¿Qué obligaciones legales genera usar ChatGPT, Claude u otra LLM con datos de clientes?

Cuando una empresa adopta una LLM de terceros, no está simplemente "usando un software". Legalmente, la empresa se convierte en lo que la normativa europea denomina un deployer —quien despliega el sistema de IA— y adquiere un conjunto específico de responsabilidades que no vienen en ningún manual de onboarding. Analizamos tres de las más relevantes y frecuentemente ignoradas.

① Obligación de transparencia: informar que hay IA detrás de la interacción

Tanto el derecho europeo como el peruano contemplan esta obligación de forma expresa desde 2025. 🇪🇺 UE El artículo 50 del EU AI Act (Reglamento UE 2024/1689) impone al deployer el deber de informar a las personas cuando están interactuando con un sistema de IA, salvo que ello resulte evidente por el contexto. 🇵🇪 Perú En el mismo sentido, el artículo 25.2 del D.S. 115-2025-PCM —el Reglamento de la Ley 31814, primer reglamento general de IA en América Latina, vigente desde enero de 2026— exige el etiquetado visible del sistema de IA cuando el producto o servicio interactúa con el usuario o impacta en decisiones que afectan sus derechos.

Si tu empresa tiene un chatbot de atención al cliente, un asistente de ventas o cualquier otra interfaz conversacional alimentada por una LLM, tus usuarios tienen el derecho legal de saber que están interactuando con un sistema de inteligencia artificial.

② Obligación de revisar y firmar el contrato con el proveedor (DPA)

Cuando tu equipo copia datos de clientes en ChatGPT, Claude o cualquier otra LLM, esos datos salen de tu infraestructura y entran en la del proveedor. Esto no es un detalle técnico menor: es un acto jurídico de transferencia de datos personales a un tercero encargado del tratamiento. 🇪🇺 UE El artículo 28 del GDPR (Reglamento UE 2016/679) exige que antes de que esa transferencia ocurra exista un Data Processing Agreement (DPA) firmado con el proveedor, que especifique el objeto, la duración, la naturaleza y la finalidad del tratamiento. 🇵🇪 Perú El artículo 28 de la Ley 29733 establece la misma lógica: el encargado del tratamiento solo puede operar los datos para las finalidades pactadas contractualmente con el titular del banco de datos personales.

③ Obligación de evaluar el impacto cuando el uso es de alto riesgo

Si la LLM se utiliza para apoyar decisiones sobre personas —scoring de clientes, análisis de riesgo crediticio, selección de candidatos, evaluaciones de desempeño, decisiones médicas—, el sistema puede clasificar como de alto riesgo. 🇪🇺 UE El Anexo III del EU AI Act lista las categorías de uso que generan esa clasificación. Una vez que el sistema cae en esa categoría, se activan los deberes del artículo 26 y del artículo 27 del EU AI Act. 🇵🇪 Perú En el ámbito peruano, el artículo 27.1 del DS 115-2025-PCM recoge los mismos principios de supervisión humana, no discriminación y ética algorítmica para quienes implementen IA con impacto en derechos fundamentales.

En la práctica, esto se traduce en tres compromisos concretos que deben cumplirse antes del despliegue, no después. El primero es una evaluación de impacto en derechos fundamentales —equivalente a la DPIA del 🇪🇺 UE artículo 35 del GDPR— que debe documentarse y conservarse por un mínimo de tres años. El segundo es garantizar una supervisión humana efectiva y trazable: debe existir una persona identificada, con capacidad real de detener o corregir el sistema cuando produzca resultados incorrectos o injustos; no alcanza con una política de papel. El tercero es mantener registros de logs de uso disponibles para auditorías regulatorias, porque si el regulador llama a la puerta y no hay trazabilidad, la presunción opera en contra de la empresa. 🇵🇪 Perú El DS 115-2025-PCM exige expresamente esta trazabilidad en su artículo 29 para sistemas de riesgo alto.

¿Qué obligaciones existen si tu empresa entrena modelos de machine learning con datos de clientes?

