Publicado: 24 de julio de 2024 · Última actualización: 24 de septiembre de 2026
Utilizar inteligencia artificial generativa en una empresa puede activar simultáneamente varios regímenes jurídicos.
Introducir información de clientes en un prompt puede implicar un tratamiento de datos personales. Incorporar textos, fotografías, código o documentación de terceros puede plantear problemas de propiedad intelectual. Generar una imagen de una persona real puede afectar además a su derecho a la propia imagen. Y utilizar posteriormente el resultado con fines comerciales puede añadir nuevos riesgos contractuales, reputacionales o regulatorios.
La idea esencial es ésta: que un dato pueda utilizarse conforme al RGPD no significa que puedas utilizar libremente la obra que lo contiene, y disponer de derechos de autor sobre un contenido tampoco legitima automáticamente el tratamiento de los datos personales que aparecen en él.
En esta guía explico cómo separar ambos planos y qué debería revisar una empresa antes de incorporar inteligencia artificial generativa a sus procesos.
Si tu problema se refiere específicamente a autoría, entrenamiento con obras, outputs generados por IA o una posible infracción de copyright, revisa la página principal sobre Derechos de autor e inteligencia artificial.
Si, en cambio, necesitas analizar globalmente un proyecto empresarial de IA, AI Act, protección de datos, contratos, responsabilidad o compliance, revisa Abogado de Inteligencia Artificial.
Respuesta rápida: ¿qué riesgos legales existen al utilizar IA con datos y contenidos de terceros?
Antes de utilizar una herramienta de IA deberían analizarse, como mínimo, cuatro cuestiones:
- Qué información se introduce: datos personales, información confidencial, obras protegidas, código, fotografías, contratos o documentos internos.
- Qué hace el proveedor con esa información: almacenamiento, entrenamiento, conservación, transferencias internacionales o utilización para mejorar sus modelos.
- Qué genera el sistema: textos, imágenes, vídeos, código, perfiles, predicciones o decisiones que pueden afectar a terceros.
- Qué hará después la empresa con ese resultado: uso interno, publicación, publicidad, toma de decisiones, incorporación a un producto o explotación comercial.
El análisis jurídico cambia en cada una de esas fases.
Datos personales y propiedad intelectual son problemas jurídicos diferentes
Uno de los errores más frecuentes consiste en tratar todos los datos utilizados por una inteligencia artificial como si pertenecieran a una única categoría jurídica.
| Contenido utilizado | Riesgos jurídicos principales |
|---|---|
| Nombre, email o datos de un cliente | Protección de datos personales y confidencialidad |
| Historia clínica o información médica | Categorías especiales de datos y confidencialidad reforzada |
| Fotografía de una persona | Protección de datos, propia imagen y eventualmente derechos de autor sobre la fotografía |
| Artículo, libro, fotografía o canción | Derechos de autor y posibles límites o licencias |
| Código fuente | Derechos de autor, secreto empresarial, confidencialidad y contratos |
| Contrato de un cliente | Datos personales, confidencialidad, secreto profesional y posible propiedad intelectual |
| Base de datos empresarial | Datos personales, derechos sobre bases de datos, contratos y secretos empresariales |
Un mismo archivo puede, por tanto, estar sometido simultáneamente a varios regímenes.
IA y datos personales: cuándo se aplica el RGPD
El Reglamento General de Protección de Datos se aplica cuando se tratan datos relativos a una persona física identificada o identificable.
En sistemas de IA esos datos pueden aparecer en diferentes momentos:
- datos utilizados para entrenar un modelo;
- datos utilizados para realizar un ajuste o fine-tuning;
- documentos incorporados a un sistema RAG;
- datos introducidos directamente en un prompt;
- historiales y logs de uso;
- resultados generados por el modelo;
- inferencias realizadas sobre una persona;
- perfiles o clasificaciones generados mediante IA.
