¿Usar ChatGPT con datos de clientes viola la LOPDP?

La primera variable es el dato mismo. La LOPDP lo clasifica en tres niveles, y cada nivel entra al mapa por una puerta distinta.

(a) Anonimizado exhaustivamente → fuera de la ley. El art. 2 lit. c de la LOPDP deja fuera de su ámbito a los «datos anonimizados, en tanto no sea posible identificar a su titular». El Reglamento para la Seudonimización, Anonimización, Bloqueo y Eliminación de Datos Personales (SPDP-SPD-2025-0030-R, firmado el 7 de agosto de 2025) permite transferir o comunicar datos «debidamente anonimizados» sin consentimiento (art. 11), pero fija un umbral alto: la anonimización debe ser exhaustiva, considerando todos los atributos que, directa o indirectamente, podrían reidentificar, incluso al combinarse con otra información (art. 8). Para datos de salud, la anonimización exige autorización previa de la SPDP (art. 10). Si el dato se puede reidentificar, vuelve al ámbito de la ley y al mapa.

(b) Personal común → dentro. Un dato personal identifica o hace identificable a una persona (art. 4 LOPDP). Pegarlo en la herramienta es un tratamiento (art. 4); enviarlo a un proveedor es una comunicación a un tercero (art. 33), que exige fin legítimo, causal de licitud y, por regla general, consentimiento. Con una cuenta de consumo no existe contrato de encargo con el proveedor: sin ese contrato, la empresa sigue siendo la única responsable del dato.

(c) Sensible o categoría especial → prohibido salvo causal tasada. El art. 25 LOPDP agrupa como categorías especiales los datos sensibles, los de niñas, niños y adolescentes, los de salud y los de personas con discapacidad. El art. 26 prohíbe el tratamiento de datos sensibles salvo circunstancias tasadas: consentimiento explícito con fines especificados, obligación laboral o de seguridad social, interés vital, datos manifiestamente públicos, orden judicial, fines de archivo o investigación, y datos de salud sujetos a la ley. Y el interés legítimo no ampara esta categoría: la Normativa general para la aplicación del interés legítimo (SPDP-SPD-2025-0041-R, R.O. Primer Suplemento 177, 3 de diciembre de 2025) lo prohíbe expresamente sobre datos sensibles y sobre datos de NNA (art. 16.1 y 16.4).

La seudonimización no exime. Un dato seudonimizado —aquel que ya no se atribuye a un titular sin información adicional— sigue siendo dato personal (art. 5 de la 0030-R) y se trata como personal común.

La segunda variable es el plan. La misma herramienta trata tus datos de forma distinta según el plan, y de ahí depende quién responde ante la ley.

La empresa que decide para qué y cómo se tratan los datos es el responsable (art. 4 LOPDP). El proveedor de IA es encargado del tratamiento (data processor — el que trata los datos por cuenta del responsable) solo si media un contrato con los contenidos mínimos del art. 41 del Reglamento General (objeto, duración, naturaleza, finalidad, categorías de datos, identificación de titulares y obligaciones del encargado, con medidas técnicas equiparables a las del responsable). Ese contrato es el Data Processing Addendum (DPA — adenda de tratamiento de datos). La empresa decide los fines y los medios — no la herramienta.

El art. 43 del Reglamento cierra la puerta de atrás: si el encargado, por cualquier causa, determina los fines y los medios del tratamiento —por ejemplo, si usa los datos para entrenar sus propios modelos—, deja de ser encargado y responde como responsable. Por eso el DPA no basta si el proveedor entrena con lo que le pegas: el contrato debe prohibir ese uso.

La tercera variable es la base. El art. 7 de la LOPDP fija ocho bases de licitud (consentimiento, obligación legal, orden judicial, misión de interés público, medidas precontractuales o contractuales, interés vital, fuentes de acceso público e interés legítimo). Para el uso ordinario de IA con datos de clientes, dos son las vías reales.

Consentimiento (art. 8 LOPDP). Debe ser libre, específico, informado e inequívoco, y revocable en cualquier momento. Un consentimiento genérico «para mejorar el servicio» no cubre pegar el dato en una herramienta de IA de un tercero en otro país: la finalidad y el destinatario deben ser conocidos por el titular (art. 33).

Interés legítimo (art. 7.8 LOPDP), desarrollado por la 0041-R. No es la vía fácil. La 0041-R hace obligatoria la evaluación de ponderación —el análisis motivado y documentado de si el tratamiento se justifica— y su omisión es una infracción grave (art. 6). La base solo aplica al sector privado (art. 2) y queda prohibida sobre datos sensibles, categorías especiales (salvo condiciones tasadas), perfiles totalmente automatizados con efectos jurídicos y datos de NNA (art. 16).

Sin base de licitud, el tratamiento es ilícito; ceder o comunicar datos sin cumplir los requisitos de la ley es una infracción grave (art. 68.3 LOPDP).

Ruta por madurez Cómo levantar bases y consentimientos entre empresas → DPA y Privacidad para Contratos B2B.

