¿Es lícito tratar datos personales con ChatGPT?

⏱️ Tiempo de lectura: 13 min · 📁 Categoría: KVKK y cumplimiento digital

¿Es lícito tratar datos personales con ChatGPT? (Guía clara y detallada sobre la KVKK – 2026)

«¿Podemos introducir datos de clientes en ChatGPT?», «¿Podemos pedir a ChatGPT que analice el currículo de un empleado?», «¿Usar ChatGPT infringe la KVKK?»
Estas preguntas figuran entre los principales temas de riesgo del uso interno empresarial en 2025–2026.
La respuesta breve no es sencilla: existe el riesgo de infracción grave si el marco jurídico no se establece correctamente.

Esta guía aborda el encaje de ChatGPT en la KVKK, los usos generalmente seguros, los usos de alto riesgo,
el consentimiento explícito, las transferencias de datos y la responsabilidad y una hoja de ruta de cumplimiento aplicable a las empresas.

1️⃣ Respuesta clara a la pregunta básica 🔑 Respuesta breve: Usar ChatGPT no infringe, por sí solo, la KVKK.
🔴 Sin embargo: Introducir datos personales en ChatGPT puede constituir tratamiento de datos en virtud de la KVKK y está sujeto a condiciones estrictas.

La KVKK regula no la herramienta en sí, sino cómo se tratan los datos, adónde se transfieren y con qué finalidad se utilizan.
Por lo tanto, la cuestión crítica es:
«¿Qué proporcionamos a ChatGPT, con qué finalidad, con qué base jurídica y adónde van los datos?»

2️⃣ ¿Qué es ChatGPT en términos de KVKK?

En la práctica, en la mayoría de los escenarios, ChatGPT y servicios similares de IA generativa son:

• Herramientas de software / IA (proveedores de servicios)
• Si tratan datos por cuenta de la empresa, próximos al papel de encargado del tratamiento según la descripción del artículo
• La empresa que utiliza la herramienta suele ser el responsable del tratamiento

Consecuencia práctica: La responsabilidad suele recaer en la empresa responsable del tratamiento.
Decir «lo hizo ChatGPT» o «la herramienta lo generó automáticamente» no elimina las obligaciones del responsable del tratamiento. 3️⃣ ¿Cuándo entran los datos introducidos en ChatGPT en el ámbito de la KVKK? Umbral de identificabilidad

La KVKK resulta pertinente si se da alguna de las siguientes situaciones:

• La información identifica a una persona física: nombre, correo, teléfono, número de identidad turco (TCKN), número de cliente o de empleado, por ejemplo
• Una persona es identificable indirectamente mediante combinaciones como equipo pequeño + función + ubicación
• Los contenidos, como textos, currículos, correos, grabaciones o mensajes, se refieren a una persona física
• Un resultado afecta a una persona física, por ejemplo mediante descarte, puntuación o clasificación de riesgos

❗ Límite: "¿Puede identificarse a una persona?"
Sí → Existe riesgo vinculado a la KVKK. No → La exposición a la KVKK disminuye, aunque pueden persistir riesgos para los secretos comerciales. 4️⃣ Usos de ChatGPT generalmente seguros ✅ 1) Usos sin Datos Personales

• Blog, texto publicitario, descripción del producto, borrador de presentación
• Análisis jurídico/técnico general (sin datos personales)
• Generación de código / depuración sin datos personales ni claves secretas
• Escenarios ficticios

El riesgo vinculado a la KVKK suele ser bajo en estos escenarios. En el uso empresarial deben considerarse los secretos comerciales y la confidencialidad al definir
qué información no debe compartirse; se recomienda una lista escrita.

✅ 2) Datos anonimizados o enmascarados

• Nombres y datos de contacto eliminados
• Identificadores enmascarados, por ejemplo «Cliente-001»
• Identificadores de personas y organizaciones eliminados del texto

⚠️ Punto esencial: El riesgo persiste si el enmascaramiento es reversible o el texto sigue permitiendo identificar indirectamente a la persona.
«Pensábamos que era anónimo» es una defensa débil en una auditoría. 5️⃣ Usos de ChatGPT potencialmente de alto riesgo o ilícitos 🔴 1) Cargar currículos sin modificar en ChatGPT

• Evaluación de contratación / comparación de candidatos
• Descarte automático / puntuación
• Comentarios sobre candidatos y elaboración de perfiles

Motivo del riesgo: La identificabilidad, las transferencias internacionales en muchos servicios y los efectos de perfiles o decisiones automáticas concurren.
Si la base jurídica y los controles del proceso no están claros, el riesgo de infracción es elevado. 🔴 2) Pedir a ChatGPT que analice datos de clientes o empleados

• Copiar correos de reclamación para obtener resúmenes
• Cargar transcripciones de conversaciones del centro de atención
• Solicitar el análisis de notas de evaluación del desempeño

Esto aumenta los riesgos de tratamiento ajeno a la finalidad, de vulneración de la minimización y de compromiso de la seguridad de los datos.
Los procesos deben contemplar también los derechos de los interesados: acceso, rectificación y oposición.

