¿Es legal lo que hago con la inteligencia artificial?

Trabajando con inteligencia artificial en sistemas propios y de clientes me he hecho muchas preguntas legales, y ninguna me la respondió un vídeo de diez minutos. Aquí repaso las que me han salido de verdad y cómo las he resuelto, sin lenguaje de despacho y con un aviso por delante: no soy abogado, y esto es divulgación, no asesoramiento legal. Revisado en septiembre de 2026.

La primera duda seria me llegó con un cliente que me pidió que el asistente resumiera los correos de sus clientes para priorizar respuestas. Tenía el documento abierto y la mano en el ratón para pegarlo en el chat cuando pensé: "¿y yo puedo hacer esto con los datos de otra gente?". No lo pegué. Me fui a leer.

Desde entonces he ido acumulando preguntas y respuestas de andar por casa. Lo digo claro y sin dramatismo: no soy abogado. Cuento cómo lo he resuelto yo y en qué casos he preferido preguntar a alguien que sí lo es.

Lo que vas a encontrar aquí son las preguntas bien planteadas y unas reglas prácticas. Lo que no vas a encontrar es asesoramiento para tu caso concreto; eso, al final del artículo, tiene su propio apartado.

La respuesta corta a la pregunta del título, y a la de si es legal usar la inteligencia artificial en general: sí. Usar estas herramientas en tu trabajo o en tu empresa es legal y no necesita ningún permiso especial.

Lo que regula la ley es cómo las usas: qué datos les das, para qué decisiones las empleas y qué haces con lo que generan. Que algo sea legal no quiere decir que no tenga consecuencias.

Hay tres frentes que ordenan el resto del artículo:

1. Protección de datos, el RGPD, en cuanto metes información de personas.
2. La ley europea de inteligencia artificial, que prohíbe algunos usos y exige más en otros.
3. Derechos de autor, sobre de quién es lo generado.

Y un cuarto que casi nadie mira: las condiciones de uso de cada herramienta.

Un dato personal es cualquier información que permita identificar a una persona: un nombre, un correo, un teléfono, una dirección, un historial de compras, una matrícula. Mucho más de lo que uno piensa. Un correo de un cliente quejándose de un pedido está lleno de ellos.

La pregunta de si se puede usar ChatGPT con datos de clientes sin incumplir el RGPD (o Claude, o el que sea) tiene respuesta: se puede, pero no de cualquier manera. El RGPD, el reglamento europeo de protección de datos, exige que cualquier uso de datos personales tenga una base legal, que se informe a las personas y que se haga con garantías. Es el Reglamento (UE) 2016/679, aplicable desde mayo de 2018, y en España se completa con la Ley Orgánica 3/2018.

Conviene saber qué papel tiene cada uno. El responsable del tratamiento decide para qué se usan los datos: en mis proyectos, casi siempre el cliente. El encargado los trata por cuenta de él: yo, y también el proveedor del modelo. Cuando hay datos personales por medio, repaso cinco cosas: la base legal, el contrato de encargo con cada proveedor, si los datos salen de la Unión Europea (transferencias internacionales), cuánto tiempo se guardan y si el uso tiene riesgo alto como para hacer una evaluación de impacto.

Hay una confusión muy extendida: creer que basta con desactivar la opción de que tus conversaciones se usen para entrenar el modelo. Ayuda, pero no lo resuelve todo. Los datos siguen saliendo de tu empresa y siguen tratándose en otro sitio.

Cómo lo hago yo:

• Quito los nombres y todo lo que identifique antes de pegar nada. "Cliente A" funciona igual de bien para casi todo.
• Uso modalidades de empresa con contrato de tratamiento de datos cuando necesito trabajar con datos reales. Ese contrato es el papel que dice qué puede y qué no puede hacer el proveedor con lo que le mandas.
• Llevo lo más delicado a modelos en local, en mis propias máquinas, con Ollama, LM Studio o llama.cpp. Lo uso para documentos de particulares y para todo lo que lleve datos de empleados. Rinde peor que un modelo grande en la nube, pero nada sale de casa.

El caso de aquel cliente acabó así: los correos pasan primero por un modelo en local que sustituye nombres, correos y teléfonos por etiquetas; solo el texto ya limpio va al modelo grande para el resumen. Además, el cliente actualizó su política de privacidad para explicar el uso.

Y un límite claro: si hay datos de salud o financieros por medio, antes de meterlos en cualquier herramienta, especialista en protección de datos.

La ley europea de inteligencia artificial, el AI Act, es el Reglamento (UE) 2024/1689 y se aplica por fases, no de golpe. Lo que más me tranquilizó al leerla: a una pyme que usa herramientas corrientes le pide poco, pero no nada. Entró en vigor el 1 de agosto de 2024 y distingue entre el proveedor, quien desarrolla el sistema y lo pone en el mercado (OpenAI, Anthropic y compañía), y el responsable del despliegue, quien lo usa en su actividad. Mis clientes y yo somos lo segundo, y a ese papel le toca bastante menos.

