Según la Ley 29733 de Protección de Datos Personales y su reglamento, puedes subir a ChatGPT, Claude o Gemini información que no identifique a nadie: textos genéricos, documentos públicos, cifras agregadas y datos anonimizados. Los datos personales de clientes o trabajadores (nombres con DNI, teléfonos, direcciones, historiales de compra) solo deberías usarlos en una cuenta empresarial, para una finalidad que el titular conozca, con la mínima cantidad de datos y habiendo informado que trabajas con proveedores en el extranjero. Los datos sensibles, como salud, ingresos económicos o datos biométricos, no deberían ir a un chat de IA salvo casos muy justificados y con consentimiento por escrito.
La ley no menciona a ChatGPT, pero no le hace falta: cuando pegas datos de una persona en una herramienta de IA, estás haciendo un tratamiento de datos personales y, además, un flujo transfronterizo, porque los servidores están fuera del Perú. Tu empresa sigue siendo la responsable. Esta guía te da un semáforo para decidir qué subir, el sustento de cada regla en el D.S. 016-2024-JUS y cómo configurar las herramientas para reducir el riesgo.
Actualizado: octubre de 2026
Lo esencial
- Subir datos de una persona a una IA es tratamiento de datos personales y flujo transfronterizo: aplican la Ley 29733 y el D.S. 016-2024-JUS.
- Lo que no identifica a nadie (o está bien anonimizado) se puede usar sin las restricciones de la ley.
- Los datos personales comunes solo en cuentas empresariales, para una finalidad informada y en la cantidad mínima necesaria.
- Los datos sensibles (salud, ingresos, biometría, entre otros) quedan fuera, salvo excepción bien justificada.
- Las multas van de 0.5 a 100 UIT: de S/ 2,750 a S/ 550,000 con la UIT 2026.
Por qué la Ley 29733 se aplica cuando usas IA
La Ley 29733 protege cualquier información que identifique o haga identificable a una persona natural. Su nuevo reglamento, el D.S. 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde fines de marzo de 2025, se aplica a toda persona natural, empresa o entidad que trate datos personales (artículo IV), sin importar su tamaño. También incluye los identificadores en línea entre los datos personales (artículo III, numeral 4).
Cuando un trabajador copia en un chat de IA un correo de un cliente con su nombre, su celular y su reclamo, ocurren tres cosas a la vez, desde el punto de vista de la ley:
- Un tratamiento: usas esos datos para una finalidad (resumir, responder, clasificar).
- Un encargo: el proveedor de la IA procesa los datos por cuenta tuya.
- Un flujo transfronterizo: los datos viajan a servidores fuera del país (artículo III, numeral 15).
Tú sigues siendo el responsable frente al titular y frente a la Autoridad Nacional de Protección de Datos Personales (ANPD). Para el panorama completo de la norma, revisa nuestra guía del reglamento D.S. 016-2024-JUS.
El semáforo: qué puedes subir a ChatGPT y qué no
Esta tabla resume un criterio práctico basado en la ley. No reemplaza el análisis de tu caso, pero sirve para que tu equipo decida en segundos.
| Tipo de información | Ejemplos | Cuenta personal o gratuita | Cuenta empresarial |
|---|---|---|---|
| Sin datos personales | Descripción de productos, borrador de un post, una norma publicada en El Peruano | Sí | Sí |
| Datos anonimizados o agregados | «Ventas por distrito», reclamos sin nombres, encuestas con totales | Sí, si de verdad no se puede identificar a nadie | Sí |
| Datos de contacto de profesionales en contexto laboral | Nombre y cargo de un proveedor en un correo de negocios | Evitar | Sí, con finalidad clara |
| Datos personales de clientes | Nombre con DNI, celular, dirección, historial de compras | No | Solo lo mínimo, con finalidad informada |
| Datos de trabajadores | Planilla, evaluaciones de desempeño, descansos médicos | No | Muy restringido; los de salud, no |
| Datos sensibles | Salud, ingresos económicos, datos biométricos, origen racial, opiniones políticas, vida sexual | No | No, salvo excepción justificada y consentimiento por escrito |
| Datos de menores de edad | Matrículas, notas, fichas médicas escolares | No | Evitar; requiere especial cuidado |
La regla mental: si alguien leyera ese chat, ¿podría saber de quién se trata? Si la respuesta es sí, ya estás en datos personales.
