Qué es shadow AI (y por qué no es un término legal)
"Shadow AI" no aparece en el AI Act ni en el RGPD. Es terminología de industria y ciberseguridad, calcada de "shadow IT" —el software que los empleados instalan o usan sin que TI lo sepa ni lo apruebe—, aplicada ahora a la IA generativa: empleados que usan ChatGPT, Copilot, Gemini u otras herramientas de IA para tareas de trabajo sin autorización formal ni conocimiento de TI o del área de compliance.
No es un problema de mala fe. Es, casi siempre, un problema de eficacia individual sin gobernanza colectiva: la herramienta resuelve la tarea más rápido, así que se usa. El problema no es la herramienta en sí, sino lo que ese uso no controlado implica para la empresa:
- Sin inventario, no hay forma de cumplir el artículo 4 del AI Act — no se puede alfabetizar a la plantilla sobre el uso de herramientas que la empresa ni siquiera sabe que se están usando.
- Sin acuerdo de tratamiento (versión gratuita), los datos salen sin cobertura del artículo 28 del RGPD — se detalla en el siguiente apartado.
- Sin registro de qué se introdujo, la empresa no puede responder ni a una brecha de seguridad ni a una solicitud de acceso o supresión de un interesado, porque no sabe qué datos personales llegaron a manos de un tercero ni cuándo.
El problema de fondo: la versión gratuita no tiene acuerdo de tratamiento de datos
Cuando una empresa contrata ChatGPT Team, ChatGPT Enterprise o la API de OpenAI, existe un Data Processing Addendum (DPA) en el que OpenAI se declara formalmente "Data Processor" —encargado del tratamiento, en términos del RGPD— y las transferencias internacionales de datos que ese procesamiento implica se amparan en Cláusulas Contractuales Tipo (SCC).
Ese DPA solo cubre a los clientes de API, Business o Enterprise. Las cuentas gratuitas y la versión Plus de consumo se rigen por los Términos de Uso estándar del producto, sin una relación de encargado del tratamiento equivalente. Es la diferencia entre firmar un contrato que regula qué hace OpenAI con los datos que le pasas, y simplemente aceptar unos términos de servicio pensados para un usuario particular.
| Gratuita / Plus (consumo) | Team / Enterprise / API | |
|---|---|---|
| Base contractual | Términos de Uso estándar de consumidor | Data Processing Addendum (DPA) |
| Rol de OpenAI ante el RGPD | No se declara formalmente encargado del tratamiento | Se declara "Data Processor" |
| Transferencias internacionales | Sin marco específico equivalente | Cláusulas Contractuales Tipo (SCC) |
| Cobertura del artículo 28 RGPD para la empresa | No existe una cobertura equivalente | Cubierta por el DPA |
La consecuencia es directa: un empleado que introduce datos personales de clientes o compañeros en la versión gratuita de ChatGPT lo hace sin que exista un acuerdo que ampare esa cesión. La empresa, que sigue siendo la responsable del tratamiento aunque no sea quien pulsa "enviar", incurre en un probable incumplimiento del artículo 28 del RGPD.
Sobre qué ocurre después con esos datos, el informe más autorizado a nivel de la UE es el de la Task Force ChatGPT del Comité Europeo de Protección de Datos (EDPB), publicado el 23 de mayo de 2024. Entre sus conclusiones: OpenAI se apoya en el interés legítimo (artículo 6.1.f RGPD) tanto para el scraping de datos de entrenamiento como para entrenar con las interacciones y prompts de los propios usuarios; los interesados deben ser informados con claridad de que su "Contenido" puede usarse para entrenar el modelo; la transparencia por sí sola no basta para cumplir el principio de exactitud de los datos; y, en una frase que resume bien el criterio del regulador, "la imposibilidad técnica no puede invocarse para justificar el incumplimiento" del RGPD.
Lo que dice el AI Act: alfabetización, no prohibición
El AI Act no prohíbe usar ChatGPT. La empresa que se limita a usarlo —sin reentrenarlo ni comercializarlo— es "deployer" (responsable del despliegue), no "proveedor" de un modelo de IA de propósito general. Esa obligación específica de proveedor recae en OpenAI, Microsoft o Google, no en la empresa cliente que da acceso a la herramienta a su plantilla.
