¿Es legal subir los datos de tus trabajadores a una IA?

Aquí está el primer error que veo cometer constantemente, y es un error de concepto. Mucha gente piensa que "usar Claude" o "usar ChatGPT" es una sola cosa: entras, pegas tus datos, preguntas. No lo es. Bajo el mismo nombre comercial conviven dos mundos jurídicamente opuestos.

Las cuentas de consumo —las versiones gratuitas o de suscripción individual que cualquiera se abre en cinco minutos— están pensadas para uso personal. Y aquí viene lo importante: desde finales de 2025, varios proveedores, Anthropic incluida, pueden usar las conversaciones de estas cuentas para entrenar sus modelos, salvo que el usuario lo desactive expresamente. Piensa en lo que eso significa: las nóminas de tus empleados podrían acabar formando parte del material de entrenamiento de un modelo de IA. Para datos de trabajadores, las cuentas de consumo están descartadas. No es una zona gris ni una cuestión de apetito de riesgo: es un no.

Los planes comerciales (Claude for Work, Team, Enterprise, o el acceso por API) funcionan con reglas radicalmente distintas. Anthropic actúa como encargado del tratamiento bajo un contrato específico —el DPA, Data Processing Addendum—, incorpora cláusulas contractuales tipo (las SCCs que exige Bruselas) para las transferencias internacionales de datos, y asume un compromiso explícito y contractual: tus datos no se usan para entrenar modelos. Nunca. Además, la retención de datos es limitada y configurable, y para casos sensibles existen incluso acuerdos de retención cero.

La misma herramienta, dos marcos jurídicos opuestos. Si vas a trabajar con datos de empleados, la elección de cuenta no es un detalle de presupuesto —la diferencia de precio es ridícula comparada con lo que está en juego—: es el requisito número uno. Si te quedas con una sola idea de este artículo, que sea esta.

Segunda idea importante, y esta es tranquilizadora: la IA no inventa un problema jurídico nuevo. Entra en un esquema que ya existe y que ya practicas. Si llevas un negocio en España, tratas datos de trabajadores a diario y a través de terceros: tu gestor procesa las nóminas, tu mutua gestiona las bajas, tu software de turnos sabe quién trabaja cuándo. Cada uno de esos terceros accede a datos personales de tus empleados, y el RGPD lleva años regulando exactamente cómo. Añadir una IA al circuito es añadir un tercero más al esquema, no inaugurar un territorio sin ley. En ese esquema, tres piezas tienen que estar en su sitio.

Primera pieza: la base jurídica. Toda operación con datos personales necesita una justificación legal. La buena noticia es que tratar datos de tus empleados para gestionar el negocio —calcular costes laborales, analizar absentismo, planificar turnos, controlar la productividad— está cubierto por la propia relación laboral y por el interés legítimo del empresario. Son tratamientos que ya haces hoy, con Excel o con lo que sea. Analizar esos mismos datos con una herramienta mejor no cambia la base jurídica: lo que haces es lo mismo, lo haces mejor.

Segunda pieza: encargados y subencargados. Si tu asesoría procesa tus nóminas, ya tienes firmado con ella un contrato de encargo de tratamiento (si no lo tienes, ese es un problema anterior a la IA, y más urgente). Cuando la asesoría —o tú directamente— usa una IA para procesar esos datos, el proveedor de la IA entra en la cadena como subencargado del tratamiento, y eso debe reflejarse documentalmente: en el contrato de encargo, en el registro de actividades, en la información disponible para los trabajadores si procede. ¿Es papeleo? Sí. ¿Es un obstáculo? No. Es exactamente el mismo papeleo que ya existe para el software de nóminas que usa tu gestor. En NRRO lo tenemos resuelto con nuestros clientes: Anthropic figura como subencargado en nuestros encargos de tratamiento, con las mismas garantías documentadas que cualquier otro proveedor tecnológico de la cadena.