Lo que te toca si solo usas un chat, un asistente o un chatbot para clientes:

• No emplearla en usos prohibidos, como la manipulación de personas o la puntuación social.
• Apoyar que tu gente sepa usarla con criterio.
• Ser transparente cuando alguien habla con una inteligencia artificial o recibe contenido generado por ella.

En 2026 una reforma, el llamado Ómnibus digital, retrasó las normas de alto riesgo, que incluyen usos como la selección de personal, hasta diciembre de 2027, y suavizó la obligación de formación: ahora se habla de apoyar esa formación, no de garantizar un nivel (comprobado en septiembre de 2026). Y una cosa que confunde mucho: no hay que registrarse ni pedir permiso para usar un chat.

Dónde encaja lo que hago yo: los chatbots de atención al cliente que he montado para dos clientes. Ahí aplica la transparencia: el chatbot dice desde el primer mensaje que es un asistente automático, y hay una forma sencilla de hablar con una persona. No hago nada que decida sobre personas, como filtrar currículos, y si un día me lo piden, será con alguien que sepa al lado.

Esta ley sigue cambiando. La referencia en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).

Aquí se mezclan dos preguntas que conviene separar. Una: ¿lo que genera es mío? Dos: ¿se parece demasiado a algo que ya es de otro?

Sobre la primera, lo que he entendido de los derechos de autor de lo que crea la inteligencia artificial: lo generado sin una aportación creativa humana que se note no suele estar protegido, porque la mayoría de las leyes, incluida la española, protegen obras creadas por personas. Si escribiste una frase y la máquina hizo todo lo demás, es difícil reclamarlo como obra tuya. Otra cosa es que puedas usarlo, que muchas veces sí. Y cuanto más pones tú (eliges, combinas, retocas, reescribes), más aportación propia hay. Pero la respuesta depende del caso, del país y de lo que diga el contrato con la herramienta; no hay una regla única.

Sobre la segunda: un personaje conocido, una marca, la foto de un fotógrafo o el estilo muy reconocible de un artista. Que la máquina te lo dé no quiere decir que puedas usarlo.

Mi caso: los textos del blog los escribo con ayuda del asistente, pero los reviso, reescribo y firmo yo; las imágenes generadas las uso como ilustración y nunca imitando a un artista concreto ni con logotipos ajenos. Para clientes, les explico por escrito qué parte está generada. Lo aplico a un logotipo y a fotos de producto en Las imágenes de mi negocio, hechas con inteligencia artificial.

Es un terreno que se sigue decidiendo en tribunales y leyes. Prudencia.

Cada herramienta dice qué puedes hacer con lo que produce y qué hace ella con tus datos, también si lo usas con fines comerciales. Yo trabajo con Claude, OpenAI, DeepSeek, GLM, Kimi y MiniMax, y en todas miré tres cosas: si puedo usar lo generado comercialmente, si usan mis conversaciones para entrenar y cómo se desactiva, y dónde tratan los datos. Lo apunté con fecha en una hoja y tengo pendiente repasarlo, porque estas condiciones cambian.

Ojo con los proveedores de fuera de la Unión Europea. Un ejemplo verificado: la política de privacidad de DeepSeek dice que guarda la información que recoge en servidores situados en la República Popular China (comprobado en septiembre de 2026), y la autoridad de protección de datos italiana bloqueó su aplicación en enero de 2025. Por eso con DeepSeek, GLM, Kimi y MiniMax en la nube no trabajo con datos de clientes; si quiero usar esos modelos con algo delicado, los corro en local.

Las que aplico, cada una con su porqué:

• Nunca pego en un chat contraseñas, claves ni datos de salud. Una vez fuera, no controlo dónde acaban.
• Datos de clientes, solo en cuentas de empresa con contrato de tratamiento. Es lo que da garantías por escrito.
• Lo más delicado se queda en local. Si no sale, no hay que justificar adónde fue.
• Aviso al cliente cuando interviene la inteligencia artificial en lo que le entrego. Una línea en la propuesta basta; prefiero que lo sepa por mí.
• Reviso todo lo generado antes de publicarlo. Si sale con mi nombre, la responsabilidad es mía, no del modelo.
• Apunto qué herramienta uso para qué. Si un día alguien pregunta, quiero poder contestar.

Hay casos en los que un artículo de blog, incluido este, no basta: datos sensibles, decisiones sobre personas (contratar, despedir, conceder un crédito), una marca o mucho dinero en juego, o una duda concreta de tu empresa. Yo lo hice una vez, con una consulta a una abogada especializada en protección de datos por el caso de los correos de aquel cliente, y me ahorró muchas vueltas. Leer ayuda a hacerse las preguntas correctas, pero no sustituye a quien conoce tu caso.

Si quieres ir a la fuente, los textos oficiales del RGPD y de la ley de inteligencia artificial están en EUR-Lex, la web del Diario Oficial de la Unión Europea, y la Agencia Española de Protección de Datos (AEPD) publica guías prácticas sobre tratamientos con inteligencia artificial. Son más áridos que este artículo, pero son lo que cuenta.