Por tanto, el hecho de utilizar un proveedor de inteligencia artificial no hace desaparecer las obligaciones de protección de datos.
Fuente oficial: Reglamento General de Protección de Datos.
El consentimiento no es siempre la base jurídica necesaria
No todo tratamiento de datos personales mediante IA exige necesariamente consentimiento.
El artículo 6 RGPD contempla distintas bases jurídicas, entre ellas:
- consentimiento;
- ejecución de un contrato;
- cumplimiento de una obligación legal;
- protección de intereses vitales;
- misión realizada en interés público;
- interés legítimo, cuando concurran sus requisitos.
La base adecuada depende del tratamiento concreto, de su finalidad, de las expectativas del interesado y de los derechos que puedan resultar afectados.
El Comité Europeo de Protección de Datos ha analizado específicamente cómo pueden valorarse la anonimización, el interés legítimo y el tratamiento previo de datos personales en el desarrollo y despliegue de modelos de IA.
Consulta el Dictamen 28/2024 del Comité Europeo de Protección de Datos sobre modelos de IA.
Datos especialmente sensibles
El riesgo aumenta cuando la información pertenece a categorías especiales de datos, como datos relativos a:
- salud;
- biometría utilizada para identificar a una persona;
- origen racial o étnico;
- opiniones políticas;
- religión;
- vida u orientación sexual;
- afiliación sindical.
En estos casos no basta con identificar una base del artículo 6 RGPD. También debe concurrir alguna de las condiciones específicas previstas en el artículo 9.
Introducir datos en un prompt también puede ser un tratamiento
Uno de los cambios prácticos más importantes de la IA generativa es que determinados tratamientos ya no empiezan en una base de datos o en un servidor: empiezan en una caja de texto.
Por ejemplo:
- “Resume este contrato de mi cliente”.
- “Analiza esta historia clínica”.
- “Mejora este email que contiene datos de trabajadores”.
- “Revisa esta denuncia”.
- “Analiza estas conversaciones de WhatsApp”.
Antes de hacerlo hay que preguntarse qué información se está enviando, quién la recibirá, durante cuánto tiempo puede conservarse, si se utilizará para entrenar el servicio y qué garantías contractuales y técnicas ofrece el proveedor.
La Agencia Española de Protección de Datos ha advertido precisamente de que los prompts pueden contener datos personales, información confidencial, secretos empresariales o documentación sometida a reserva.
Que un dato esté publicado en Internet no significa que pueda utilizarse libremente
Otro error frecuente consiste en asumir que cualquier información disponible públicamente en Internet puede recopilarse, analizarse o reutilizarse sin restricciones.
No es así.
Un dato personal sigue siendo un dato personal aunque pueda encontrarse públicamente en una página web.
Y una obra protegida por derechos de autor no pasa al dominio público por el hecho de estar accesible online.
Por tanto, si una empresa utiliza información obtenida de Internet para entrenar, ajustar o alimentar un sistema de IA, debe analizar separadamente:
- la normativa de protección de datos;
- los derechos de propiedad intelectual;
- las condiciones de acceso a la fuente;
- los términos contractuales aplicables;
- la posible reserva de derechos para minería de textos y datos.
IA y propiedad intelectual: utilizar obras para entrenar o alimentar sistemas
La utilización de libros, artículos, fotografías, música, código, bases de datos y otros contenidos protegidos para desarrollar o alimentar sistemas de IA plantea cuestiones distintas de las relativas a protección de datos.
En España, el artículo 67 del Real Decreto-ley 24/2021 regula la minería de textos y datos.
Entre otros aspectos, permite determinadas reproducciones y extracciones de obras accesibles legítimamente para fines de minería de textos y datos, pero contempla también la posibilidad de que los titulares reserven expresamente determinados usos.
Por tanto, la existencia de una excepción de minería de textos y datos no constituye una autorización general para copiar cualquier contenido disponible en Internet con cualquier finalidad.
Fuente oficial: Real Decreto-ley 24/2021 — artículo 67, minería de textos y datos.
