasas de que cada uno haga lo que puede a tener unas reglas claras:

1. Lunes: inventario. Pregunta a tu equipo qué asistentes usa, con qué cuenta (personal o de empresa) y para qué tareas. Sin reproches: se trata de saberlo.
2. Martes: herramienta y plan. Elige el asistente de la empresa y un plan que incluya contrato de encargo del tratamiento y te deje decidir si tus datos se usan para entrenar modelos.
3. Miércoles: una norma de una página. Qué se puede hacer, qué datos no se pegan nunca, quién aprueba conexiones nuevas y que las decisiones sobre personas las toma una persona.
4. Jueves: una sola conexión de prueba. Conecta una herramienta, con el mínimo acceso, para una o dos personas. Comprueba qué ve el asistente, qué queda registrado y cómo se desconecta.
5. Viernes: una hora de formación. Con casos reales, o ficticios cuando haya datos personales. Apunta la fecha, quién asistió y qué se vio: es una forma sencilla de documentar las medidas de alfabetización del artículo 4.

Al mes, repasa qué conexiones siguen activas, quién las usa y si alguna sobra. Si estás ordenando también el resto de herramientas, te puede servir la guía sobre cómo digitalizar una pyme paso a paso.

Conectar Claude o ChatGPT a UTILIA OS

Si tu empresa trabaja con UTILIA OS, puedes conectar tu Claude o tu ChatGPT a tu empresa; también Cursor y Gemini CLI. Los conectores usan OAuth 2.1 con PKCE: cada persona conecta Claude o ChatGPT con su propia cuenta y puede desconectarlo cuando quiera. Claude y ChatGPT piden un plan de pago de esos servicios. Lo explicamos en la página para crecer.

Además, UTILIA OS lleva IA de serie, con una bolsa incluida en cada plan; los detalles están en precios. Antes de conectar nada, aplica la lista de esta guía: decide quién lo conecta, para qué y qué datos de la empresa va a consultar.