Decisiones de cumplimiento
Solicitudes de eliminación RGPD para chats y archivos de IA
Tratar una solicitud de borrado como una decisión sobre registros, no un solo botón de eliminar. Establecer derechos del solicitante y excepciones aplicables, localizar copias relevantes, instruir a los responsables adecuados y documentar lo eliminado o retenido. Eliminar una conversación de ChatGPT no borra necesariamente otro material almacenado.
Para DPOs, operaciones de privacidad y administradores de espacios de trabajo de IA
Conversación, Biblioteca, proyecto, sistema fuente y evidencias exportadas pueden tener ciclos de vida diferentes.
Solicitud sintética ERASURE-TEST-01. No se ha buscado, eliminado, retenido bajo una retención legal ni enviado ningún dato real a un proveedor.01
Establecer la solicitud y la decisión del responsable
El Artículo 17 RGPD otorga derecho de supresión en circunstancias específicas e incluye excepciones. Comenzar con el alcance de la solicitud, identidad de la persona si es necesario y motivo por el que la organización tiene los datos. No asumir que toda referencia a una persona debe eliminarse sin importar obligaciones legales o reclamaciones.
El Artículo 12 generalmente requiere información sobre la acción tomada sin demora indebida y en un mes. Extensiones necesarias pueden añadir dos meses por complejidad o número de solicitudes, con aviso y razones en el primer mes. Seguir esa obligación de respuesta separada del ciclo técnico de eliminación publicado por un proveedor.
Contexto de la fuente: RGPD UE: Reglamento (UE) 2016/679
02
Localizar las copias creadas por uso de IA del empleado
Rastrear el registro original, texto pegado en conversación, archivo subido, respuesta generada y cualquier cosa copiada a otro sistema. Preguntar si el contenido se guardó en proyecto, Biblioteca, memoria o archivo local. Mapear qué responsable, encargado o propietario interno puede actuar sobre cada copia.
La documentación de seguridad de Work Cloud de OpenAI distingue estas categorías. Indica que eliminar una conversación no borra un archivo guardado en Biblioteca ni necesariamente una memoria guardada. Sistemas fuente conectados y registros de cumplimiento exportados siguen reglas separadas. Estas afirmaciones se refieren al contexto documentado de Work Cloud; confirmar la superficie y configuración real en uso.
Contexto de la fuente: OpenAI: manejo y retención de datos en ChatGPT Work Cloud
03
Usar el control relevante para cada ubicación
Tras la decisión de privacidad, asignar el propietario adecuado a cada acción: administrador de espacio, propietario de archivo, equipo del sistema fuente o contacto del encargado. Registrar la acción solicitada, su alcance y evidencia de cumplimiento. Quitar un conector o revocar acceso no es lo mismo que borrar datos almacenados en otro lugar.
Cuando sea relevante bajo el Artículo 19, comunicar la supresión o restricción a destinatarios salvo que aplique la excepción indicada, e informar a la persona sobre destinatarios si se solicita. Mantener el registro de la solicitud proporcionado: conservar la evidencia necesaria para demostrar el manejo sin duplicar innecesariamente la información personal eliminada.
Contexto de la fuente: RGPD UE: Reglamento (UE) 2016/679 · OpenAI: manejo y retención de datos en ChatGPT Work Cloud
04
Resolver conflictos de retención y conservación
Las excepciones del Artículo 17 incluyen procesamiento necesario para ciertas obligaciones legales y el establecimiento, ejercicio o defensa de reclamaciones legales. Que los responsables de privacidad y legales evalúen el registro y motivo reales; no usar “cumplimiento” como etiqueta sin explicación para conservar todo.
Cuando la información debe permanecer, documentar alcance y base aplicable, restricciones de acceso y disparador de revisión. Cuando la eliminación técnica está programada y no es inmediata, describirlo con precisión. No prometer eliminación de pesos de modelo, todas las copias de seguridad o sistemas descendentes sin evidencia que respalde esa afirmación.
Contexto de la fuente: RGPD UE: Reglamento (UE) 2016/679
05
Cerrar con una respuesta clara y fundamentada
Una respuesta útil identifica qué acción se tomó, qué queda cuando es relevante y la razón de cualquier rechazo o acción parcial. No debe informar “todos los datos eliminados” cuando solo se borró la conversación visible. Mantener confirmaciones internas y asuntos no resueltos vinculados al registro de la solicitud.
El ejemplo sintético siguiente separa estado de acción de decisión legal y ciclo del proveedor. No afirma que se haya realizado ninguna eliminación real. Usarlo para practicar la transferencia entre privacidad, administración del espacio y propietarios de sistemas fuente y destino.
Contexto de la fuente: RGPD UE: Reglamento (UE) 2016/679
Ponlo en práctica
Mapa de evidencias para solicitud de borrado de IA
La información de un solicitante inventado aparece en un registro de soporte y varias copias relacionadas con IA. Cada fila identifica una acción distinta y la evidencia necesaria.
Solicitud sintética ERASURE-TEST-01. No se ha buscado, eliminado, retenido bajo una retención legal ni enviado ningún dato real a un proveedor.