El Reglamento de IA también incorpora obligaciones relacionadas con copyright
El Reglamento (UE) 2024/1689 de Inteligencia Artificial es ya una pieza central del marco regulatorio europeo.
Con carácter general es aplicable desde el 2 de agosto de 2026, aunque algunas obligaciones comenzaron a aplicarse antes y otras disponen de períodos específicos.
Para los proveedores de modelos de IA de uso general, el Reglamento contempla, entre otras obligaciones:
- establecer una política para cumplir la normativa de la Unión en materia de derechos de autor;
- tener en cuenta las reservas de derechos previstas en la normativa sobre minería de textos y datos;
- publicar un resumen suficientemente detallado del contenido utilizado para entrenar el modelo conforme al modelo previsto por la Oficina de IA.
Estas obligaciones de transparencia y compliance no sustituyen el análisis de propiedad intelectual ni crean una nueva excepción general al copyright.
Consulta el Reglamento (UE) 2024/1689 de Inteligencia Artificial.
Qué debe revisar una empresa que utiliza una IA de un tercero
No todas las empresas entrenan modelos propios.
La mayoría utiliza servicios proporcionados por terceros. En ese escenario conviene diferenciar entre las obligaciones del proveedor del modelo y las obligaciones de la empresa que lo utiliza.
Antes de incorporar una herramienta de IA a procesos internos revisaría como mínimo:
- qué datos pueden introducir los trabajadores;
- si pueden introducirse datos de clientes;
- si pueden introducirse documentos confidenciales;
- si el proveedor utilizará los inputs para entrenar sus modelos;
- qué política de retención aplica;
- dónde se procesan los datos;
- qué subencargados intervienen;
- qué mecanismos existen para transferencias internacionales;
- qué derechos contractuales se conceden sobre inputs y outputs;
- qué garantías ofrece el proveedor respecto de propiedad intelectual.
Utilizar una herramienta popular no significa automáticamente que cualquier forma de uso empresarial sea jurídicamente adecuada.
¿Quién tiene derechos sobre el contenido generado por IA?
Esta cuestión debe separarse del tratamiento de datos personales.
Conforme al artículo 5 de la Ley de Propiedad Intelectual española, autor es la persona natural que crea una obra literaria, artística o científica.
Una inteligencia artificial no es, por tanto, autora en el sentido de la legislación española de derechos de autor.
La cuestión relevante es determinar qué aportación creativa humana existe en el resultado final.
Cuando una persona utiliza IA como herramienta dentro de un proceso creativo más amplio, puede existir protección sobre aquellos elementos que reflejen una aportación humana original suficiente.
En cambio, no debe asumirse que un contenido generado automáticamente adquiere derechos de autor simplemente porque la plataforma atribuya contractualmente determinados derechos de uso al usuario.
Los términos de servicio pueden regular la relación contractual con la plataforma, pero no pueden crear por contrato un derecho de autor que la ley no reconoce.
Para un análisis específico sobre este punto, revisa Derechos de autor e inteligencia artificial.
Vídeo relacionado: derechos de autor en creaciones de inteligencia artificial
También puedes ver mi explicación en YouTube:
El Derecho de Autor en Creaciones de Inteligencia Artificial — Pablo Maza
¿Puede un output generado por IA infringir derechos de autor?
Sí puede existir una infracción, pero no porque el contenido haya sido generado mediante IA.
La cuestión debe analizarse como cualquier posible infracción de derechos de autor: hay que determinar si el resultado reproduce o transforma sin autorización elementos protegidos de una obra previa y si concurre alguna autorización, licencia o límite legal aplicable.
No basta con afirmar que:
- “se parece al estilo de un artista”;
- “lo hizo una inteligencia artificial”;
- “el prompt mencionaba a un autor”;
- “el resultado parece inspirado en otra obra”.
Hay que comparar las obras concretas y analizar qué elementos protegidos se han reproducido.
