Miles de autónomos y pequeños negocios en España usan ChatGPT u otras herramientas de IA generativa a diario con datos de clientes, facturas o comunicaciones internas, sin haberse planteado nunca qué dice la normativa española de protección de datos al respecto. La Agencia Española de Protección de Datos (AEPD) —la autoridad pública que vigila el cumplimiento del RGPD en España— ya ha publicado tanto recomendaciones específicas sobre el uso de herramientas de IA generativa como su propia política interna de uso de IA, convirtiéndose en un caso público de referencia. Esta guía traduce ese material a un lenguaje práctico para quien factura solo o con un equipo pequeño, sin presupuesto para un departamento legal propio.
Qué ha publicado la AEPD y por qué es relevante para un autónomo
La AEPD mantiene en su web oficial varios documentos directamente relevantes para cualquier negocio que use IA generativa: unas "Recomendaciones para proteger la privacidad al usar herramientas de IA", unas orientaciones específicas sobre inteligencia artificial agéntica desde la perspectiva de protección de datos, y —de forma especialmente ilustrativa— su propia política interna de uso de IA, publicada como la primera de este tipo en el sector público español. Que la propia autoridad de control se haya visto obligada a documentar por escrito cómo usa la IA internamente es la señal más clara de que esto no es un capricho burocrático: es la misma pregunta que cualquier negocio con datos de clientes debería hacerse, solo que aplicada a una organización que además supervisa el cumplimiento de todas las demás.
Los principios de la propia política interna de la AEPD, traducidos a un negocio pequeño
La nota de prensa oficial de la AEPD sobre su política interna describe varios principios que, aunque pensados para una institución grande, se traducen directamente a la escala de un autónomo o pyme. Primero, gobernanza y supervisión humana: la AEPD implementa la IA "bajo una gobernanza sólida y con supervisión humana", lo que para un negocio pequeño significa simplemente no dar por bueno automáticamente lo que genera una IA sin que una persona lo revise antes de enviarlo a un cliente o usarlo en una decisión. Segundo, análisis de riesgos: la política identifica los retos asociados a la IA generativa y establece marcos que cubren "la selección de soluciones, el tratamiento de datos personales, el diseño de casos de uso, la transparencia" — para un autónomo, esto se traduce en pensar antes de adoptar una herramienta qué datos va a manejar, no después de un incidente. Tercero, evaluación continua: la política prevé un "proceso continuo de evaluación, adaptación y mejora", es decir, revisar periódicamente cómo se está usando la IA en el negocio, no fijar una política una vez y olvidarla.
La pregunta que sí importa: usuario individual frente a responsable de datos de terceros
La distinción legal más relevante para un autónomo no es tanto "qué herramienta uso" sino "de quién son los datos que estoy metiendo en ella". Cuando alguien usa IA generativa para redactar un correo propio, resumir sus propias notas o generar ideas de contenido, actúa fundamentalmente como usuario individual con un riesgo de protección de datos bajo. La situación cambia de forma sustancial cuando ese autónomo introduce en una herramienta de IA datos de clientes, pacientes o terceros —una gestoría subiendo datos fiscales de un cliente para que una IA los resuma, un community manager pegando datos de una campaña ajena, una consulta subiendo notas de un paciente— porque ahí actúa como responsable o encargado del tratamiento de datos de otra persona, con las obligaciones de licitud, minimización y seguridad que exige el RGPD. La pregunta práctica antes de pegar cualquier dato en una IA no es "¿esto está prohibido?" sino "¿son mis datos o son de un tercero, y tengo base legal y garantías suficientes para tratarlos así?".
El riesgo del "shadow AI": lo que nadie ha decidido pero todo el mundo usa
Un patrón cada vez más señalado en el debate sobre IA y protección de datos es el llamado "shadow AI" (IA en la sombra): empleados o colaboradores de un negocio usando herramientas de IA generativa por su cuenta, sin que nadie en la organización lo haya evaluado, aprobado ni documentado. En una empresa grande esto ya es un problema de gobernanza; en un autónomo con 1-3 empleados es, en la práctica, casi inevitable si no se aborda de forma explícita, porque cualquiera puede abrir ChatGPT en el navegador sin pedir permiso a nadie. El riesgo no es que se use IA —eso es deseable si aporta valor— sino que se use sin que quien dirige el negocio sepa qué datos están pasando por ahí. La forma más simple de reducir este riesgo sin burocracia excesiva es una conversación explícita y breve con cualquier persona que trabaje en el negocio: qué herramientas de IA están permitidas, qué tipo de datos nunca deben pegarse en ellas (datos de clientes identificables, información médica o financiera de terceros, contraseñas), y a quién preguntar en caso de duda.