Cuando la empresa deja de ser usuaria de IA de terceros y empieza a entrenar sus propios modelos, entra en una categoría regulatoria cualitativamente distinta. Pasa de deployer a potencial proveedor de un sistema de IA. El nivel de diligencia exigido es mayor, el escrutinio regulatorio es más intenso y las consecuencias de un error son sustancialmente más caras.

① Obligación de contar con consentimiento o base legal específica para el entrenamiento

Este es el punto donde más empresas fallan y donde los reguladores europeos han sido más activos en los últimos dos años. El principio central es el mismo en ambos sistemas normativos: entrenar un modelo de IA con datos de clientes es una finalidad de tratamiento distinta y autónoma respecto a la finalidad para la que esos datos fueron originalmente recopilados. Eso exige, salvo excepción expresa, una nueva base legal. 🇪🇺 UE El artículo 6 del GDPR exige identificar una base legal válida —consentimiento explícito, interés legítimo debidamente documentado, o ejecución de contrato— para cada finalidad de tratamiento de datos personales. 🇵🇪 Perú El artículo 28.1 de la Ley 29733 es igualmente claro: el tratamiento requiere consentimiento informado, expreso e inequívoco, o una habilitación legal expresa. No basta que el cliente haya firmado unos términos generales si el entrenamiento de modelos de IA no estaba explícitamente contemplado en ellos al momento de la firma.

② Obligación de gobernanza de datos y calidad del dataset de entrenamiento

Esta es la obligación menos conocida en el ámbito empresarial latinoamericano y, al mismo tiempo, una de las de mayor impacto práctico. 🇪🇺 UE El artículo 10 del EU AI Act exige que los sistemas de IA de alto riesgo se desarrollen con prácticas sólidas de gobernanza de datos. Eso tiene un contenido concreto: hay que tener claro de dónde vienen los datos y por qué se seleccionaron, hay que detectar los sesgos que puedan introducir antes de que el modelo los aprenda, y hay que proteger la identidad de las personas en la medida en que la técnica lo permita. 🇵🇪 Perú El artículo 27.1.d del DS 115-2025-PCM recoge el mismo principio con lenguaje peruano: los desarrolladores e implementadores de IA están obligados a adoptar las mejores prácticas disponibles para identificar y minimizar los sesgos algorítmicos. A eso se suma el principio de privacidad por diseño del artículo 25 del GDPR, que obliga a incorporar la protección de datos desde la fase de diseño del sistema, no como parche posterior.

El riesgo de ignorar esta obligación no es solo regulatorio. Un modelo entrenado con datos sesgados —por ejemplo, con patrones históricos que penalizan a mujeres, a ciertas zonas geográficas o a determinados niveles socioeconómicos— produce resultados injustos de forma sistemática. Si ese modelo luego apoya decisiones sobre personas, la empresa puede estar infringiendo el EU AI Act y el GDPR al mismo tiempo, con sanciones que se acumulan en ambos regímenes.

③ Obligación de inscribir el banco de datos y registrar el sistema de IA

🇵🇪 Perú Un dataset de entrenamiento que contiene datos personales es un banco de datos personales en los términos de la Ley 29733. Como tal, debe inscribirse en el Registro Nacional de Protección de Datos Personales administrado por la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia y Derechos Humanos. No hacerlo —aun cuando la empresa conozca la obligación— es una infracción grave tipificada de forma expresa en el artículo 38 de la Ley 29733. Además, desde el 30 de noviembre de 2025, las grandes empresas peruanas que tratan datos de forma intensiva deben contar con un Oficial de Datos Personales (ODP) designado formalmente. 🇪🇺 UE Si el sistema de IA resultante es de alto riesgo conforme al Anexo III del EU AI Act, debe registrarse en la base de datos EU de la Comisión Europea antes de su comercialización o puesta en producción, conforme al artículo 49 del EU AI Act. El registro no es un trámite diferible: es una condición previa para operar legalmente en el mercado europeo.