¿Puedo hacer la política de privacidad de mi web con ChatGPT? La pregunta es quién responde

Puedes, y además el texto va a salir bien escrito. El problema no es el texto: es que cuando llegue una reclamación a la Agencia Española de Protección de Datos, la sancionada es tu empresa (artículo 70.1 de la LOPDGDD), y el chat que redactó la política no comparece ni responde de nada.

Esto no es un artículo contra la inteligencia artificial. En SoyLegal360 usamos IA todos los días y sería absurdo negarlo. La pregunta útil no es si se usa IA, sino quién responde del resultado. Y ahí es donde una política de privacidad generada en un chat y publicada tal cual deja a su titular solo.

Lo que la IA hace bien (y conviene aprovechar)

Empecemos por lo honesto, porque si no el resto no se sostiene. Una IA generativa es muy útil para:

• Entender conceptos. Qué es una base jurídica, qué diferencia hay entre responsable y encargado, qué implica una transferencia internacional. Como explicador es rápida y clara.
• Preparar la conversación con un abogado. Llegar a la reunión sabiendo qué preguntar y con la información de tu negocio ya ordenada ahorra horas y dinero.
• Producir borradores internos. Un primer texto sobre el que trabajar, que después revisa alguien cualificado, es un acelerador real.
• Ordenar información dispersa. Listar tus herramientas, tus formularios, tus flujos de datos.

La línea roja está en otro sitio: publicar o presentar el resultado sin que un profesional lo haya revisado y responda de él. Todo lo que viene ahora explica por qué esa línea existe.

1. El argumento de fondo: nadie responde del resultado

Léete las condiciones de uso de cualquier proveedor de IA generativa. Con distintas palabras dicen lo mismo: el resultado puede no ser exacto, el usuario debe evaluarlo antes de utilizarlo y no debe usarse como sustituto de asesoramiento profesional. Las condiciones europeas de OpenAI lo dicen así: el resultado «puede no ser siempre exacto», no debes confiar en él «como única fuente de verdad o de información fáctica, ni como sustituto de asesoramiento profesional», y debes «evaluarlo… antes de utilizarlo o compartirlo». Las condiciones de consumo de Anthropic añaden que los resultados «pueden contener inexactitudes materiales aunque parezcan exactos», prestan el servicio «tal cual» y limitan su responsabilidad total a la mayor de estas dos cifras: lo pagado en los seis meses anteriores o 100 euros. Y si el uso es empresarial, que es tu caso, el anexo de uso comercial de las condiciones europeas de OpenAI fija un tope equivalente: lo pagado en los doce meses anteriores o 100 dólares.

Que la cláusula esté escrita no significa que sea oponible: frente a un consumidor, el artículo 86 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios considera abusiva la limitación inadecuada de sus derechos legales, y las propias condiciones reconocen que no afectan a los derechos que la ley reconoce al usuario. Pero eso es una discusión entre tú y el proveedor, en su jurisdicción y por el importe de tu suscripción. No es la discusión que vas a tener con la Agencia.

Porque enfrente el reparto de responsabilidad es distinto. El artículo 70.1 de la LOPDGDD dice quién está sujeto al régimen sancionador: los responsables del tratamiento y los encargados. No los fabricantes del software con el que se redactó el documento. Si la AEPD abre un procedimiento porque tu política de privacidad no informa de lo que exige el RGPD, el expediente lleva tu nombre y la multa la pagas tú. Y el proveedor de IA no comparece en ese expediente.

La alternativa no es “un texto más caro”. Es un texto con autor, y un autor sujeto a deberes que se le pueden exigir:

• Un abogado ejerce con colegiación obligatoria: la incorporación al Colegio es requisito imprescindible para ejercer (artículo 7.1 del Estatuto General de la Abogacía Española).
• Está sujeto a normas deontológicas y a un régimen disciplinario ante ese colegio.
• Trabaja bajo un deber de diligencia profesional. Conviene decirlo con precisión: no garantiza un resultado, porque nadie puede garantizar que no llegue una reclamación. Lo que sí compromete es que el trabajo se haga conforme a la técnica exigible, y de eso se le puede pedir cuenta.

Esa es la diferencia real, y no es corporativismo: es la diferencia entre un documento con alguien detrás y un texto huérfano que nadie ha revisado.

2. El documento no es el trabajo

Este es el malentendido más caro. Una política de privacidad no es un texto: es la foto final de un análisis. Lo que el RGPD te obliga a publicar en ella (artículos 13 y 14) es el resultado de saber antes:

• Qué datos personales tratas de verdad y con qué finalidades.
• Qué base jurídica ampara cada finalidad (consentimiento, contrato, obligación legal, interés legítimo).
• Quiénes son los destinatarios de esos datos.
• Cuánto tiempo los conservas, o con qué criterios lo decides.
• Si hay transferencias internacionales y con qué garantías.
• Si hay decisiones automatizadas o elaboración de perfiles.