La cuarta variable es el viaje del dato. Enviar el prompt a servidores de un proveedor con sede en Estados Unidos es una transferencia internacional (art. 55 LOPDP).

Estados Unidos carece de decisión de adecuación. El art. 61 de la LOPDP obliga a la Autoridad a publicar el listado de países con nivel adecuado de protección, y el art. 56 exige una resolución motivada para declararla. A la fecha de corte (7 de julio de 2026), la SPDP no ha emitido resolución de adecuación respecto de Estados Unidos ni publicado listado de países adecuados. Es una inferencia documentada por ausencia, no una cita textual: se afirma porque el listado que la ley ordena publicar no existe.

Sin adecuación, las vías de la propia ley son: garantías adecuadas o cláusulas contractuales (art. 57), consentimiento explícito del titular tras informarle de los riesgos (art. 60.2) o alojar los datos en una región cubierta —OpenAI, por ejemplo, ofrece residencia de datos en 10 regiones para clientes de negocio, anunciada el 25 de noviembre de 2025—.

Un matiz que no exime. La Norma General de Transferencias (SPDP-SPD-2026-0004-R, firmada el 28 de enero de 2026, R.O. Tercer Suplemento 225, 13 de febrero de 2026) establece en su art. 23 que «el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales». Pero el alojamiento de los datos en Estados Unidos sigue siendo el hecho a cubrir: que el proveedor sea encargado no borra que los servidores están fuera. El régimen preferente Intra-CAN (art. 59 de la 0004-R, fundado en la Decisión 897 de la CAN) reconoce nivel adecuado a Colombia, Perú y Bolivia sin evaluación adicional, pero no alcanza a proveedores con sede en Estados Unidos.

La multa se calcula sobre el volumen de negocio del ejercicio anterior (art. 73): infracción leve, 0,1–0,7 % (art. 71); infracción grave, 0,7–1 % (art. 72). No existe techo del 2 % ni del 5 %: ambas cifras, atribuidas a la LOPDP en distintos borradores, se descartaron contra el texto oficial. El monto exacto dentro de cada rango no es discrecional: la SPDP lo fija con la metodología de la SPDP-SPD-2025-0022-R (16 de julio de 2025), cuyo modelo de cálculo aplica la fórmula PERT. El régimen sancionatorio es exigible desde el 26 de mayo de 2023 (Disposición Transitoria Primera).

Si un prompt con datos de un cliente se filtra, el art. 43 de la LOPDP —en su redacción vigente desde el 22 de mayo de 2026, por el art. 14 de la Ley Orgánica para el Fortalecimiento de la Ciberseguridad (LOFC, R.O. Quinto Suplemento 290, 22-may-2026)— obliga a notificar la vulneración a la Autoridad de Protección de Datos, al organismo de regulación y control competente y, para coordinación técnica, al CSIRT (equipo de respuesta a incidentes) correspondiente, en un término de cinco (5) días. Al titular se le notifica en tres días si hay riesgo para sus derechos (art. 46).

Si el resultado de la herramienta alimenta una decisión sobre un cliente —puntuación (scoring), selección, denegación—, el art. 20 de la LOPDP da al titular derecho a una explicación motivada, a presentar observaciones, a conocer los criterios y a impugnar la decisión.

La severidad del mapa se sostiene en honestidad sobre lo que aún falta.

No hay ley de IA vigente. El Proyecto de Ley Orgánica de Regulación y Promoción de la Inteligencia Artificial (trámite 450889, presentado el 20 de junio de 2024 por la asambleísta Patricia Núñez) está unificado en la Comisión de Educación con otras iniciativas —entre ellas la Ley para la Protección de la Voz Humana (As. Paola Cabezas)— y sin informe para primer debate a la fecha de consulta. Ecuador carece de ley de IA.

No hay listado de adecuación ni resolución sobre Estados Unidos (art. 61 LOPDP; inferencia por ausencia). Y ninguna resolución de la SPDP nombra «ChatGPT» ni producto comercial alguno: el listado oficial de resoluciones no contiene ninguna.

Pero la norma infralegal ya obliga. La Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (SPDP-SPD-2026-0009-R, firmada el 12 de febrero de 2026, R.O. 240, 10 de marzo de 2026) aplica con independencia de la ubicación del sistema o del proveedor (art. 1). La PYME que usa IA en sus procesos internos es implementador (art. 2.4) y, si presta servicios apoyada en IA, es además desplegador (art. 2.2): sujeto obligado a evaluación de impacto, registro de actividades de tratamiento y auditoría, en los arts. 5, 6 y 7: una obligación del sujeto, distinta de la facultad de auditar que el art. 10 reserva a la SPDP. La Estrategia para el Fomento del Desarrollo y Uso Ético y Responsable de la Inteligencia Artificial (EFIA-EC, Acuerdo Ministerial MINTEL-MINTEL-2025-0030, R.O. Suplemento 206, 19 de enero de 2026) es política pública, no ley.