Fuente
Registro del cliente en su sistema original
IA
Conversación, archivo guardado, proyecto o memoria
Exportaciones
Documentos y evidencia de seguridad
Respuesta
Acciones confirmadas y excepciones explicadas
| Location | Acción a evaluar | Evidencia y responsable |
|---|---|---|
| Registro de soporte original | Aplicar la decisión del Artículo 17 de la organización al registro fuente. | Decisión de privacidad y registro de acción del sistema fuente; responsable del sistema de soporte. |
| Conversación de ChatGPT | Utilice el control de eliminación de conversación aplicable si se requiere borrado. | Cuenta/conversación correcta y confirmación de acción; responsable del espacio de trabajo. |
| Archivo guardado en la Biblioteca | Evalúe y elimine el archivo guardado por separado cuando sea necesario. | Identidad del archivo y confirmación; responsable del archivo/espacio de trabajo. |
| Archivo de proyecto | Revise el almacenamiento y control de eliminación propios del archivo de proyecto. | Identidad del archivo y acción real; usuario autorizado del proyecto o administrador. |
| Memoria guardada | Revise y elimine la memoria guardada por separado cuando sea necesario. | Identidad de la memoria y acción real; usuario autorizado del espacio de trabajo o administrador. |
| Borrador copiado en un documento | Evalúe esta copia retenida por separado. | Confirmación y alcance del propietario del documento; responsable del sistema de colaboración. |
| Evidencia de seguridad exportada | Determine la necesidad, el borrado o la excepción de retención aplicable. | Decisión razonada de privacidad/legal y restricción de acceso; responsable del registro de seguridad. |
| Respuesta a la solicitud | Conciliar acciones confirmadas y excepciones explicadas. | Respuesta clara y registro del caso; operaciones de privacidad. |
Trabaja en tu reseña
Usa las verificaciones para organizar las pruebas que necesitas. Guarda tus selecciones en Word, luego añade tus notas y pruebas. Tus selecciones permanecen en esta pestaña hasta que las descargues.
0 de 3 Revisado
Ejemplos y material de revisión
Lee los detalles aquí, o mantén juntos el documento PDFeditable Word y las hojas de cálculo.
Mapa de evidencias para solicitud de borrado de IALee
Solicitud sintética ERASURE-TEST-01. No se ha buscado, eliminado, retenido bajo una retención legal ni enviado ningún dato real a un proveedor.
La información de un solicitante inventado aparece en un registro de soporte y varias copias relacionadas con IA. Cada fila identifica una acción distinta y la evidencia necesaria.
Review steps
- Map all relevant copies: Use the actual account, surface, feature y saved locations rather than assuming one conversation contains everything.
- Separate legal y technical status: Record the erasure decision, any justified exception and whether the action is requested, completed or scheduled.
- Reconcile before replying: Check recipient communications, provider responses y the Article 12 response timeline.
Example case record
Reference: ERASURE-TEST-01 Requester: fictional customer Example Person Receipt date: not a real request Legal assessment: illustrative only; no live Article 17 determination Action status: not performed Response: not sent
Practice response outline
Identify the request scope, explain the action actually taken, describe any justified retained records and reasons, and give the relevant rights information. Do not claim every copy was removed when confirmations cover only selected locations.
Source y scope
Guide: https://aona.ai/resources/guides/gdpr-ai-chat-deletion-requests/
Source check: 21 September 2026. General information; no professional approval or installed-product result is represented.
- EU GDPR: Regulation (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
- OpenAI: ChatGPT Work Cloud data handling y retention: https://learn.chatgpt.com/docs/enterprise/chatgpt-work-cloud-security#data-handling-and-retention
Antes de que continúes
Mantén claras estas distinciones
- Eliminar acceso no es borrar
- Desconectar un servicio no implica la eliminación de copias almacenadas previamente.
- El ciclo de vida de un proveedor no es el plazo de respuesta
- Registre las comunicaciones de solicitudes RGPD por separado del tiempo técnico de eliminación y excepciones.
Aplícalo al uso de IA por parte de empleados
Lleva tu ruta real de datos.
La evidencia de actividad de IA para empleados puede ayudar a un equipo a identificar una aplicación y ruta de entrada relevante para una investigación.
Aona no ejecuta solicitudes de borrado en servicios de terceros ni establece la decisión del Artículo 17 del responsable. Sus propios registros requieren una revisión de manejo separada.
Use la solicitud ficticia para identificar qué evidencia de actividad con alcance está disponible y quién es responsable de cada acción de seguimiento.
Revisa tu caso de usoPreguntas frecuentes
Preguntas sobre esta decisión
¿Eliminar un chat de ChatGPT borra archivos y memorias subidas?
¿Debe cada solicitud resultar en una eliminación completa?
¿Podemos prometer la eliminación de los pesos del modelo?
¿El plazo de respuesta es siempre el periodo de eliminación del proveedor?
Evidencia detrás de la guía
Fuentes y alcance
Preparado por Aona. Fuentes comprobadas 2026-09-21. El material citado respalda los puntos específicos a continuación; no certifica un producto ni su caso de uso.
- RGPD UE: Reglamento (UE) 2016/679
Los artículos 5, 6, 9, 12, 17, 19, 28, 32, 35 y 36 establecen los requisitos relevantes para el procesamiento, derechos, procesador y evaluación de riesgos.
law · comprobado 2026-09-21 - OpenAI: manejo y retención de datos en ChatGPT Work Cloud
Las conversaciones de Work Cloud, archivos de Biblioteca, archivos de proyecto, memorias guardadas, contenido conectado y registros de cumplimiento exportados tienen comportamientos distintos de retención/eliminación; la API ZDR no es una regla universal de ChatGPT Work.
vendor · comprobado 2026-09-21