¿Puedo subir un contrato de cliente a ChatGPT?

Depende de tres cosas: con qué cuenta entras, qué firmaste con ese cliente y qué lleva dentro el documento. Con una cuenta personal gratuita la respuesta práctica es no, porque tu empresa no tiene contrato con nadie. Con un plan de empresa con condiciones de tratamiento de datos firmadas, un contrato de cliente que no lo prohíba y el archivo limpio, normalmente sí.

La cuenta que uses cambia la respuesta

Es la variable que más pesa y la que casi nadie mira. No es lo mismo el mismo modelo detrás de tres puertas distintas.

Cuenta personal gratuita. Quien aceptó las condiciones es una persona física, a título individual. Tu empresa no aparece en ninguna parte: no hay contrato de encargado de tratamiento, no hay compromisos de retención ni de borrado que puedas exigir, y no hay administrador que pueda ver ni cortar nada. Aunque desactives el uso del contenido para entrenar, sigues sin marco jurídico. Para documentos de clientes, esta puerta está cerrada.

Cuenta de pago individual. Pagas una cuota mensual y ganas funciones y algún control extra, pero el contrato sigue siendo de consumo, entre el proveedor y la persona. Mejor herramienta, misma ausencia de contrato de empresa. La factura a nombre de la empresa no convierte una cuenta personal en corporativa.

Plan de empresa. Aquí sí hay contrato entre dos empresas, con condiciones de tratamiento de datos (el DPA del artículo 28 del RGPD), compromiso de no usar tu contenido para entrenar, consola de administración, control de retención y, en muchos casos, elección de la región donde se procesa. Esto es lo que convierte "he subido un contrato" en algo que puedes explicar y sostener.

La regla corta: si no puedes enseñar el papel que tu empresa firmó con el proveedor, no subas documentos de clientes. Y comprueba las condiciones de tu plan concreto en la web del proveedor, porque cambian con frecuencia y lo que valía hace un año puede no valer hoy.

El RGPD es el marco que de verdad te afecta aquí

El AI Act no te dice qué puedes subir a una herramienta. Te obliga a formar a tu gente en IA (artículo 4, vigente desde el 2 de febrero de 2025) y a avisar cuando alguien interactúa con una IA o cuando publicas contenido sintético (artículo 50, vigente desde el 2 de agosto de 2026). La decisión de subir o no un contrato de cliente se juega en otro sitio: el RGPD y tu propio contrato.

Un contrato de cliente casi siempre lleva datos personales: nombre y NIF del firmante, dirección, correo, teléfono, condiciones económicas asociadas a una persona identificable. Con eso encima de la mesa, hay tres cosas concretas que mirar.

Base jurídica y finalidad. Tratas esos datos para ejecutar una relación con tu cliente. Meterlos en una herramienta nueva es un tratamiento nuevo con un destinatario nuevo, y eso hay que poder justificarlo, reflejarlo en tu registro de actividades y, si cambia la información que diste a los interesados, actualizarla.

Encargado de tratamiento. Un proveedor que procesa datos por tu cuenta tiene que estar contratado como encargado: instrucciones por escrito, medidas de seguridad, régimen de subencargados, borrado al final. Sin ese contrato no hay encargado; hay datos que salieron de tu organización sin documentar.

Transferencias internacionales. La mayoría de estos proveedores procesa fuera de la Unión Europea. Necesitas saber dónde se procesa y con qué mecanismo se cubre la transferencia. Los planes de empresa suelen permitir fijar la región; las cuentas de consumidor, no.

Lo que suele costar dinero es tu contrato con el cliente

La parte administrativa preocupa mucho y llega tarde. La que llega pronto es tu cliente, con el contrato en la mano.

Abre el acuerdo firmado y busca tres palabras: confidencialidad, terceros y subcontratación. Lo habitual es que haya una cláusula que prohíba revelar información a terceros sin autorización escrita, y una herramienta de IA a la que le entregas el documento es un tercero. En contratos con administraciones y con grandes cuentas suele haber además un anexo de seguridad con lista cerrada de proveedores autorizados. Y empiezan a aparecer cláusulas que mencionan expresamente los sistemas de IA generativa.

Este incumplimiento no lo persigue un regulador, lo persigue quien te paga. Pérdida del contrato, penalización pactada, reclamación por daños o, sin más, no renovar. Llega antes y duele más que cualquier expediente.

La salida suele ser fácil: si el contrato exige autorización escrita, pídela. Un correo de cuatro líneas diciendo qué herramienta, para qué tarea y con qué plan contratado se resuelve en un día y te deja el papel guardado. Muchos clientes dicen que sí; algunos ponen condiciones; unos pocos dicen que no, y saberlo también vale.