Plantilla mínima de política de IA para un autónomo o pyme pequeña
Sin necesidad de un documento legal extenso, una política mínima y realista para un negocio de 1 a 5 personas puede resolverse en cinco puntos por escrito, aunque sea en un documento de una página: primero, qué herramientas de IA están aprobadas para uso en el negocio (nombrarlas explícitamente evita el uso improvisado de herramientas no evaluadas); segundo, qué tipos de datos no se introducen nunca en una IA sin anonimizar antes (datos identificativos de clientes, información financiera o de salud de terceros, contraseñas o credenciales); tercero, quién revisa el resultado antes de que salga del negocio hacia un cliente (aplicando el principio de supervisión humana que la propia AEPD sigue internamente); cuarto, qué hacer si se detecta que se han introducido datos que no deberían haberse introducido (a quién avisar, qué pasos seguir); y quinto, revisar esta política al menos una vez al año o cuando se adopte una herramienta nueva, siguiendo la misma lógica de evaluación continua que aplica la propia Agencia. Este documento no sustituye asesoramiento legal para casos complejos, pero cubre el 80% de las situaciones reales de un negocio pequeño con una hora de trabajo, no con un proyecto de cumplimiento normativo completo.
Recibe nuevas guías directamente en tu correo
Nota editorial
La AEPD no solo regula el uso de IA desde fuera: ha publicado su propia política interna y recomendaciones de privacidad que sirven de modelo directo y gratuito para cualquier autónomo o pyme. La distinción que más importa en la práctica es si los datos que se introducen en una herramienta de IA son propios o de terceros, y una política mínima de una página —qué herramientas, qué datos nunca, quién revisa, qué hacer si algo falla, cuándo revisar— cubre la mayoría de los riesgos reales sin necesitar un departamento legal. Guía actualizada a agosto de 2026 contra las fuentes oficiales de la AEPD.
Fuentes consultadas
Publicidad
Sigue leyendo
¿Puedes deducir ChatGPT Plus u otras suscripciones de IA como autónomo?
La suscripción a ChatGPT Plus, Notion AI o cualquier otra herramienta de IA puede ser gasto deducible en tu IRPF — qué exige Hacienda para aceptarlo y qué pasa cuando el proveedor factura desde fuera de España
Niebla mental por IA en el trabajo: qué dice la ciencia y la ley española
Un organismo público español ya trata la supervisión constante de IA como un riesgo laboral bajo la Ley de Prevención de Riesgos Laborales — qué es la "niebla mental" por IA, por qué ocurre y qué dice la normativa
IA para transcribir reuniones: actas automáticas sin tomar notas
Deja de tomar notas en las reuniones: estas herramientas de IA transcriben, resumen y reparten tareas solas
Cómo automatizar tareas repetitivas de oficina con IA: guía práctica
Recupera horas cada semana automatizando el correo, los informes y las reuniones con herramientas de IA accesibles
Marketing con IA
Chatbot de IA en WhatsApp Business: guía y lo que ya sanciona la AEPD
Varios proveedores ya venden chatbots de IA para WhatsApp Business a pymes españolas desde unos 800€ — pero la AEPD ya ha sancionado con hasta 70.000€ el mal uso de WhatsApp con datos de clientes, y un chatbot de IA añade una capa de riesgo que ninguna guía comercial menciona
Herramientas de IA
Grabar reuniones con IA (Otter, Fireflies): qué dice la ley sobre el consentimiento
Un demandante colectivo ya lleva a Otter.ai a los tribunales en EE.UU. por grabar reuniones sin el consentimiento de todos los participantes — qué implica esto para un equipo español que usa este tipo de herramientas de transcripción automática