Todo eso hay que averiguarlo mirando tu negocio: tu hosting, tu CRM, tu herramienta de email marketing, tu pasarela de pago, tu gestoría, tus cámaras, tus formularios. Una IA que no ha visto nada de eso redacta un texto impecable sobre una empresa imaginaria. Y publicar un documento correcto que describe una realidad que no es la tuya es incumplir con buena redacción.

Hay una segunda parte que suele pasarse por alto: el RGPD exige cosas que no son un texto de web y que ninguna política de privacidad sustituye.

• Registro de actividades de tratamiento (artículo 30). No tenerlo es una infracción grave (artículo 73.n de la LOPDGDD).
• Contrato de encargado del tratamiento con cada proveedor que accede a tus datos, con el contenido del artículo 28.3. Encargar el tratamiento sin ese contrato es infracción grave (artículo 73.k de la LOPDGDD). Lo desarrollamos en qué es el contrato de encargado del tratamiento y por qué la AEPD lo multa.
• Medidas de seguridad adecuadas al riesgo (artículo 32) y capacidad de demostrar el cumplimiento (artículos 5.2 y 24).

Es decir: aunque el texto de la web estuviera perfecto, seguirías teniendo el resto del cumplimiento sin hacer.

¿Cuánto pesa esto? Depende de qué falle. No facilitar toda la información de los artículos 13 y 14 se califica como infracción leve, que prescribe al año (artículo 74.a de la LOPDGDD). Pero omitir ese deber de información es muy grave (artículo 72.1.h), igual que tratar datos vulnerando los principios del artículo 5 (artículo 72.1.a): ambos van al tramo del artículo 83.5 del RGPD, hasta 20 millones de euros o, tratándose de una empresa, el 4% de la facturación anual mundial, la cuantía que sea mayor. Las cifras reales que impone la AEPD, y su distancia con esos máximos, están en cuánto cuesta una multa de la AEPD.

3. El error es invisible para quien no es jurista

Un modelo de lenguaje genera lo más probable, no lo verdadero. Por eso una cita legal inventada es plausible: tiene el mismo formato, el mismo tono y la misma seguridad que una real. No viene marcada con un aviso.

Y esto no es teoría. En un auto de 9 de julio de 2026, difundido por el CGPJ el 30 de julio, la Sala de lo Penal del Tribunal Superior de Justicia de Canarias multó con 840 euros a un abogado por presentar un recurso de apelación apoyado en citas de sentencias que no existían: al menos 25 de las 32 resoluciones invocadas como jurisprudencia no se correspondían con lo alegado, y ninguna de las citas literales transcritas, entrecomilladas, destacadas en negrita y cursiva y atribuidas al Tribunal Supremo y al Tribunal Constitucional, pudo localizarse en las bases de datos consultadas. El tribunal fue explícito: «El uso de las tecnologías de la información por los abogados, como son los sistemas de IA, no exime de cumplir las normas deontológicas que regulan la profesión». No fue un caso aislado: en un auto de 10 de febrero de 2026 esa misma Sala ya había multado con 420 euros a otro abogado por incluir 48 citas jurisprudenciales falsas de 52, más del 92% del escrito, generadas con una herramienta de IA generalista.

Quédate con la implicación práctica. Si un abogado, que se dedica a leer sentencias, no detectó 48 citas falsas, ¿qué probabilidad tiene el titular de una tienda online de detectar que el artículo que cita su política de privacidad no dice lo que la política afirma que dice? Ninguna, y no por falta de capacidad: el texto correcto y el falso suenan exactamente igual.

4. La foto que te devuelve puede estar caducada

Un modelo se entrena con datos hasta una fecha. La normativa, en cambio, está viva, y en protección de datos e IA se mueve rápido.

Ejemplo reciente y comprobable: el Reglamento de IA (Reglamento (UE) 2024/1689) establece en su artículo 113 que será aplicable a partir del 2 de agosto de 2026, con excepciones tasadas para determinados capítulos. Pero ese calendario se modificó en julio de 2026 por el Reglamento (UE) 2026/1744, que retrasó las obligaciones de la IA de alto riesgo. Un modelo entrenado antes de ese cambio te contará el calendario anterior con total aplomo, y sin avisarte de que ha cambiado. Lo explicamos con las fechas exactas en qué obliga de verdad el AI Act desde el 2 de agosto.

Con la reforma de la LOPDGDD y los criterios de la AEPD pasa lo mismo. Un texto legal no es un contenido que se escribe una vez: es un documento que hay que mantener cuando cambia la norma o cambia tu negocio.

5. La ironía: usarla así ya puede ser el incumplimiento

Aquí está el giro que casi nadie ve venir. Para que la IA redacte algo útil hay que darle contexto, y el contexto suele ser la lista de tus clientes, el organigrama con tus trabajadores, el contrato con un proveedor o el fichero de morosos que llevas en Excel.