El archivo lleva más de lo que ves

Aunque tengas plan de empresa y permiso del cliente, subes el archivo entero, no lo que aparece en pantalla. Un documento de trabajo arrastra cosas que no pensabas entregar:

• Metadatos: autor, organización, ruta de la carpeta de origen (que a veces lleva el nombre de otro cliente), fechas de creación y modificación.
• Control de cambios y comentarios: la negociación interna completa, incluido el comentario donde alguien escribió hasta dónde estabais dispuestos a bajar.
• Versiones anteriores incrustadas, texto oculto, hojas y columnas ocultas en las hojas de cálculo, notas del orador en las presentaciones.
• En PDF, tachados que son un rectángulo negro dibujado encima: el texto sigue debajo y se copia con seleccionar y pegar.

Antes de subir nada, míralo: abre el documento y revisa comentarios, control de cambios y propiedades del archivo desde el propio Word o el visor de PDF. Y si el texto lleva datos personales, pásalo antes por Anónimo IA, nuestra herramienta gratuita que los detecta y los sustituye sin que el archivo salga de tu navegador.

Regla práctica de tres niveles

Esta es la parte que puedes convertir en norma interna de una página. Clasifica lo que tienes delante en uno de los tres niveles y actúa según el nivel, sin volver a discutirlo cada vez.

Para el nivel 2, tienes la otra herramienta gratuita: detectar y anonimizar datos personales antes de pegar un texto. Detecta nombres, NIF, teléfonos, correos e IBAN y te devuelve el texto con marcadores. Revísalo igualmente antes de usarlo, porque ningún detector automático acierta el cien por cien.

Lo que NO es verdad

"Todo lo que pegas entrena el modelo." Como regla general, es falso, y repetirlo lleva a la decisión equivocada. Depende del plan y de la configuración: en los planes de empresa de los principales proveedores el contenido de los clientes no se usa para entrenar por defecto, y en las cuentas de consumidor suele haber un ajuste para desactivarlo. Ahora bien, que no entrene no significa que no se guarde. Hay plazos de retención, hay sistemas de seguridad que revisan conversaciones marcadas y hay copias. El problema de la cuenta personal nunca fue el entrenamiento: es que no tienes contrato, ni control, ni forma de responder si alguien te pregunta qué pasó con ese documento.

"Borro el chat y ya está resuelto." Borrar la conversación elimina tu vista de ella, no el tratamiento. El dato salió de tu organización en el momento en que se envió, y a partir de ahí depende de los plazos y sistemas del proveedor, no de tu botón. Si hubo un incidente que había que valorar o notificar, borrar no lo cancela: lo empeora, porque destruyes la prueba de qué se envió exactamente y te quedas sin poder demostrar el alcance. Si el documento era de un cliente y ese cliente pregunta, "lo borré" no es una respuesta que sirva.

Lo que NO te aplica

Usar una herramienta de IA para revisar un contrato no te convierte en proveedor de IA. Eres responsable del despliegue y tus obligaciones son otras, mucho más ligeras.

Tampoco estás ante un sistema de alto riesgo. Esa lista del Anexo III es cribado de candidaturas, evaluación del desempeño, scoring crediticio, acceso a servicios esenciales, biometría y educación, y además el Ómnibus digital aplazó su exigibilidad al 2 de diciembre de 2027. Revisar un contrato no está ahí.

Y no tienes que avisar a tu cliente de que usas IA internamente para leer su contrato. El artículo 50 obliga a avisar cuando una persona interactúa con una IA y a marcar el contenido sintético que publicas, no a declarar tus herramientas de trabajo. Distinto es que tu contrato con él te obligue a pedir permiso, que es lo que hemos visto antes y sí ocurre.

Cómo dejarlo resuelto esta semana

Cuatro pasos, en este orden, y no necesitas un informe de ochenta páginas para ninguno.

• Averigua con qué cuenta trabaja cada uno hoy. Es probable que haya más herramientas de las que crees; el método para descubrirlo está en cómo detectar el shadow AI en tu empresa.
• Abre los contratos de tus tres clientes más grandes y busca confidencialidad, terceros y subcontratación. Diez minutos y sabes si tienes un problema real o teórico.
• Si vas a usarlo en serio, contrata el plan de empresa y firma las condiciones de tratamiento de datos. Es la parte más barata de todo esto y la que cambia la respuesta a la pregunta del título.
• Escribe la regla de tres niveles en una página, con ejemplos de tu negocio, y explícala en una sesión corta a quien maneja documentos de clientes. Esa formación no es opcional desde febrero de 2025, y si prefieres que la demos nosotros, está en la formación obligatoria en IA.

Si mañana un cliente te pregunta si su contrato ha pasado por una IA, la respuesta que quieres poder dar no es "no". Es "sí, con este proveedor, con este contrato firmado, con estos datos fuera y con esta gente formada".