Política de privacidad para un GPT personalizado y sus acciones

Redacta la política para el servicio que hay detrás de la acción, en un lenguaje claro que un usuario de ChatGPT pueda seguir. Incluye:

1. Quién gestiona la acción: tu nombre o tu empresa, el nombre del GPT o del servicio y un contacto de privacidad.
2. Qué recibes: los parámetros que acepta tu esquema, el texto de la conversación que se envíe con ellos y los datos de la cuenta si usas OAuth.
3. Por qué lo usas: para responder a la solicitud, para ofrecer las funciones de la cuenta del usuario, para prevenir abusos, y nada más salvo que sea cierto.
4. Quién más lo recibe: alojamiento, base de datos, registros y cualquier proveedor de modelos de IA al que llames, con una breve descripción de cada uno.
5. Cuánto tiempo lo conservas: registros de solicitudes, resultados guardados y datos de la cuenta, cada uno con un plazo real.
6. Derechos de los usuarios y eliminación: cómo pedir el acceso o la eliminación, y cómo desconectar una cuenta OAuth.
7. Menores: los servicios de OpenAI tienen sus propias normas de edad; indica si tu servicio está dirigido a menores.
8. Cambios y fecha de entrada en vigor.

Si tu acción admite cuentas de usuario, añade cómo se tratan los datos de esas cuentas. La guía de la política de privacidad para chatbots de IA y la guía de información de privacidad para productos de IA profundizan en los proveedores de modelos, los prompts y el entrenamiento.

El requisito está vinculado a las acciones, la función que permite a un GPT llamar a una API externa que tú defines. El Centro de ayuda de OpenAI dice que, si tu GPT usa acciones y quieres compartirlo públicamente o publicarlo en la GPT Store, cada acción pública debe incluir una URL de política de privacidad válida. Su artículo sobre la configuración de acciones dice lo mismo de forma más breve: cada acción puede incluir una URL de política de privacidad, y los GPT públicos con acciones, ya se compartan mediante enlace o en la GPT Store, deben incluir una válida. El artículo sobre publicación menciona un GPT que usa acciones sin una URL de política de privacidad válida como uno de los motivos por los que puede bloquearse la publicación pública.

Un GPT que solo usa instrucciones y archivos de conocimiento, sin acciones, no queda afectado por esta norma concreta. Un GPT que se mantiene privado o que solo se comparte dentro de un espacio de trabajo también queda fuera, aunque los administradores del espacio de trabajo pueden fijar sus propios controles.

¿Por qué insiste OpenAI? Porque en cuanto se ejecuta una acción, los datos salen de ChatGPT y llegan a tu servidor, y OpenAI declara que no audita ni controla cómo usan o guardan esos datos los servicios de terceros. Tu política es la forma en que los usuarios se enteran. La misma lógica se aplica a otras plataformas; nuestra guía sobre cómo conseguir una URL para la política de privacidad explica cómo alojar y probar el enlace.

Tu política tiene que describir lo que ve tu servidor, así que sé preciso. Las notas de producción de OpenAI para las acciones dicen que, cuando un usuario interactúa con la acción personalizada de un GPT, ChatGPT puede enviar partes de su conversación al endpoint de la acción. El modelo convierte la solicitud del usuario en los parámetros definidos en tu esquema OpenAPI, así que cualquier cosa que escriba el usuario puede acabar en esos parámetros, incluidos nombres, direcciones de correo o cualquier otra cosa que decida compartir. OpenAI también dice que ChatGPT llama a las acciones desde sus rangos de IP publicados, así que tu servidor ve solicitudes procedentes de la infraestructura de OpenAI.

Lo que te llega además depende de tu diseño:

• Autenticación: OpenAI ofrece las opciones Ninguna, Clave de API y OAuth. Con OAuth, los usuarios inician sesión en tu servicio, así que las solicitudes quedan vinculadas a la cuenta que tienen contigo.
• Tus propios registros: cuerpos de las solicitudes, marcas de tiempo y errores que guardan tu servidor web, tu pasarela de API o tus herramientas de monitorización.
• Servicios posteriores: bases de datos, API de búsqueda o proveedores de modelos de IA a los que llama tu backend.

Las preguntas frecuentes sobre privacidad de los GPT de OpenAI señalan que los creadores de GPT no pueden ver las conversaciones individuales que los usuarios tienen con sus GPT. Tu exposición es lo que recibe tu acción y lo que conservas, y eso es exactamente lo que debe explicar tu política.

El método de autenticación que elijas cambia lo que tiene que decir tu política.

Sin autenticación. Desde tu punto de vista, cada solicitud es anónima, pero aun así puede contener datos personales que el usuario haya escrito. Tu política debe explicar que tratas el contenido de la solicitud, conservas registros mínimos y no intentas identificar a los usuarios.

Clave de API. La clave autentica al GPT, no a los usuarios individuales. Las solicitudes te llegan igual sea quien sea la persona que chatea, lo que mantiene pequeña tu huella de datos. La política es similar a la del caso anónimo, más la limitación de peticiones y la prevención de abusos si las usas.

OAuth. Los usuarios inician sesión en tu servicio, y las solicitudes quedan vinculadas a su cuenta. Ahora tu política debe cubrir toda tu relación con la cuenta: datos del perfil, contenido guardado, cómo actualizan las acciones su cuenta y cómo pueden desconectarla los usuarios. El artículo de configuración de OpenAI dice que, en las acciones con OAuth, los usuarios pueden revisar y gestionar las cuentas conectadas en ChatGPT, y que puede pedírseles que aprueben las acciones antes de que se ejecuten.