🔴 3) Decisiones automáticas / elaboración de perfiles sin intervención humana

Si resultados como «esta persona no es adecuada» o «este cliente presenta riesgo» afectan a una persona física, aumenta la necesidad de
supervisión humana y de decisiones justificables.

Indicador de alto riesgo: Si el resultado determina por sí solo la decisión y no existe mecanismo de impugnación o revisión,
la posición de la empresa en una auditoría se debilita considerablemente. 6️⃣ ¿Se requiere consentimiento explícito para usar ChatGPT? 🔑 Respuesta: No siempre; depende del escenario. En muchos escenarios comerciales, sin embargo, puede ser necesario el consentimiento explícito.

Situaciones típicas que aumentan la necesidad de consentimiento explícito:

• Si el tratamiento no es directamente necesario para celebrar o ejecutar el contrato
• Si categorías especiales de datos personales como datos de salud se tratan
• Si los datos se utilizan para finalidades secundarias como análisis, interpretación o elaboración de perfiles
• Si los datos se utilizan para entrenar o mejorar el modelo

❌ Advertencia: Un consentimiento genérico para el uso de IA es arriesgado.
El consentimiento explícito debe ser específico, informado, libremente otorgado y revocable. 7️⃣ Cuestión esencial: transferencias internacionales de datos

ChatGPT y servicios similares se basan principalmente en la nube, y las ubicaciones de infraestructura pueden estar en el extranjero.
Esto genera un riesgo de transferencia de datos personales al extranjero.

• ¿A qué país o países van los datos?
• ¿Quiénes son los subencargados del tratamiento?
• ¿Cuánto tiempo se conservan los datos?
• ¿Los registros o datos de telemetría contienen datos personales?

Pregunta esencial en la auditoría: «¿Adónde van estos datos, quién puede acceder y con qué mecanismo de transferencia?»
Alegar uso interno empresarial no elimina automáticamente el riesgo de transferencia internacional. 8️⃣ ¿Es válida la defensa del "uso interno"?

Defensas como "lo hicimos para uso interno", "Nadie lo ha visto" por sí solo no son suficientes.
Para la KVKK, lo que importa es el sistema que recibe los datos, quién puede acceder,
la finalidad del tratamiento y si medidas de seguridad se aplican.

9️⃣ Perspectiva de 2026: ¿qué hace defendible el uso de IA en una auditoría?

En la perspectiva del artículo para 2026, «usamos IA» no basta; se exige uso controlado y demostrable de IA.
Elementos que refuerzan la posición de la empresa en una auditoría:

• Inventario de casos de uso (¿quién utiliza qué herramienta y con qué finalidad?)
• Clasificación de los datos (lista de datos prohibidos / datos sensibles)
• Matriz de bases jurídicas (artículos 5 y 6 de la KVKK)
• Información de privacidad y política interna (política de uso de IA)
• Medidas técnicas (DLP, enmascaramiento, control de acceso)
• Intervención humana (decisiones con alto impacto)
• Registros y pruebas (¿quién hizo qué y cuándo?)

🔟 ChatGPT + Hoja de ruta de cumplimiento de KVKK para las empresas

1. Mapa de casos de uso: ¿En qué proceso se usa ChatGPT y con qué finalidad?
2. Inventario de datos: Clasifique los datos introducidos en los prompts como datos personales, categorías especiales de datos personales o secretos comerciales.
3. Lista de datos prohibidos: Establezca una regla de «no introducir» para contenidos como currículos, documentos de identidad, datos de salud y reclamaciones de clientes.
4. Norma de enmascaramiento: Elimine nombres y datos de contacto y compruebe los identificadores indirectos.
5. Evaluación de transferencias: Aclare los riesgos de transferencia internacional y los controles contractuales y técnicos.
6. Supervisión humana: No deje las decisiones solo a la IA en resultados de perfiles, descarte o puntuación.
7. Registro: Registre uso, finalidad, fecha y hora, con seguimiento por usuario o rol.
8. Política y formación: Política de uso de IA, formación de equipos y lista de herramientas aprobadas.

1️⃣1️⃣ Errores peligrosos más comunes

• Copiar y pegar CVs, emails de clientes o registros de quejas tal como son
• Actuando asumiendo que "ChatGPT es secreto, no compartido"
• Añadir consentimiento explícito a un texto general y presumir su validez
• No enmascarar ni anonimizar los datos
• No registrar el uso; el riesgo aumenta sin pruebas

✅ Resumen para directivos

• ✔ El uso de ChatGPT no está prohibido.
• ❌ Introducir datos personales sin controles es arriesgado.
• ✔ Anonimizar o enmascarar los datos hace el uso más seguro.
• ❌ Las decisiones automáticas sin intervención humana implican riesgo elevado.

🧠 Opinión clara del experto

Para la KVKK, la pregunta no es «¿Usó ChatGPT?», sino «¿Qué proporcionó a ChatGPT?» Esa es la pregunta esencial.
Un uso bien diseñado mejora la eficiencia y hace el riesgo manejable.
El uso indebido aumenta el riesgo de sanciones administrativas, daños reputacionales y hallazgos desfavorables en auditoría.

Preparemos su política de uso de ChatGPT e IA y su hoja de ruta de cumplimiento de la KVKK