Si ya existe un output que aparentemente utiliza contenido protegido de forma indebida, revisa Reclamación por uso no autorizado de obra.
Imágenes, voces y deepfakes: intervienen más derechos que el copyright
La generación o manipulación mediante IA de la imagen o la voz de una persona puede activar simultáneamente:
- protección de datos personales;
- derecho a la propia imagen;
- derecho al honor y a la intimidad;
- derechos de autor sobre fotografías, vídeos o grabaciones;
- obligaciones de transparencia del Reglamento de IA.
No todo deepfake o contenido manipulado con IA es automáticamente ilícito.
El análisis dependerá, entre otros factores, de la finalidad, del contexto, de si la persona resulta identificable, de la existencia de consentimiento u otra legitimación y de la forma en la que el contenido se presenta al público.
La Agencia Española de Protección de Datos ha publicado en 2026 una guía específica sobre los riesgos visibles e invisibles de utilizar imágenes de terceros en sistemas de IA.
Guía de la AEPD sobre el uso de imágenes de terceros en sistemas de IA.
Obligación de advertir sobre determinados deepfakes
El artículo 50 del Reglamento de Inteligencia Artificial establece obligaciones específicas de transparencia para determinados contenidos generados o manipulados mediante IA.
Entre otros supuestos, quien utiliza un sistema de IA para generar o manipular imagen, audio o vídeo que constituya una ultrasuplantación o deepfake debe informar de forma clara de que el contenido ha sido creado o manipulado artificialmente, con las particularidades previstas para contenidos creativos, satíricos, artísticos o de ficción.
Esta obligación de transparencia no convierte en lícito un contenido que vulnere otros derechos. Simplemente añade una obligación regulatoria adicional.
IA, imagen y voz: el consentimiento para una finalidad no autoriza cualquier reutilización
Disponer de una fotografía o grabación no significa disponer de una autorización ilimitada para generar nuevos contenidos con ella.
Por ejemplo, que una persona haya autorizado:
- la publicación de una fotografía concreta;
- la grabación de una entrevista;
- la utilización de su imagen en una campaña;
no significa necesariamente que haya autorizado:
- crear nuevas imágenes sintéticas;
- clonar su voz;
- generar vídeos en los que parezca realizar actos que nunca realizó;
- utilizar el material para entrenar un modelo;
- incorporar su imagen a una campaña distinta.
La Ley Orgánica 1/1982 protege civilmente el derecho al honor, a la intimidad y a la propia imagen y contempla expresamente la utilización de la imagen o la voz con fines publicitarios o comerciales.
Consulta la Ley Orgánica 1/1982 sobre honor, intimidad y propia imagen.
Qué ocurre con los prompts
Los prompts también pueden plantear cuestiones de propiedad intelectual.
Una instrucción extremadamente simple difícilmente constituirá por sí sola una obra protegida. En cambio, una estructura compleja de instrucciones podría requerir un análisis específico si incorpora una aportación creativa original suficiente.
Pero, desde el punto de vista empresarial, el problema más frecuente suele ser otro: qué información contiene el prompt.
Un prompt puede incorporar:
- datos de clientes;
- documentación confidencial;
- código fuente;
- planes de negocio;
- contratos;
- obras protegidas;
- información estratégica;
- secretos empresariales.
Antes de introducir esa información en una IA externa conviene revisar tanto la legalidad del tratamiento como las condiciones contractuales del proveedor.
Sobre la posible protección del propio prompt puedes ampliar información en ¿Tiene derechos de autor un prompt?.
Cuándo puede ser necesaria una evaluación de impacto
Cuando un tratamiento mediante IA pueda entrañar un alto riesgo para los derechos y libertades de las personas, puede resultar necesaria una evaluación de impacto relativa a la protección de datos conforme al artículo 35 RGPD.