Los principios de la ley aplicados a la IA
Finalidad
Los datos solo se usan para la finalidad para la que se recogieron e informaron. Si un cliente te dio su correo para recibir su comprobante, usarlo para que una IA arme un perfil de consumo con fines publicitarios es otra finalidad. El reglamento exige que la solicitud de consentimiento identifique cada finalidad (artículo 1.2) y permite que el titular rechace las adicionales sin perder el servicio principal (artículo 10.2).
Proporcionalidad o datos mínimos
Para pedirle a la IA que redacte una respuesta a un reclamo no necesitas el DNI ni la dirección del cliente. Pega solo el texto del reclamo, sin identificadores. Es la medida más simple y la que más riesgo elimina.
Información al titular
Tu política de privacidad debe decir quiénes son los destinatarios de los datos, si hay transferencias internacionales y si existen decisiones automatizadas o elaboración de perfiles (artículo 6.1). Si usas proveedores de IA con datos de clientes, deben aparecer ahí.
Seguridad
El artículo 46 del reglamento exige gestionar accesos, registrar quién accede a los datos y evitar copias no autorizadas. Además, su numeral 4 pide que las aplicaciones de mensajería y cuentas no institucionales usadas con datos personales estén debidamente aprobadas y formalmente establecidas. Una cuenta personal de ChatGPT que nadie aprobó y donde se pegan datos de clientes encaja mal con esa exigencia. La parte técnica está en seguridad de datos personales en el Perú.
Flujo transfronterizo: el punto que casi todos olvidan
OpenAI, Anthropic y Google procesan los datos fuera del Perú. Según el reglamento, eso exige:
- Informarlo al titular en tu política de privacidad (artículos 1.4 y 6.1).
- Que el país receptor tenga un nivel adecuado de protección o que existan garantías, como cláusulas contractuales (artículos 18 y 20). Guarda los términos de tratamiento de datos (DPA) que ofrece cada proveedor empresarial.
- Comunicar el flujo a la ANPD para inscribirlo en el Registro Nacional de Protección de Datos Personales (artículo 21.2). No hacerlo es infracción leve (artículo 132.8).
Con una cuenta gratuita personal no tienes contrato de tratamiento de datos, ni control de accesos, ni forma de demostrar qué pasó con la información. Con una cuenta empresarial, sí. Esa es la diferencia que importa ante la ley, más que la marca de la herramienta.
Cuentas gratuitas frente a cuentas empresariales
Las condiciones cambian con frecuencia; estas son las vigentes a la fecha de consulta (24 de octubre de 2026):
- ChatGPT personal: puedes desactivar el uso de tus conversaciones para entrenar modelos en los controles de datos. Los chats temporales no se usan para entrenar y se eliminan de los sistemas de OpenAI a los 30 días, según su guía de controles de datos.
- ChatGPT Business y Enterprise: OpenAI declara que no entrena con los datos de estos espacios y ofrece un acuerdo de tratamiento de datos, según su página de privacidad empresarial.
- Claude Free, Pro y Max: desde 2025, cada usuario elige si permite que sus chats se usen para entrenar. Si lo permite, la retención se extiende a cinco años; si no, se mantiene en 30 días, según el anuncio de Anthropic.
- Claude Team y Enterprise: quedan fuera de ese cambio y se rigen por términos comerciales.
Desactivar el entrenamiento en una cuenta personal ayuda, pero no resuelve el problema legal: sigue sin haber control de la empresa sobre esa cuenta ni contrato de encargo. Si tu equipo trata datos personales con IA, la cuenta empresarial es el mínimo razonable.
Qué revisar antes de contratar una herramienta de IA
Antes de aprobar una herramienta para trabajar con datos de clientes o trabajadores, pide o busca en la web del proveedor estos puntos:
- Si usa o no tus datos para entrenar modelos, y si eso se puede desactivar a nivel de empresa.
