Usar ChatGPT, Claude o Gemini en tu empresa: lo que exige Europa

Aquí hay una confesión que pone este artículo en contexto: en Helix usamos modelos de OpenAI, Anthropic y Google a diario, en nuestros productos y en los de nuestros clientes. Somos exactamente la pyme europea de la que habla este artículo. Así que lo que sigue no es teoría regulatoria: es la lista de cosas que nosotros mismos tuvimos que resolver para usar IA americana sin pisar ninguna línea, contada para que tú no tengas que descubrirlas por las malas.

Primera sorpresa: la norma europea te aplica a ti, no solo a ellos

El Reglamento de IA tiene alcance extraterritorial, y el artículo 2 lo dice con claridad: aplica a proveedores y desplegadores de terceros países "cuando el resultado producido por el sistema de IA se utilice en la Unión". Que OpenAI esté en San Francisco no deja tu chatbot fuera de la norma: te convierte a ti, la empresa española que lo despliega, en la responsable de cumplir la parte que te toca. La más inmediata es la transparencia del artículo 50, exigible desde el 2 de agosto de 2026: si tu asistente habla con personas, esas personas tienen que saber que hablan con una máquina.

Segunda sorpresa: la versión gratis y la API son productos legalmente distintos

Esta es la distinción que más problemas evita, y casi nadie la explica:

Las versiones de consumo (el ChatGPT gratuito o de suscripción personal) usan tus conversaciones para entrenar el modelo por defecto. Puedes desactivarlo, pero solo hacia adelante: lo enviado antes no se recupera. Un empleado pegando el historial de un cliente en su ChatGPT personal es, hoy, la fuga de datos más común de la IA en las pymes, y no la comete un hacker: la comete la buena intención con la herramienta equivocada.

Las versiones API y Enterprise juegan con otras reglas: los datos no se usan para entrenar, la retención por defecto es limitada (del orden de 30 días para control de abuso) y hay contrato de tratamiento de datos disponible. Anthropic, por ejemplo, incorpora su DPA con cláusulas contractuales tipo directamente en sus términos comerciales. Para volúmenes sensibles existe incluso la retención cero en endpoints concretos.

La política de empresa que nosotros aplicamos y recomendamos cabe en una frase: datos de terceros, solo por API o Enterprise con DPA firmado. La versión de consumo, para experimentos sin datos personales.

Tercera sorpresa: el puente legal con Estados Unidos está en obras (otra vez)

Los datos personales solo pueden viajar a EEUU con un mecanismo válido. Hoy existen dos: el marco de adecuación UE-EEUU (Data Privacy Framework) para empresas certificadas, y las cláusulas contractuales tipo (SCCs), que es lo que usan proveedores como Anthropic u OpenAI.

El matiz que debes conocer: el marco UE-EEUU está impugnado ante la justicia europea, y una sentencia del Tribunal Supremo estadounidense de junio de 2026 sobre la independencia de los organismos de control ha dado munición nueva a esa impugnación. Sus dos antecesores (Safe Harbor y Privacy Shield) cayeron exactamente así. No es motivo de pánico: es motivo para no construir tu cumplimiento sobre una sola pieza. DPA firmado, transferencia documentada en tu registro de tratamientos, y preferencia por proveedores con alternativas europeas. Si el marco cae, tú sigues en pie.

¿Y procesar directamente en Europa? Se puede, según con quién: Google ofrece residencia de datos nativa en regiones europeas para Gemini y Vertex AI; los modelos de Anthropic corren en centros de datos europeos vía AWS Bedrock (Fráncfort, Irlanda, París) o Google Vertex, aunque no en su servicio directo. Para sectores sensibles, la residencia europea es un criterio de selección tan legítimo como el precio.

El checklist que usamos nosotros

Cinco puntos, en orden de importancia:

1. DPA firmado con cada proveedor de IA que toque datos personales.
2. Consumer prohibido para datos de terceros: política interna escrita, no costumbre.
3. API o Enterprise para todo lo que procese información de clientes, con retención cero si el volumen sensible lo justifica.
4. Transferencia documentada en el registro de actividades de tratamiento, con su evaluación, precisamente porque el marco UE-EEUU está bajo impugnación.
5. Aviso de transparencia del artículo 50 si el sistema habla con personas.

Nada de esto exige un departamento legal. Exige una tarde de trabajo bien dirigida, y evita las dos multas más tontas del catálogo: la del RGPD por mandar datos sin mecanismo, y la del Reglamento de IA por callarte que el que responde es un bot.

Una nota necesaria: esto es divulgación técnica escrita por quienes usamos estos proveedores a diario, no asesoramiento jurídico; para tu caso concreto, habla con un abogado. Y si lo que estás decidiendo es qué proyecto de IA montar antes que con quién, empieza por cómo aplicar IA en una pyme y vuelve aquí cuando toque firmar. Ese orden también es un consejo.