Puede ser especialmente relevante cuando existen:
- tratamientos a gran escala;
- datos especialmente sensibles;
- perfilado intensivo;
- vigilancia sistemática;
- nuevas tecnologías con impacto relevante sobre personas;
- decisiones automatizadas con efectos significativos.
La evaluación debe realizarse antes de desplegar el tratamiento, no cuando ya se ha producido el problema.
Decisiones automatizadas y perfilado mediante IA
La IA no se utiliza únicamente para generar contenido.
También puede emplearse para:
- seleccionar candidatos;
- conceder financiación;
- clasificar clientes;
- detectar fraude;
- calcular riesgos;
- personalizar precios;
- recomendar productos;
- tomar decisiones laborales.
Cuando una decisión se basa únicamente en un tratamiento automatizado y produce efectos jurídicos o afecta significativamente a una persona, puede entrar en juego el artículo 22 RGPD y las correspondientes garantías.
Además, dependiendo de la finalidad y características del sistema, el Reglamento de IA puede imponer obligaciones adicionales.
El Reglamento de IA no sustituye al RGPD ni a la propiedad intelectual
La aprobación y aplicación del AI Act no significa que exista una única “ley de inteligencia artificial” capaz de resolver todos los problemas derivados del uso de IA.
En un mismo proyecto pueden ser aplicables simultáneamente:
- Reglamento de Inteligencia Artificial;
- RGPD;
- LOPDGDD;
- Ley de Propiedad Intelectual;
- normativa sobre minería de textos y datos;
- derecho a la propia imagen;
- secretos empresariales;
- normativa contractual;
- normativa de consumidores;
- normas sectoriales específicas.
El cumplimiento debe analizarse como un sistema y no mediante una única norma.
Checklist legal antes de implantar IA generativa en una empresa
Antes de autorizar el uso empresarial de herramientas de inteligencia artificial revisaría al menos los siguientes puntos:
- Identificar las herramientas utilizadas.
- Determinar qué datos se introducirán.
- Identificar si existen datos personales.
- Determinar la base jurídica del tratamiento.
- Comprobar si existen categorías especiales de datos.
- Revisar las condiciones del proveedor de IA.
- Analizar conservación, entrenamiento y transferencias de datos.
- Evitar introducir documentación confidencial sin evaluación previa.
- Comprobar que la empresa dispone de derechos suficientes sobre los contenidos utilizados.
- Revisar posibles reservas de derechos para minería de textos y datos.
- Establecer revisión humana de outputs relevantes.
- Comprobar outputs antes de publicarlos o explotarlos comercialmente.
- Documentar la intervención humana cuando la autoría pueda ser relevante.
- Establecer reglas específicas para imágenes, voces y deepfakes.
- Analizar si corresponde una evaluación de impacto.
- Implantar una política interna de uso de IA.
- Formar a los trabajadores que utilizan estas herramientas.
Qué página consultar según tu problema
| Problema | Página recomendada |
|---|---|
| Proyecto empresarial de IA, AI Act, compliance, datos o responsabilidad | Abogado de Inteligencia Artificial |
| Autoría, copyright, entrenamiento, inputs u outputs de IA | Derechos de autor e inteligencia artificial |
| Necesitas acreditar qué parte de una obra fue creada por una persona | Registro y prueba de autoría |
| Un output o contenido está utilizando una obra sin autorización | Reclamación por uso no autorizado de obra |
| Necesitas conservar prompts, outputs, URLs o evidencia antes de reclamar | Prueba digital antes de reclamar una infracción |
Preguntas frecuentes sobre IA, datos personales y propiedad intelectual
¿Puedo introducir datos de clientes en ChatGPT u otra IA generativa?
No debería hacerse automáticamente. Hay que analizar la finalidad, la base jurídica, la relación con el proveedor, las condiciones del servicio, la conservación de los datos, posibles transferencias y el nivel de confidencialidad de la información.
¿Si los datos están publicados en Internet puedo utilizarlos para entrenar una IA?