- Cuánto tiempo conserva las conversaciones y los archivos, y si puedes borrarlos.
- Si ofrece un acuerdo de tratamiento de datos (DPA) y en qué países procesa la información.
- Qué controles tiene el administrador: altas, bajas, doble factor y registros de actividad.
- Cómo y en qué plazo avisa de un incidente de seguridad.
Archiva esas respuestas junto con la fecha de consulta: son tu evidencia de diligencia si la ANPD o un cliente pregunta. El análisis de riesgos por tipo de información está en los riesgos de usar ChatGPT con datos confidenciales.
Datos sensibles: la línea roja
La Ley 29733 da protección reforzada a los datos sensibles, entre ellos los de salud, los biométricos, el origen racial y étnico, las opiniones políticas, las convicciones religiosas, la vida sexual y los ingresos económicos. Para tratarlos, el reglamento exige un consentimiento por escrito, con firma manuscrita, digital o electrónica, o una modalidad equivalente (artículo 8).
En la práctica, eso deja fuera de los chats de IA casos frecuentes:
- Una clínica que pega historias clínicas para que la IA resuma la evolución del paciente.
- Recursos humanos que sube descansos médicos o boletas con sueldos.
- Una financiera que pide a la IA analizar los ingresos de un solicitante identificado.
- Un gimnasio que usa fotos de rostro para controlar el ingreso con una herramienta no evaluada.
Además, el reglamento de la Ley 31814 considera de riesgo alto los sistemas de IA que determinan el acceso a servicios de salud, la evaluación crediticia o la selección de personal, con obligaciones de supervisión humana y transparencia. Lo vemos en cómo cumplir la Ley 31814 al usar IA con datos.
Cómo anonimizar antes de subir un documento
La anonimización bien hecha convierte un dato personal en información que ya no identifica a nadie. Mal hecha, es solo un maquillaje. Pasos prácticos:
- Quita los identificadores directos: nombres, DNI, RUC de personas naturales, teléfonos, correos, direcciones, números de cuenta, placas.
- Reemplaza por códigos: «Cliente 1», «Trabajador B», «Proveedor 3». Guarda la tabla de equivalencias fuera de la IA.
- Revisa los identificadores indirectos: «la única gerenta mujer del área de logística en Tacna» identifica a alguien aunque no tenga nombre.
- Generaliza fechas y montos cuando no sean necesarios: «marzo de 2026» en lugar del día exacto, rangos en lugar de sueldos.
- Revisa el documento completo: los encabezados, pies de página, metadatos y firmas escaneadas también contienen datos.
Ejemplo ilustrativo: un estudio contable de Trujillo quiere que la IA explique por qué un cliente tiene una diferencia en su declaración. En vez de subir el reporte con RUC y razón social, copia solo las cifras relevantes con el rótulo «Contribuyente A, régimen MYPE Tributario». La IA da la misma explicación y ningún dato del cliente sale del estudio. Hay más casos así en IA para estudios contables y tributarios.
Qué pasa si tu equipo ya subió datos personales
No entres en pánico, pero actúa. Si un trabajador pegó una base de clientes en una cuenta personal:
- Borra las conversaciones afectadas y revisa la configuración de entrenamiento de esa cuenta.
- Documenta qué datos fueron, cuántas personas y en qué herramienta.
- Evalúa si es un incidente de seguridad grave. El artículo 34 del reglamento obliga a notificar a la ANPD, como máximo dentro de las 48 horas de conocerlo, los incidentes que expongan grandes volúmenes de datos, afecten a muchas personas, involucren datos sensibles o causen un perjuicio evidente.
- Corrige la causa: cuentas empresariales, capacitación y una regla escrita de qué se puede subir.
Si tienes tienda online, revisa también cómo proteger los datos de clientes de tu tienda, porque los pedidos y formularios suelen ser la fuente de los datos que terminan en un chat.