Lo que sí exige, y desde hace ya más de un año, es el artículo 4 — alfabetización en IA, en vigor desde el 2 de febrero de 2025. Obliga tanto a proveedores como a deployers a adoptar medidas para garantizar un nivel suficiente de alfabetización en IA de su personal y de cualquier tercero que use el sistema en su nombre. El artículo 3(56) define "alfabetización en IA" como las capacidades, conocimientos y comprensión que permiten un uso informado de los sistemas de IA y una consciencia adecuada de sus oportunidades, riesgos y posibles daños. El artículo 4 no exige garantizar un nivel individual concreto de conocimiento en cada empleado, pero sí exige medidas —documentables, no una intención genérica.
La segunda pieza relevante es el artículo 50.4 — transparencia, que empieza a aplicarse el 2 de agosto de 2026. Obliga a los deployers que publiquen texto generado o manipulado por IA con el fin de informar al público sobre asuntos de interés público a revelar que ese texto fue generado por IA, salvo cuando el contenido ha pasado por un proceso de revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación. Es relevante, en concreto, si tu empresa usa ChatGPT para redactar notas de prensa o contenido dirigido al público sin una revisión editorial real detrás.
Lo que dice (y no dice todavía) la AEPD
Conviene ser honestos aquí: a día de hoy, la AEPD no tiene publicada una guía dedicada específicamente a "IA generativa en el entorno laboral" para empresas privadas. No existe ese documento, y conviene no citarlo como si existiera.
Lo que sí existe son dos referencias adyacentes, útiles pero no equivalentes. Primero, la guía general de 2020 "Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial", anterior a la IA generativa masiva y no específica de herramientas como ChatGPT. Segundo, la propia Política interna de uso de IA generativa de la AEPD (noviembre-diciembre de 2025), pensada para su propio personal y sin valor vinculante para terceros, pero que identifica riesgos perfectamente trasladables a cualquier empresa: "alucinaciones, sesgos algorítmicos o fugas de datos", y exige que la IA generativa se use como "herramienta de apoyo" con supervisión humana, nunca como fuente autónoma de decisión.
Ese vacío de guía específica no es una excusa para no actuar: el artículo 4 del AI Act y el artículo 28 del RGPD ya obligan, con guía de la AEPD o sin ella.
Pasos prácticos para regularizar el uso de ChatGPT en tu empresa
1. Inventariad qué IA generativa usa realmente vuestra plantilla
No lo que la política interna dice que se usa, sino lo que se usa de verdad: ChatGPT, Copilot, Gemini, plugins de IA dentro de otras herramientas. Sin este inventario, todo lo demás es teórico.
2. Migrad a una versión con DPA (Business, Enterprise o API)
Es el cambio individual que más reduce el riesgo del artículo 28 RGPD: pasar de una cuenta gratuita o Plus de consumo a un plan que sí incluya un Data Processing Addendum.
3. Formad al equipo en qué se puede y no se puede introducir (artículo 4)
Una política de "no metáis datos de clientes" es un buen punto de partida, pero el artículo 4 exige medidas de alfabetización reales, no solo una prohibición formal en un documento que nadie lee.
4. Documentad el uso como evidencia de gobernanza
Registro de qué herramienta, qué plan, quién la usa y para qué. Es la diferencia entre poder responder a una inspección o a una brecha de datos, y no tener nada que enseñar.
Preguntas frecuentes
¿Es ilegal que un empleado use ChatGPT gratuito para tareas de trabajo?
No es ilegal per se, pero si introduce datos personales de clientes o compañeros sin que exista un acuerdo de encargado del tratamiento —algo que solo cubren las versiones de pago Business, Enterprise o API—, la empresa probablemente incumple el artículo 28 del RGPD.
¿Basta con una política de "no introducir datos de clientes en ChatGPT" para cumplir el AI Act?
Es un buen primer paso pero no basta por sí solo: el artículo 4 exige medidas de alfabetización en IA adaptadas al contexto, no solo una prohibición formal, desde el 2 de febrero de 2025.
Si contratamos la versión de pago, ¿desaparece el riesgo RGPD?
Se reduce pero no desaparece: la versión de pago incluye un DPA con Cláusulas Contractuales Tipo para las transferencias internacionales, pero la empresa sigue siendo responsable del tratamiento y debe aplicar minimización, base legal e información a los interesados.
¿Puede usarse contenido de ChatGPT en comunicados públicos sin decir que es de IA?
Depende: si trata asuntos de interés público y no hay revisión editorial humana real, el artículo 50.4 (desde agosto de 2026) obliga a revelarlo; con revisión editorial humana sustantiva y responsabilidad editorial asumida, la excepción del propio artículo exime de ese etiquetado.