¿Puedo pegar datos de huéspedes en ChatGPT u otra IA? Lo que dicen el RGPD y las autoridades de protección de datos (2026)

Actualizada: 10 de noviembre de 2026

Copiar el correo de un huésped en ChatGPT para que redacte la respuesta, o pegar la lista de llegadas para que la IA la ordene, ahorra tiempo. Pero ese correo y esa lista son datos personales de los que tu alojamiento es responsable. Esta guía resume lo que dicen el Reglamento General de Protección de Datos (RGPD), las autoridades de España, Italia, Portugal y Grecia, el Comité Europeo de Protección de Datos (CEPD) y las condiciones oficiales de OpenAI, Google y Microsoft, comprobadas el 10 de noviembre de 2026. Lo que no hemos podido confirmar lo marcamos como «sin confirmar». No es asesoramiento jurídico: ante una duda concreta, consulta con tu asesor o tu delegado de protección de datos.

La respuesta corta

Lo esencial:

No hay una prohibición general de usar IA, pero el RGPD se aplica igual: solo los datos necesarios, con seguridad adecuada y con un proveedor que actúe como encargado con contrato.
En las versiones personales o gratuitas de los asistentes no firmas ese contrato y, según sus propias condiciones, lo que escribes puede usarse para entrenar o leerlo un revisor humano.
Las versiones de empresa (ChatGPT Business o Enterprise, Copilot con cuenta de trabajo, la API) no entrenan con tus datos por defecto y ofrecen un acuerdo de tratamiento de datos (DPA).
Regla práctica: si no tienes versión de empresa con DPA, no pegues nada que identifique a un huésped. Nunca DNI, pasaporte ni tarjetas.
Si usas IA con datos de huéspedes, anótalo en tu registro de actividades y en tu información de privacidad.

Lo que dice el RGPD

Los artículos que importan cuando un empleado pega datos de un huésped en una IA:

Art. 5.1.c, minimización: los datos deben ser «adecuados, pertinentes y limitados a lo necesario». Para que la IA mejore el tono de un correo no hace falta el nombre ni el número de reserva.
Art. 5.1.f y art. 32: seguridad adecuada con medidas técnicas y organizativas; el art. 32 cita expresamente la seudonimización y el cifrado.
Art. 6.1: todo tratamiento necesita una de las seis bases jurídicas (por ejemplo, la ejecución del contrato de reserva). Que el uso sea cómodo no es una base.
Art. 28: solo puedes usar encargados que ofrezcan «garantías suficientes» y con un contrato que fije que tratan los datos siguiendo tus instrucciones documentadas, con confidencialidad, y que los suprimen o devuelven al final.
Art. 30: el registro de actividades debe incluir las categorías de destinatarios y las transferencias a terceros países.
Arts. 44 a 46: si los datos salen del Espacio Económico Europeo (muchos proveedores de IA son estadounidenses), hace falta una decisión de adecuación de la Comisión o garantías como las cláusulas tipo. Revisa qué mecanismo indica el DPA del proveedor.

Versión gratuita o personal frente a versión de empresa

Lo que dicen las condiciones oficiales de cada proveedor:

OpenAI (ChatGPT): en los servicios individuales «podemos usar tu contenido para entrenar nuestros modelos», salvo que lo desactives en los controles de datos o en su portal de privacidad; los chats temporales no se usan para entrenar. En los productos para empresas (Team o Business, Enterprise y API) no entrena por defecto, ofrece firmar un Data Processing Addendum y, para clientes elegibles de Enterprise, Edu y API, guardar los datos en Europa.
Google (Gemini): en la app personal, una parte de los chats la leen revisores humanos y Google pide no escribir datos confidenciales o que no quieras que vea un revisor. Si desactivas «Actividad» (Keep Activity), los chats futuros no entrenan sus modelos, pero se guardan 72 horas. Con cuenta de trabajo pueden aplicarse otras condiciones; cuáles exactamente en Google Workspace: sin confirmar.
Microsoft (Copilot y Copilot Chat): cuando lo usa una organización, se rige por el Data Protection Addendum y los Product Terms, con Microsoft como encargado, y los prompts y respuestas no entrenan los modelos fundacionales. Ojo: en las búsquedas web que hace Copilot (Bing), Microsoft actúa como responsable independiente. Condiciones de Copilot con cuenta personal: sin confirmar.
Desactivar el entrenamiento en una cuenta personal reduce riesgos, pero no convierte al proveedor en tu encargado con contrato del artículo 28.