Multas en 2026
La escala está en el artículo 39 de la Ley 29733. Con la UIT 2026 en S/ 5,500 (D.S. 301-2025-EF):
| Tipo de infracción | UIT | En soles (2026) | Ejemplo relacionado con IA |
|---|---|---|---|
| Leve | 0.5 a 5 | S/ 2,750 a S/ 27,500 | No comunicar a la ANPD el flujo transfronterizo hacia el proveedor de IA (132.8) |
| Grave | Más de 5 a 50 | Más de S/ 27,500 a S/ 275,000 | Tratar datos sin consentimiento válido cuando se requiere (133.3) o no notificar un incidente (133.12) |
| Muy grave | Más de 50 a 100 | Más de S/ 275,000 a S/ 550,000 | Usar medios fraudulentos para obtener datos (134.1) |
La multa no puede superar el 10 % de los ingresos brutos anuales del infractor en el ejercicio anterior, según el mismo artículo 39 de la ley.
Reglas listas para tu equipo
- En cuentas personales o gratuitas: nada que identifique a una persona.
- En cuentas empresariales: solo los datos necesarios para la tarea y para una finalidad que el cliente conoce.
- Datos sensibles y de menores: fuera de la IA, salvo autorización expresa y evaluada.
- Antes de subir un documento: quitar nombres, DNI, teléfonos, direcciones y firmas.
- Política de privacidad actualizada con proveedores de IA y transferencias internacionales.
- Cualquier error, avisarlo el mismo día al responsable de datos personales.
Si trabajas en un estudio jurídico, la guía de IA para abogados en el Perú suma el deber de secreto profesional a estas reglas.
En KOM ayudamos a empresas peruanas a usar IA en su web, sus formularios y su atención sin descuidar la Ley 29733: política de privacidad, consentimiento en formularios y configuración de herramientas. Si quieres revisar cómo lo estás haciendo, cuéntanos tu caso.
Preguntas frecuentes
¿Puedo subir a ChatGPT un Excel con la lista de mis clientes para segmentarla?
No en una cuenta personal o gratuita. Si necesitas segmentar, quita primero nombres, DNI, teléfonos y correos y trabaja con códigos y variables como distrito, ticket o frecuencia de compra. Si de verdad necesitas los datos identificados, usa una cuenta empresarial con acuerdo de tratamiento de datos, verifica que la finalidad esté informada en tu política de privacidad y sube solo las columnas imprescindibles.
¿Desactivar el entrenamiento en ChatGPT basta para cumplir la Ley 29733?
No. Desactivarlo reduce un riesgo, pero la ley también exige finalidad informada, datos mínimos, medidas de seguridad, control sobre quién accede y garantías para el flujo transfronterizo. Una cuenta personal sin contrato ni administración de la empresa no cubre esos puntos. La configuración de privacidad es un buen paso, pero no reemplaza una cuenta empresarial ni las reglas internas de tu empresa.
No necesariamente. Que un dato sea visible en internet no significa que puedas usarlo para cualquier finalidad. La ley considera las fuentes accesibles al público, pero el tratamiento debe seguir respetando los principios de finalidad y proporcionalidad. Recopilar perfiles de redes para que una IA arme fichas comerciales de personas puede ser un tratamiento no informado. Ante la duda, consulta con tu asesor de protección de datos.
¿Necesito el consentimiento del cliente para usar IA con sus datos?
Depende de la finalidad. Si usas la IA para atender lo que el cliente te pidió, como responder su consulta o preparar su cotización, la ley permite tratar los datos necesarios para la relación contractual o precontractual, siempre que lo informes. Si la finalidad es distinta, como publicidad personalizada o perfiles de consumo, necesitas su consentimiento expreso y separado. Para datos sensibles, el consentimiento debe ser por escrito.
¿Qué pasa si el proveedor de IA sufre una filtración con datos de mis clientes?
Frente a tus clientes y a la ANPD sigues siendo responsable, aunque el incidente ocurra en el proveedor. Por eso conviene usar planes empresariales con acuerdo de tratamiento de datos, que obligan al proveedor a avisarte. Si el incidente es grave, el reglamento exige notificarlo a la ANPD en un máximo de 48 horas desde que lo conoces y, si afecta a los titulares, también informarles.
Este contenido es informativo y no reemplaza la asesoría legal.
