Recursos / ¿Puedo subir documentos de clientes a ChatGPT?
IA generativa y protección de datos¿Puedo subir documentos de clientes a ChatGPT o Claude? Privacidad, RGPD y anonimización
Respuesta breve: depende del documento, de qué datos contiene, de la finalidad y de la configuración de la herramienta — no hay un sí o un no universal. Pero sí hay un principio que aplica casi siempre: antes de subir un documento completo, pregúntate qué información necesita realmente la IA para hacer la tarea, y quita el resto. Eso es minimización, y es la base de todo lo que sigue en esta guía.
Qué ocurre cuando introducimos un documento en una IA
Introducir un documento en una IA generativa no es un acto neutro. La Agencia Española de Protección de Datos lo explica con claridad: hay que analizar por separado la entrada (lo que subes o pegas), la salida (lo que la IA responde, que puede completar o inferir datos que no le diste), las inferencias que el modelo pueda hacer a partir del contexto, y la conservación (dónde queda ese contenido, durante cuánto tiempo y si el proveedor puede usarlo para entrenar el modelo).
Eliminar el nombre de una persona no cierra el asunto si el resto del texto sigue permitiendo identificarla por el cargo, la fecha, el centro de trabajo o el contexto. La propia AEPD lo resume así: cambiar "Juan" por "X" no siempre anonimiza.
Qué dice el principio de minimización
El artículo 5.1.c) del RGPD exige que los datos personales tratados sean "adecuados, pertinentes y limitados a lo necesario" para la finalidad concreta. Aplicado a la IA generativa, esto significa que si una tarea se puede resolver con un fragmento de texto sin identificadores, no hace falta subir el expediente completo. No es una recomendación de sentido común sin respaldo legal — es una obligación normativa que existe desde antes de que existiera ChatGPT, y que la IA generativa no deroga ni suaviza.
Qué datos pueden aparecer en un documento profesional
Antes de subir cualquier documento, conviene repasar qué tipo de información suele aparecer en él:
Identificativos básicos
Nombres, DNI/NIE, direcciones, teléfonos, emails.
Datos bancarios
IBAN, números de cuenta, domiciliaciones.
Categorías especiales
Datos médicos, de salud, o cualquier información especialmente protegida por el art. 9 RGPD.
Menores
Datos de niños y adolescentes, que requieren especial cautela.
Información laboral
Nóminas, expedientes disciplinarios, evaluaciones de desempeño.
Información judicial
Demandas, sentencias, expedientes con datos de partes y testigos.
¿Necesita realmente la IA conocer la identidad?
Esta es la pregunta que de verdad reduce el riesgo, y conviene hacérsela documento a documento. Si le pides a una IA que resuma las cláusulas de un contrato de arrendamiento, no necesita el DNI del arrendatario. Si le pides que revise la redacción de una demanda, no necesita saber quién es el demandante para valorar si un párrafo es claro. Si le pides que explique un concepto retributivo de una nómina, no necesita el nombre del trabajador ni su número de la Seguridad Social. En los tres casos, el contenido que importa para la tarea sigue intacto aunque se quiten los identificadores.
Anonimización antes de utilizar IA
Anonimizar un documento antes de subirlo a una IA consiste en eliminar (no simplemente tachar visualmente) los fragmentos que identifican a una persona, mientras se conserva el resto del contenido útil para la tarea. Es distinto de pseudonimizar (sustituir un dato por un código reversible): una anonimización real no debería permitir reconstruir la identidad ni por el dato eliminado ni por lo que queda alrededor.
Ejemplo práctico con un contrato
Un fragmento real de un contrato de prestación de servicios, antes y después de anonimizarlo:
| Antes | Después |
|---|---|
| "D. Carlos Martínez Ruiz, con DNI 45.678.912-T" | "PERSONA_1, con DNI DNI_1" |
| "en representación de Distribuciones Ruiz S.L." | "en representación de EMPRESA_1" |
| "con domicilio en Calle Alcalá 112, 3ºB, Madrid" | "con domicilio en DIRECCIÓN_1" |
El clausulado, las obligaciones y el objeto del contrato siguen siendo perfectamente legibles para que la IA los resuma o revise — lo único que desaparece es lo que no hacía falta para esa tarea.