Esos datos ya los estabas tratando; lo nuevo es que, al pegarlos en el chat de un tercero, los estás comunicando a otro destinatario. Y ese tratamiento necesita:

• Una base jurídica (artículo 6 del RGPD).
• Que los afectados estén informados de ese tratamiento y de esos destinatarios (artículos 13 y 14).
• Un contrato de encargado del tratamiento con el proveedor, con el contenido del artículo 28.3. Sin él, infracción grave (artículo 73.k de la LOPDGDD).
• Comprobar dónde se alojan y se procesan los datos, por las reglas de transferencias internacionales (artículos 44 y siguientes).

Resultado: por ahorrarse el cumplimiento en la web, se incumple por la puerta de atrás. Y esta vez con datos de personas reales de por medio, no con un texto genérico.

Que quede claro: esto no significa que no se pueda usar IA en una empresa. Significa que su uso hay que configurarlo y documentarlo como cualquier otro proveedor que toca datos. Es exactamente lo que revisa una auditoría de IA: qué herramientas usáis, con qué datos, bajo qué contrato y con qué riesgo.

6. Cuando llega el requerimiento, alguien tiene que dar la cara

Un día llega un correo de la AEPD con un número de expediente y un plazo. O un cliente ejerce su derecho de acceso y hay que contestarle en un mes. O un competidor te denuncia el banner de cookies.

En ese momento hay que hacer cosas que un chat no hace: leer el expediente, decidir la estrategia, redactar unas alegaciones, aportar la documentación que acredite lo que dices y firmarlas. Poner un nombre colegiado debajo, con todo lo que eso conlleva: deontología, régimen disciplinario y un deber de diligencia del que se puede pedir cuenta.

Un chat no comparece. Esa es toda la diferencia, y solo se nota el día que importa.

Entonces, ¿cómo se usa bien la IA con los textos legales?

Resumido en una línea: como borrador, nunca como versión publicada.

Sí:

• Preguntarle qué debe contener una política de privacidad para entender el mapa.
• Preparar el inventario de tus herramientas y flujos de datos antes de la reunión.
• Redactar un primer borrador interno que después revise un profesional.
• Traducir a lenguaje llano un documento que ya te ha validado un abogado.

No:

• Publicar el texto tal cual sale del chat.
• Pegar datos personales de clientes, trabajadores o proveedores sin haberlo analizado antes.
• Dar por buena una cita de un artículo o de una resolución sin comprobarla en la fuente oficial (BOE, EUR-Lex, AEPD, CENDOJ).
• Usarlo para decidir la base jurídica de un tratamiento. Eso no es redacción: es criterio jurídico.

Qué hacer si tu web ya tiene textos generados con IA

No hace falta tirarlo todo. Hace falta comprobarlo. Un repaso rápido que puedes hacer hoy mismo:

1. Aviso legal: ¿aparecen tu denominación exacta, domicilio, NIF, correo de contacto y datos registrales, accesibles de forma permanente, fácil, directa y gratuita? Es lo que exige el artículo 10 de la LSSICE, y es lo primero que se comprueba.
2. Política de privacidad: ¿las finalidades que describe son las tuyas de verdad? ¿Cada una tiene su base jurídica? ¿Los plazos de conservación son reales o genéricos?
3. Destinatarios: ¿están tus proveedores reales (hosting, email marketing, CRM, analítica, pasarela de pago, gestoría)? ¿Tienes firmado el contrato del artículo 28.3 con ellos?
4. Transferencias internacionales: si alguno está fuera del Espacio Económico Europeo, ¿lo dice el texto y con qué garantía?
5. Cookies: ¿lo que declara la política coincide con lo que instala el banner antes de que el usuario acepte?
6. Citas legales: si el texto cita artículos, compruébalos en el BOE o en EUR-Lex. Si no cuadran, el resto tampoco.

Si en cualquiera de estos puntos la respuesta es “no lo sé”, ese es el hallazgo: el texto está describiendo una empresa que no es la tuya.

Por dónde empezar

• Para saber en qué punto estás sin coste, pide la auditoría web gratuita: revisamos tus textos legales, formularios y cookies y te decimos qué falta y con qué prioridad.
• Si ya sabes que hay que rehacer los documentos, la adaptación web al RGPD incluye aviso legal, política de privacidad, política de cookies con banner de consentimiento y cláusulas de formulario, redactados a medida de tu negocio por abogados colegiados.
• Si el problema no es solo la web (empleados, proveedores, registro de actividades, contratos de encargado), lo que toca es la adaptación de empresa al RGPD.
• Si no sabes ni qué tienes ni qué falta, una auditoría RGPD te da el mapa: qué datos tratas, qué documentación existe y qué corregir primero. Antes de redactar nada, hay que saber qué empresa está describiendo el documento.
• Y si usas IA en tu operativa, la auditoría de IA revisa con qué datos la alimentas y bajo qué condiciones.

Puedes ver el catálogo completo en servicios de protección de datos.

Usa la IA. Nosotros la usamos. Pero que lo que se publica en tu web lo firme alguien que responda de ello.