Lo que han dicho las autoridades

Ninguna autoridad ha publicado una guía específica para hoteles; esto es lo más cercano:

AEPD (España): en sus recomendaciones para usuarios de chatbots pide «no dar datos personales de terceros si hay dudas de que el tratamiento va a trascender el ámbito doméstico», dar los mínimos datos y comprobar si el chatbot sigue aprendiendo de las conversaciones. Un hotel no es ámbito doméstico. En abril de 2023 abrió una investigación de oficio a OpenAI.
Garante (Italia): el 2 de noviembre de 2024 (provvedimento n. 755) multó a OpenAI con 15 millones de euros, entre otras cosas por entrenar ChatGPT con datos de usuarios sin base jurídica adecuada y por no notificar una brecha de marzo de 2023. El Tribunal de Roma anuló la decisión el 18 de marzo de 2026 porque, desde febrero de 2024, el competente era la autoridad irlandesa; no entró en el fondo. Si hay recurso: sin confirmar.
CEPD: su grupo de trabajo sobre ChatGPT (informe de mayo de 2024) recordó que lo que escriben los usuarios se usa para entrenar y que la responsabilidad del RGPD no puede trasladarse a los usuarios. Su Dictamen 28/2024 (18 de diciembre de 2024) trata los datos personales en los modelos de IA y se dirige sobre todo a quien los desarrolla.
CNPD (Portugal): difundió en abril de 2025 la guía del CEPD sobre riesgos de los grandes modelos de lenguaje, que según la CNPD «introducen riesgos significativos para la privacidad»; entre sus ejemplos hay un chatbot de atención al cliente.
ΑΠΔΠΧ (Grecia): publicó en abril de 2025 material formativo sobre IA y RGPD. Una guía griega específica sobre pegar datos en chatbots: no encontrada.

Qué puedes pegar y qué no

Consejos prácticos que se deducen de las normas y de las condiciones de los proveedores:

Anonimiza antes de pegar: quita nombre, correo, teléfono, número de reserva y fechas exactas; escribe «huésped A, llega el día X». Para mejorar el tono de una respuesta, basta con el texto sin datos.
Nunca pegues ni subas fotos de DNI o pasaporte, números de tarjeta ni listados del registro de viajeros. Tampoco los necesitas para nada que haga una IA.
Cuidado especial con datos de salud (alergias, movilidad reducida, embarazo) y con datos de menores.
No subas exportaciones completas del PMS (listas de llegadas, bases de clientes) a una cuenta personal.
Usa cuentas de empresa, no la cuenta personal de cada empleado, y desactiva el entrenamiento donde se pueda.

Si vas a usar IA con datos de huéspedes

Pasos razonables antes de empezar:

Elige una versión de empresa y firma o acepta su DPA; guárdalo con tus otros contratos de encargado.
Revisa en el DPA dónde se guardan los datos, cuánto tiempo y con qué mecanismo de transferencia (arts. 44 a 46).
Actualiza tu registro de actividades: el proveedor de IA como destinatario y, si procede, la transferencia fuera del EEE.
Actualiza tu información de privacidad (destinatarios y transferencias) y escribe una norma interna corta: qué herramienta, para qué y qué datos nunca.
Forma a recepción y reservas: la mayoría de los riesgos vienen de un copiar y pegar con prisas.

Cómo ayuda iQuota

iQuota publica los datos de tu alojamiento, no los de tus huéspedes, para que los asistentes de IA que ya usan los viajeros los lean bien:

La página de reserva que crea iQuota no pide documento de identidad ni datos de tarjeta: el pago se hace en el alojamiento.
Nadie puede garantizar que una IA concreta te muestre o te recomiende.

Para leer a seguir

Guías relacionadas:

La política de privacidad de tu hotel y la copia del DNI de los huéspedes: /politica-privacidad-hotel-copia-dni-huespedes-2026.
El chatbot de IA de tu hotel y el Reglamento europeo de IA: /chatbot-ia-web-hotel-reglamento-ia-aviso-2026.

¿Quieres que las IA den tus datos y condiciones reales, con reserva directa y sin comisión? Los primeros 30 hoteles entran gratis hasta el 30 de junio de 2027.

Ver el programa Hoteles Fundadores

Preguntas frecuentes

¿Puedo usar ChatGPT gratis para contestar correos de huéspedes?

Sí, si no pegas datos que identifiquen al huésped: quita nombre, correo, teléfono y número de reserva. Con datos personales, lo prudente es una versión de empresa con contrato de encargado (DPA).

¿Basta con desactivar el entrenamiento en mi cuenta personal?

Ayuda, pero no sustituye el contrato de encargado del artículo 28 del RGPD. En Gemini, además, los chats se guardan 72 horas aunque desactives la actividad.

¿Qué pasó con la multa del Garante a OpenAI?

El Garante impuso 15 millones de euros en 2024 (provvedimento n. 755). El Tribunal de Roma la anuló el 18 de marzo de 2026 por falta de competencia, sin pronunciarse sobre el fondo.

¿Tengo que contarlo en mi política de privacidad?

Si un proveedor de IA trata datos de tus huéspedes, es un destinatario y puede haber transferencia fuera del EEE: debe figurar en tu registro de actividades y en tu información de privacidad.

¿Y si un empleado ya pegó datos en una IA personal?

Valóralo con tu asesor: puede ser una brecha de seguridad que haya que documentar y, según el riesgo, notificar a la autoridad. Borra la conversación y revisa la norma interna.

Fuentes

Más guías para hoteles

Más guías para hoteles →

English · Italiano · Português · Ελληνικά