Qué hace ChatGPT con los datos de tu empresa

Alguien de tu equipo pega en ChatGPT el contrato de un cliente para que se lo resuma. La cuenta es suya, quizá la pague él o quizá la empresa con la tarjeta, y nadie se ha preguntado qué pasa con ese texto después. La respuesta depende menos de la herramienta que del tipo de cuenta y del contrato que haya detrás.

Este artículo repasa lo que dicen las páginas oficiales de OpenAI sobre cuatro asuntos: si entrena con tus datos, cuánto los guarda, si pueden quedarse en la Unión Europea y qué contrato de encargo de tratamiento ofrece. Es una foto a 5 de octubre de 2026. Forma parte de una serie de cuatro: Claude, Gemini y Copilot. Estas páginas cambian a menudo, así que antes de decidir nada abre los enlaces del pie.

Dos ideas atraviesan todo lo que viene. «No entrenar» no significa «no guardar». Y el plan personal de un empleado, aunque lo pague, no tiene las condiciones del plan de empresa.

La frontera es la cuenta, no lo que pagas

OpenAI distingue sus servicios para particulares, como ChatGPT, de ChatGPT Business, Enterprise, Edu y su API¹. Nuestra lectura es que la línea la marcan el tipo de cuenta y el contrato. Lo que lleva a tu empresa al otro lado es contratar un plan de empresa o la API; pagar una suscripción individual con la tarjeta de la empresa no cambia esa cuenta de lado. Si un empleado usa su ChatGPT personal para trabajar, rige lo que él aceptó como particular.

Si entrena con lo que escribes

Cuando un fabricante dice que no entrena con tus datos, habla de eso y sólo de eso: no dice cuánto tiempo los guarda.

En los servicios para particulares, OpenAI puede usar tu contenido para entrenar sus modelos¹. Para evitarlo, su ayuda indica apagar «Improve the model for everyone» en Settings > Data controls¹, pero no dice de forma literal si esa opción viene activada de serie: conviene mirarla en cada cuenta. Aunque la apagues, si valoras una respuesta con el pulgar, la conversación entera asociada puede usarse para entrenar¹.

Con ChatGPT Business, Enterprise y la API, por defecto no entrena¹.

Cuánto lo guarda

De un chat temporal, OpenAI puede guardar una copia hasta 30 días por seguridad².

En Business, las conversaciones borradas o no guardadas desaparecen de sus sistemas en 30 días, salvo que la ley obligue a conservarlas más o que hacerlo sea razonablemente necesario para proteger sus servicios o a terceros de algún daño³. Esa misma página de privacidad para empresas se contradice en un detalle: en el resumen atribuye el control del plazo de conservación sólo a Enterprise, Healthcare y Edu³, y en las preguntas frecuentes de Business dice que sus administradores también pueden controlarlo³. Si vas a contratar Business, pide que te lo confirmen por escrito.

Con la API, salvo ciertos endpoints y funciones que lista su documentación, OpenAI puede conservar las entradas y las salidas hasta 30 días para prestar el servicio y detectar abusos³. Si tu caso lo justifica, puedes pedir retención cero (ZDR) en las funciones que la admiten³.

Si los datos pueden quedarse en Europa

La residencia de datos es el compromiso de guardar los datos en una región concreta. Que se guarden allí no siempre quiere decir que se procesen allí⁵.

Los clientes de Enterprise, Edu, Healthcare y de la API que cumplan los requisitos pueden guardar en Europa el contenido sensible⁴ y optar por que el modelo procese dentro de la región, en EE. UU. o en Europa⁴. Business no figura en esa lista, aunque ninguna frase lo excluye: si te importa, pregúntalo antes de contratar.

La API tiene letra pequeña. Para una región que no sea EE. UU. hay que ser aprobado para los controles de vigilancia de abusos y firmar un anexo de retención modificada⁵; la residencia lleva un 10% de recargo en los modelos que la admiten publicados desde el 5 de marzo de 2026⁵; y no cubre los datos de sistema, que pueden procesarse y guardarse fuera de la región elegida⁵.

El contrato de encargo

El encargo de tratamiento, que en las condiciones en inglés aparece como DPA (Data Processing Addendum), es el contrato por el que el proveedor se compromete a tratar los datos personales que le pasas sólo por cuenta de tu empresa y según sus instrucciones⁶.

OpenAI lo firma con los clientes de Business, Enterprise y la API³. En él actúa como encargado⁶, y si tu empresa está en el Espacio Económico Europeo o en Suiza, la otra parte del contrato es OpenAI Ireland Ltd.⁶. Pídelo, mira qué sociedad lo firma y archívalo con la fecha.

Lo que conviene revisar

• Con qué correo entra cada persona. Si es una dirección personal, sospecha de un plan personal y compruébalo en los ajustes de la cuenta.
• Los gastos de los últimos meses: cada suscripción individual es una cuenta personal más que añadir al inventario.
• Si alguien va a seguir con su cuenta personal para tareas sin datos sensibles, que al menos apague el uso para entrenar, si la herramienta lo permite, y no pulse los botones de valoración.

Hay cosas que, en nuestra opinión, no deberían entrar nunca en un asistente con cuenta personal: datos que identifiquen a clientes, proveedores o empleados; salud, nóminas o asuntos de recursos humanos; contratos, ofertas y precios que todavía no son públicos; contraseñas y claves de API; y cuentas o cifras internas que no quieras ver fuera.

Ponle fecha de revisión. Esta foto es del 5 de octubre de 2026: vuelve a leer las condiciones cada seis meses y cada vez que el proveedor anuncie cambios.