Herramientas de IA y RGPD: qué debe comprobar una pequeña empresa

Una herramienta de IA que responde a tus clientes, les escribe o guarda sus proyectos trata datos personales por cuenta tuya. Según el RGPD, la responsabilidad sigue siendo tuya. Cinco preguntas te dicen si una herramienta se puede usar para eso, y las respuestas están en los documentos del propio proveedor, no en su marketing. Esta guía explica qué buscar; no es asesoramiento jurídico.

Pregunta 1: ¿Firma el proveedor un acuerdo de tratamiento de datos?

Cuando un proveedor trata datos personales por ti, el artículo 28 del RGPD exige un contrato que lo obligue a seguir tus instrucciones: el DPA (acuerdo de tratamiento de datos). Sin él, los datos de clientes no deben entrar en la herramienta. Busca una página llamada “DPA” o “Data Processing Addendum”, normalmente enlazada desde la política de privacidad o el pie de página.

Pregunta 2: ¿Dónde se tratan los datos?

El tratamiento fuera de la UE está permitido, pero la transferencia necesita una base jurídica: una decisión de adecuación (para EE. UU., un proveedor certificado en el Marco de Privacidad de Datos UE-EE. UU.) o las cláusulas contractuales tipo de la UE (SCC). La política de privacidad o el DPA indican la ubicación y la garantía.

Pregunta 3: ¿Se usan tus datos para entrenar modelos de IA?

Los buenos proveedores dicen claramente que el contenido de los clientes no se usa para entrenar modelos y que los proveedores de IA con los que trabajan están obligados a lo mismo.

Pregunta 4: ¿Quiénes son los subencargados?

La mayoría de las herramientas de IA pasan tus datos a proveedores de modelos (OpenAI, Anthropic, Google y otros) y a empresas de alojamiento. Una lista publicada de subencargados, con aviso previo antes de cambiarla, te permite ver quién más maneja tus datos y oponerte.

Pregunta 5: ¿Qué pasa con los datos cuando te vas?

Comprueba cuánto tiempo se conservan los datos tras la cancelación y si puedes borrarlos o exportarlos.

Cómo se comparan las cuatro herramientas analizadas

Fuentes: la política de privacidad, el DPA y la página de seguridad de cada proveedor, consultados el 20 de octubre de 2026 y enlazados al final de cada análisis.

Qué significa esto en la práctica

• Chatbase tiene un DPA con SCC que se aplica automáticamente, así que un bot de soporte entrenado con tus páginas de ayuda es viable, siempre que tu política de privacidad lo mencione. Consulta el análisis de Chatbase (en inglés).
• Sintra AI tiene un DPA con SCC, pero no ofrece alojamiento solo en la UE ni certificado SOC 2 o ISO. Úsala para borradores de marketing y publicaciones en redes sociales, no para registros de clientes. Consulta el análisis de Sintra (en inglés).
• Submagic es una empresa de la UE con SCC, pero solo ofrece una breve cláusula de encargado en sus condiciones, sin DPA aparte, y no dice nada sobre el entrenamiento de modelos. Sirve para tus propios vídeos de marketing; pregunta antes de subir grabaciones de clientes. Consulta el análisis de Submagic (en inglés).
• Taskade indica en su política de privacidad que no firma un DPA ni SCC, y algunos modelos de IA envían las solicitudes a proveedores en China. Mantén fuera de ella los datos personales de clientes. Consulta el análisis de Taskade (en inglés).

Una checklist breve

1. ¿Entrarán en la herramienta datos personales de clientes o empleados? Si no, la mayor parte de esto no se aplica.
2. ¿Hay un DPA y se aplica a tu plan?
3. ¿Dónde se tratan los datos y con qué base jurídica se transfieren?
4. ¿Queda excluido el contenido de los clientes del entrenamiento de modelos?
5. ¿Hay una lista de subencargados?
6. ¿Aparece la herramienta en tu propia política de privacidad?

En caso de duda, pregunta al proveedor por escrito y guarda la respuesta. Si manejas datos sensibles, habla con un asesor de protección de datos antes de darte de alta.