Elijas lo que elijas, pide los scopes y las entradas más acotados que permitan que la función funcione. Eso acorta tanto tu política como tu trabajo de seguridad.

Los rechazos en la revisión y la confusión de los usuarios suelen deberse a un puñado de errores:

• Enlazar la política de privacidad de OpenAI. La política de OpenAI cubre ChatGPT, no tu servidor. Necesitas la tuya.
• Enlazar una página de inicio o una política genérica de la empresa que nunca menciona el GPT, la acción ni los datos que recibe tu API.
• Decir que no guardas nada mientras tus registros conservan los cuerpos completos de las solicitudes. Revisa la configuración de tu servidor web, tu pasarela y tu monitorización.
• Omitir el proveedor de IA al que llama tu backend. Si tu acción reenvía texto a la API de otro modelo, nómbralo y describe su conservación.
• Una conservación vaga como «el tiempo que sea necesario», sin plazo ni criterios.
• Usar un enlace a un documento que exige iniciar sesión o que los visitantes pueden editar.
• Olvidar actualizar la política cuando añades un endpoint que acepta nuevos tipos de datos.

Una prueba rápida: lee tu esquema OpenAPI y tu política uno al lado del otro. Cada parámetro que pueda contener datos personales debe estar explicado en la política, y cada proveedor al que llame tu código debe aparecer en ella.

Antes de invertir en un GPT, comprueba hacia dónde va el producto. A octubre de 2026, el Centro de ayuda de OpenAI dice que planea retirar los GPT personalizados y recomienda trasladar los flujos de trabajo a plugins, que reúnen instrucciones reutilizables y apps conectadas. Según el mismo aviso:

• se preveía una experiencia de migración para el 17 de septiembre de 2026, y puede que no llegue a todas las cuentas o espacios de trabajo a la vez
• la retirada para los espacios de trabajo Enterprise afectados está prevista para el 11 de diciembre de 2026, y se espera que otros planes sigan el mismo calendario
• los GPT existentes siguen pudiéndose usar hasta su retirada
• las cuentas personales de ChatGPT, incluidas Free, Go, Plus y Pro, no pueden crear ni publicar nuevos GPT, mientras que los espacios de trabajo Business, Enterprise y Edu dependen de la configuración y los permisos del espacio de trabajo

Estas fechas proceden de los propios avisos de OpenAI y pueden cambiar, así que consulta los artículos vigentes del Centro de ayuda antes de planificar un lanzamiento.

Para las políticas de privacidad, el cambio es menos disruptivo de lo que parece. El flujo de datos es similar: la solicitud de un usuario en ChatGPT llega a tu backend. Una política redactada con exactitud para la API de tu acción puede actualizarse para un plugin, como se describe más abajo, en lugar de reescribirse desde cero.

Si migras a un plugin, las normas de privacidad se vuelven más detalladas, no menos. Las directrices de plugins de OpenAI, que cubren los plugins incluidos en el directorio que comparten ChatGPT y Codex, dicen que los envíos deben incluir una política de privacidad clara y publicada que explique, como mínimo, las categorías de datos personales recogidos, las finalidades de uso, las categorías de destinatarios, los plazos de conservación de los datos y los controles que se ofrecen a los usuarios. Los usuarios pueden revisar la política antes de instalarlo.

Las directrices también fijan normas sobre datos que tu política debe reflejar:

• recoger solo los datos mínimos necesarios, sin campos «por si acaso»
• no recoger datos restringidos como datos de tarjetas de pago cubiertos por PCI DSS, información sanitaria protegida, identificadores oficiales o credenciales de acceso
• no solicitar el historial completo de conversaciones ni transcripciones de chat en bruto
• no hacer seguimiento ni elaborar perfiles de los usuarios, tampoco mediante metadatos como las direcciones IP, salvo que se informe de ello, tenga un alcance acotado y esté bajo un control real del usuario
• los plugins deben ser adecuados para usuarios de 13 a 17 años y no pueden dirigirse a menores de 13

Si la política de la acción de tu GPT ya enumera categorías, finalidades, destinatarios, conservación y controles, tienes la mayor parte del camino hecho. Revísala frente a estas directrices cuando hagas el envío.

El generador de políticas de privacidad para IA está pensado para este tipo de servicio. Elige el caso de uso de IA y describe lo que recibe tu acción, los proveedores que usas, si tienes cuentas de usuario, los plazos de conservación y las regiones en las que están tus usuarios. El cuestionario, la vista previa completa y la descarga simple en HTML y PDF son gratis y sin cuenta.

Las cláusulas se seleccionan de forma determinista a partir de una biblioteca versionada según tus respuestas. Ninguna IA escribe las cláusulas en tiempo de ejecución, así que el resultado es predecible y solo describe lo que confirmas. Los módulos regionales avanzados, como el RGPD, el Reino Unido y California, cuestan $5, y el alojamiento público opcional añade $0.99 una sola vez, lo que te da una página pública para pegar en el campo de política de privacidad de la acción o en el envío de un plugin.

Si tu backend está en un repositorio, un agente de programación con IA como Codex, Claude Code o ChatGPT puede inspeccionar el código a través del servidor MCP para desarrolladores y crear un borrador privado a partir de lo que encuentre, que tú revisas y confirmas. Es útil para detectar registros y llamadas a proveedores que habías olvidado. El texto generado refleja tus respuestas y no es asesoramiento jurídico.