Qué debe comprobar además el profesional
Anonimizar o minimizar es una medida real y útil, pero no sustituye automáticamente el resto de tus obligaciones. Conviene revisar también:
- Secreto profesional y deber de reserva — especialmente relevante en despachos de abogados, notarías, consultas médicas o asesorías, donde puede haber una obligación de confidencialidad independiente de si hay datos personales o no.
- Cláusulas de confidencialidad con el cliente — un contrato puede restringir con quién compartes la información, incluida una herramienta de IA.
- Secretos empresariales — precios, estrategia, código fuente o negociaciones pueden no incluir un solo dato personal y aun así ser información que no deberías subir a una herramienta externa sin control.
- Qué hace el proveedor de IA con lo que recibe — si actúa como encargado del tratamiento (art. 28 RGPD), qué instrucciones acepta, si usa los datos para entrenar el modelo, dónde los aloja y si hay transferencias internacionales. Una cuenta gratuita de uso personal no ofrece las mismas garantías que una cuenta corporativa con contrato revisado.
Cómo hacerlo con Redactex
Redactex localiza automáticamente nombres, DNI/NIE, direcciones, teléfonos, emails, IBAN y otros identificadores en un PDF, te deja revisar cada detección antes de aplicarla, y genera un documento nuevo sin ese texto — no lo tapa visualmente, lo elimina. El resultado está listo para subirlo a ChatGPT, Claude o cualquier otra herramienta con mucho menos riesgo del que tenía el original.
Sube el PDF
El documento se procesa en tu navegador; el archivo completo nunca se almacena en nuestros servidores.
Revisa las detecciones
Tú decides qué se elimina y qué se conserva, dato a dato.
Descarga y usa la IA con más tranquilidad
El documento resultante ya no contiene los identificadores que quitaste.
Preguntas frecuentes
¿Está prohibido usar ChatGPT o Claude con documentos de clientes?
No hay una prohibición genérica. Depende de qué datos contiene el documento, con qué finalidad se usa la IA, qué configuración tiene la herramienta (cuenta gratuita, cuenta empresarial, uso para entrenamiento) y qué otras obligaciones tengas (secreto profesional, contrato con el cliente, categorías especiales de datos). El principio de minimización — dar a la IA solo lo que necesita para la tarea — reduce el riesgo en la mayoría de los casos.
¿Basta con cambiar el nombre por una X para anonimizar un documento?
No necesariamente. Si el resto del documento conserva el cargo, la fecha, el centro de trabajo u otros detalles que permiten identificar a la persona por el contexto, sustituir solo el nombre no es una anonimización real. Hay que revisar el conjunto del documento, no un único campo.
¿La versión de pago de ChatGPT o Claude es más segura que la gratuita?
Puede ofrecer garantías contractuales distintas (por ejemplo, exclusión del uso de los datos para entrenar el modelo), pero eso depende de las condiciones concretas del proveedor y del plan contratado — hay que revisarlas, no darlas por hecho. Una cuenta empresarial con contrato de encargado del tratamiento no es lo mismo que una cuenta personal gratuita.
¿Anonimizar el documento resuelve todas mis obligaciones legales?
No. Reduce el riesgo de tratar datos personales innecesarios, pero no sustituye por sí sola el resto de tus obligaciones: secreto profesional, cláusulas de confidencialidad con el cliente, protección de secretos empresariales o la revisión de qué hace el proveedor de IA con la información que recibe.
Fuentes
- AEPD — "Prompts, datos personales y confidencialidad: el nuevo perímetro de riesgo de la IA generativa" (Laboratorio de Privacidad AEPD, 25/08/2026).
- AEPD — Guía de adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial.
- Reglamento (UE) 2016/679 (RGPD), artículo 5.1.c) (minimización de datos) y artículo 28 (encargado del tratamiento).
Relacionado: guía práctica para anonimizar antes de pegar en cualquier IA · qué exige el RGPD al anonimizar · para despachos de abogados · Laboratorio Redactex.