No necesariamente. Que los datos sean públicamente accesibles no elimina la aplicación del RGPD cuando siguen refiriéndose a personas identificadas o identificables. Tampoco elimina los derechos de propiedad intelectual que puedan existir sobre los contenidos.
¿Necesito siempre consentimiento para utilizar datos personales en IA?
No. El consentimiento es una de las posibles bases jurídicas del artículo 6 RGPD, pero no la única. La base correcta debe determinarse según el tratamiento concreto.
¿Puede una inteligencia artificial ser autora de una obra en España?
No. La Ley de Propiedad Intelectual atribuye la condición de autor a la persona natural que crea la obra. La cuestión relevante en contenidos asistidos por IA es determinar qué aportación creativa humana existe.
¿Puedo entrenar una IA con obras protegidas por derechos de autor?
Depende del supuesto concreto. Deben analizarse el acceso legítimo a las obras, los derechos exclusivos afectados, las excepciones aplicables, la regulación sobre minería de textos y datos y, cuando proceda, las reservas de derechos realizadas por los titulares.
¿Puedo utilizar una fotografía de una persona para generar una imagen con IA?
No debe asumirse que disponer de la fotografía equivale a disponer de autorización para cualquier tratamiento posterior. Pueden intervenir protección de datos, propia imagen, derechos de autor y obligaciones de transparencia del Reglamento de IA.
¿Hay que avisar cuando una imagen o vídeo es un deepfake?
El artículo 50 del Reglamento de Inteligencia Artificial establece obligaciones de transparencia para determinados contenidos generados o manipulados artificialmente, incluidas las denominadas ultrasuplantaciones o deepfakes, con las particularidades previstas en la propia norma.
¿El AI Act sustituye al RGPD?
No. Ambos regímenes pueden aplicarse simultáneamente. El cumplimiento del Reglamento de Inteligencia Artificial no elimina las obligaciones derivadas del RGPD ni de otras normas aplicables.
¿Puede protegerse una obra creada con ayuda de IA?
Puede existir protección sobre aquellas aportaciones humanas que sean originales y reúnan los requisitos legales. La respuesta depende de cómo se haya utilizado la IA y del grado y naturaleza de la intervención creativa humana.
Vídeos relacionados
- El Derecho de Autor en Creaciones de Inteligencia Artificial
- Cómo protegerse de la Inteligencia Artificial: autores y copyright
Fuentes jurídicas y oficiales
- Reglamento (UE) 2024/1689 de Inteligencia Artificial
- Reglamento (UE) 2016/679 — RGPD
- CEPD — Dictamen 28/2024 sobre protección de datos y modelos de IA
- AEPD — Prompts, datos personales y confidencialidad
- AEPD — Uso de imágenes de terceros en sistemas de IA
- Real Decreto-ley 24/2021 — minería de textos y datos
- Texto Refundido de la Ley de Propiedad Intelectual
- Ley Orgánica 1/1982 — honor, intimidad y propia imagen
Conclusión
Utilizar inteligencia artificial de forma jurídicamente segura exige analizar algo más que las condiciones de uso de una herramienta.
Hay que saber qué información entra en el sistema, qué derechos existen sobre ella, qué hace el proveedor con esos datos, qué genera la IA y cómo se utilizará posteriormente el resultado.
En la práctica, los mayores problemas aparecen cuando una empresa mezcla sin distinguir:
- datos personales;
- información confidencial;
- obras protegidas;
- imágenes o voces de terceros;
- outputs que después se explotan comercialmente.
Separar esos planos desde el inicio permite reducir riesgos y construir una política de uso de IA más sólida.
Si estás desarrollando o implantando inteligencia artificial en una empresa y necesitas analizar el proyecto completo, puedes consultar el área de asesoramiento jurídico en Inteligencia Artificial.
Si el problema afecta específicamente a derechos de autor, entrenamiento, contenidos generados, autoría o utilización de obras protegidas, revisa Derechos de autor e inteligencia artificial.