Tercera pieza: la minimización. Esta es la que más me gusta, porque es donde el cumplimiento normativo y el sentido común coinciden plenamente. El RGPD exige tratar solo los datos necesarios para la finalidad. Pregúntate: para saber por qué tu restaurante B tiene un 16% de labour y el A un 12%, ¿necesitas los nombres y apellidos de cada empleado? ¿Sus DNIs? No. Necesitas categorías profesionales, horas trabajadas, costes y franjas horarias. Seudonimizar —quitar identificadores directos y trabajar con códigos internos— reduce el riesgo drásticamente, y en la práctica casi nunca pierdes capacidad de análisis. El labour % de un restaurante es exactamente el mismo con nombres o sin ellos. Esta es nuestra norma por defecto en NRRO: la IA ve los datos que el análisis necesita, no más.

Si quieres quedarte con algo accionable que puedas repasar con tu asesor la semana que viene, es esto.

1. Plan comercial, siempre. Nunca una cuenta personal para datos del negocio. Verifica qué tipo de cuenta usa tu equipo hoy — te puedes llevar una sorpresa, porque el uso "informal" de cuentas personales para temas de trabajo está muchísimo más extendido de lo que los empresarios creen. Ese, y no la IA en sí, es el riesgo real que probablemente ya tienes en casa.

2. DPA firmado y subencargo documentado. Si trabajas con asesoría, pregúntale cómo lo tiene resuelto: qué proveedor de IA usa, con qué tipo de cuenta, si está reflejado en vuestro contrato de encargo. Si no sabe de qué le hablas, esa es otra conversación que tenéis pendiente.

3. Seudonimiza por defecto. Identidades fuera salvo que el análisis las requiera de verdad. Para análisis agregados —costes, ratios, benchmarks— no las necesitas nunca. Para casos individuales puede justificarse, pero que sea la excepción consciente, no la rutina.

4. Datos europeos, reglas europeas. Verifica que el proveedor ofrece garantías válidas para transferencias internacionales. Las cláusulas contractuales tipo lo son, y los proveedores serios las incluyen en su DPA estándar. No es un requisito exótico: es marcar una casilla y guardar el documento.

Con esas cuatro cosas en su sitio, analizar datos laborales con IA es tan conforme a RGPD como procesarlos con cualquier software de nóminas. Sin ellas, estás asumiendo un riesgo que no necesitas asumir — y que además es barato de eliminar.

"¿Tengo que pedir consentimiento a mis trabajadores?" En general, no, y conviene entender por qué: en la relación laboral el consentimiento es una base jurídica débil (el trabajador no es libre de negarse, así que el consentimiento rara vez es válido). La base correcta es la relación contractual y el interés legítimo, que ya cubren la gestión ordinaria del negocio. Lo que sí puede proceder es informar —vía la cláusula informativa de protección de datos que ya entregas— de que el tratamiento incluye herramientas de análisis de terceros. Tu asesor lo resuelve actualizando un párrafo.

"¿Y si la AEPD me inspecciona?" Pues enseñas el contrato con tu asesoría, el DPA del proveedor, el registro de actividades y tu criterio de minimización. Es decir: papeles que ya deberías tener, con un proveedor más en la lista. Una inspección no busca que no uses tecnología; busca que la uses con las garantías documentadas.

El riesgo regulatorio de usar IA con datos de trabajadores es real pero perfectamente gestionable: se resuelve con contrato, configuración y disciplina, como acabamos de ver. Es un riesgo conocido, acotado y barato de mitigar. La inmensa mayoría de los problemas reales en esta materia no vienen de usar IA con garantías, sino de usarla sin ellas — la cuenta gratuita, el copia-pega alegre, el "total, para una consulta rápida".

El riesgo que nadie regula es el contrario: seguir tomando decisiones sobre costes laborales —tu partida de gasto más grande, más sensible y más volátil— con datos de hace dos meses y un Excel que no cuadra. Eso no te lo sanciona la AEPD. Te lo sanciona, mes a mes y sin posibilidad de recurso, la cuenta de resultados. Hazlo bien. Pero hazlo.