ChatGPT y el cumplimiento del Reglamento de IA: depende del uso
¿ChatGPT cumple el Reglamento de IA? Depende del uso: interno (mínimo), chatbot (art. 50) o Anexo III (alto riesgo). Con ejemplo práctico.
ChatGPT no es "de alto riesgo" ni "de riesgo mínimo" por sí mismo. El Reglamento de IA, Reglamento (UE) 2024/1689, clasifica por el uso, no por la herramienta ni por la marca. La misma cuenta de ChatGPT puede ser de riesgo mínimo para un equipo que la usa internamente y de alto riesgo si alimenta una decisión del anexo III. Esta guía separa los tres escenarios, aclara qué obligaciones recaen sobre OpenAI y cuáles sobre ti, y dónde el RGPD entra en juego.
La regla de oro: clasifica por uso
Olvídate de la etiqueta del producto. Pregunta qué hace el sistema en tu despliegue concreto. El mismo ChatGPT cae en niveles distintos:
| Uso de ChatGPT | Nivel | Tu obligación principal |
|---|---|---|
| Uso interno (redactar, resumir, programar, analizar) | Riesgo mínimo | Sin obligaciones obligatorias; alfabetización en IA (art. 4) |
| Chatbot de cara al cliente | Riesgo limitado | Transparencia: avisar de que se conversa con una IA (art. 50(1)) |
| Uso del anexo III (p. ej. cribado de CV, evaluación) | Alto riesgo | Régimen completo de alto riesgo según tu rol |
Casi todo el uso que una pyme hace de ChatGPT es interno y, por tanto, de riesgo mínimo. El nivel sube solo cuando el resultado llega a un cliente sin intermediación o cuando entra en una decisión sensible.
Escenario 1: uso interno = riesgo mínimo
Tu equipo usa ChatGPT para redactar borradores, resumir documentos, escribir o depurar código y analizar datos. Una persona revisa el resultado antes de que salga. Esto es riesgo mínimo: el Reglamento no impone obligaciones específicas para este nivel. Lo único transversal es la alfabetización en IA (artículo 4), en vigor desde el 2 de febrero de 2025 y aplicable a toda la IA: tu personal necesita una competencia básica en la herramienta —una política breve y una sesión informativa lo cubren—.
Escenario 2: chatbot de cara al cliente = transparencia del artículo 50
Si conectas ChatGPT a un chatbot con el que conversan tus clientes, entra el artículo 50(1): debes informar a la persona de que está interactuando con un sistema de IA, salvo que resulte evidente. Es un deber de transparencia ligero —un aviso claro al inicio de la conversación—, no el régimen de alto riesgo. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026 (fecha futura); el marcado de contenido sintético llega el 2 de diciembre de 2026. Las infracciones del artículo 50 se sitúan en el tramo de 15 millones de euros o el 3% (artículo 99(4)), no en el más alto.
Escenario 3: uso del anexo III = alto riesgo
Aquí cambia todo. Si usas ChatGPT (o su API) para una finalidad del anexo III —por ejemplo, cribar currículos o preseleccionar candidatos en contratación (anexo III, punto 4), evaluar a estudiantes o decidir sobre el acceso a servicios esenciales—, el sistema es de alto riesgo. Las obligaciones concretas dependen de tu rol: si lo usas tal cual eres responsable del despliegue (art. 26), pero si construyes y comercializas la función bajo tu nombre pasas a ser proveedor por la vía del artículo 25, con el régimen completo (gestión de riesgos, documentación técnica, supervisión humana, conformidad). Recuerda el plazo: el alto riesgo del anexo III sigue marcando legalmente el 2 de agosto de 2026 en el texto en vigor; el Digital Omnibus acordó (6-7 de mayo de 2026) aplazarlo al 2 de diciembre de 2027, pero a junio de 2026 ya está adoptado, pendiente de publicación en el Diario Oficial de la UE. Las nuevas fechas del aplazamiento —2 de diciembre de 2027 para el anexo III y 2 de agosto de 2028 para el anexo I— ya son de referencia.
OpenAI es el proveedor del modelo (GPAI), no tú
ChatGPT se construye sobre un modelo de uso general (GPAI). Las obligaciones de modelo de uso general —documentación técnica, información a los integradores, política de derechos de autor, resumen de los datos de entrenamiento (artículos 51 a 55)— recaen sobre OpenAI como proveedor del modelo, en vigor desde el 2 de agosto de 2025 y supervisadas por la Oficina Europea de IA. Las multas a los proveedores de modelos GPAI las impone la Comisión por la vía del artículo 101, no las autoridades nacionales. A ti, como usuario, esas obligaciones del modelo no te corresponden; lo tuyo es el sistema que despliegas o construyes encima.
El artículo 25: cuando integrar la API te convierte en proveedor
Si te limitas a usar ChatGPT, eres responsable del despliegue. Pero si tomas la API de OpenAI y construyes una función de IA que comercializas bajo tu nombre dentro de tu producto, el artículo 25 te convierte en proveedor de ese sistema, con sus obligaciones —que se disparan si la función entra en un uso del anexo III—. La línea está en si comercializas algo propio bajo tu marca o solo consumes una herramienta de terceros.
El RGPD se aplica en paralelo
El Reglamento de IA no sustituye al RGPD. Si introduces datos personales en ChatGPT —de clientes, candidatos o empleados— necesitas base jurídica, información a los interesados y un encargado del tratamiento con las garantías oportunas; valora una evaluación de impacto (RGPD, artículo 35) cuando el tratamiento sea de alto riesgo. Las dos normas conviven: clasifica el uso bajo el Reglamento de IA y, además, cumple el RGPD sobre los datos personales.
Ejemplo práctico
Brújula Digital, una empresa tecnológica de 30 personas en Sevilla (~3,1 M€ de facturación), usa ChatGPT de tres maneras. (1) Internamente, para redactar propuestas y depurar código. (2) En un chatbot de soporte en su web. (3) Estudia usarlo para preseleccionar candidatos a sus propias vacantes.
Veredictos: el uso (1) es de riesgo mínimo —solo alfabetización del artículo 4—. El uso (2) es de riesgo limitado: avisar en el chatbot de que se conversa con una IA (artículo 50(1)). El uso (3) sería de alto riesgo (anexo III, punto 4) y, como Brújula solo lo desplegaría, sería responsable del despliegue (art. 26); de momento lo aparca. En los tres casos OpenAI es el proveedor del modelo GPAI, y Brújula cumple el RGPD sobre cualquier dato personal que introduzca. Tres usos de la misma herramienta, tres niveles distintos.
Cómo ayuda Confir
Confir registra cada uso de ChatGPT por separado y devuelve el nivel —mínimo, limitado o alto riesgo— y tu rol, citando el artículo y la regla que se aplicó, y señalando cuándo el artículo 25 te convertiría en proveedor o cuándo entra el RGPD. El motor es determinista y basado en reglas: el mismo dato de entrada produce siempre el mismo resultado, sin inferencia de modelo.
Guías relacionadas
- ChatGPT en tu inventario de IA
- Transparencia del artículo 50
- Proveedor o responsable del despliegue
- Obligaciones de los modelos de uso general (GPAI)
- Clasificación de IA de selección de personal
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →