¿Se puede incrustar ChatGPT en una web?
No. OpenAI lo responde en su propio centro de ayuda: los GPT personalizados, versiones de ChatGPT configuradas para un fin concreto, están pensados para funcionar dentro de ChatGPT y no son una forma de incrustar ChatGPT en una web o una aplicación externa. Para integrar un asistente en un producto propio, OpenAI remite a su API.
El mismo centro de ayuda añade tres datos que cierran la puerta:
- El visitante tiene que haber iniciado sesión en ChatGPT para empezar una conversación con un GPT, y quien creó el GPT no ve esas conversaciones.
- Las cuentas personales de ChatGPT (Free, Go, Plus y Pro) ya no pueden crear ni publicar GPT nuevos.
- Los GPT personalizados se retiran. OpenAI ha fijado la retirada para el 11 de diciembre de 2026 y dice que el cambio afecta a todos los planes de ChatGPT; los espacios de trabajo Enterprise con un aplazamiento aprobado tienen hasta el 11 de febrero de 2027. A partir de ahí, el GPT y su página dejan de estar accesibles.
Nota. Lo que este artículo dice de OpenAI procede de sus propias páginas, leídas el 25 de octubre de 2026. Los dos artículos de ayuda se habían actualizado en los días anteriores. La página de OpenAI sobre los GPT da la fecha para los espacios de trabajo Enterprise y prevé que los demás planes sigan el mismo calendario, y OpenAI indica que, si el aviso de tu cuenta da otra fecha, vale ese aviso.
Lo que la gente suele querer decir con «integrar ChatGPT en mi web» sí existe: una ventana de chat en tu propia web que responde a los visitantes con tus propias páginas, mientras un modelo de OpenAI, u otro, redacta las respuestas. Hay cuatro vías para conseguirlo.
Cuatro vías para tener un chatbot con un modelo de OpenAI en tu web
| Vía | Esfuerzo | Adónde va el mensaje de un visitante | Tu trabajo con el RGPD | Qué revisar |
|---|---|---|---|---|
| 1. Una plataforma de chatbots que responde con tu contenido | Bajo: añadir tus páginas y pegar una etiqueta de script | A la plataforma y a los subencargados que declara, a menudo un proveedor de modelos | Contrato de encargo con la plataforma; su lista de subencargados, con países | Qué guarda, durante cuánto tiempo y si entrena con tus datos |
| 2. Un desarrollo propio sobre la API de OpenAI | Alto: un desarrollador, un servidor, búsqueda en tu contenido, registros y borrado | De tu servidor a OpenAI, sin limitación del lugar de tratamiento salvo que te aprueben la residencia de datos en la UE | Contrato de encargo con OpenAI, ajustes de conservación, garantía para las transferencias, aviso de IA, proceso de borrado | Lo que OpenAI guarda por defecto (siguiente apartado), tu clave de API, respuestas que se alejan de tu contenido |
| 3. Un plugin que usa la API con tu clave | Bajo a medio | A OpenAI con tu cuenta, y adonde el plugin guarde los chats | Como en la vía 2, más un contrato con el fabricante del plugin si sus servidores ven los chats | Si llama a OpenAI desde tu servidor o desde el navegador del visitante, dónde guarda los chats, si se sigue manteniendo |
| 4. Un enlace a un GPT personalizado | Muy bajo | A ChatGPT, con la cuenta del propio visitante | Poco: OpenAI es responsable del uso que el visitante hace de ChatGPT | El visitante necesita cuenta, tú no ves nada y los GPT tienen la retirada prevista para el 11 de diciembre de 2026 |
Si en tu equipo nadie programa, la elección real está entre las vías 1 y 3. Si alguien lo hace, la vía 2 te da el control completo y, con él, todas las obligaciones. Ahí entra también ChatKit, la interfaz de chat incrustable de la propia OpenAI: necesita una sesión creada en tu servidor, y la documentación de OpenAI indica que Agent Builder, la opción alojada detrás de una de sus dos configuraciones, tiene el cierre previsto para el 30 de noviembre de 2026. La vía 4 es la única en la que las conversaciones no son asunto tuyo, y la única con fecha de caducidad. Los pasos de la vía 1 están en cómo añadir un chatbot a tu página web.
Lo que dicen las condiciones de OpenAI
Estas condiciones deciden la mayor parte de tu trabajo con el RGPD en las vías 2 y 3, y conviene conocerlas cuando una plataforma te dice que funciona con OpenAI.
| Pregunta | Lo que dicen los documentos de OpenAI |
|---|---|
| Su papel | Encargado del tratamiento que actúa por cuenta tuya, según su Data Processing Addendum, vigente desde el 1 de enero de 2026. Para una empresa del EEE o de Suiza, la otra parte del contrato es OpenAI Ireland Ltd. |
| Cómo se acepta | El addendum dice que se incorpora al Services Agreement de OpenAI, que el cliente acepta al pulsar «I agree», aceptar un formulario de pedido o usar los servicios. OpenAI ofrece además un formulario para firmarlo. |
| Entrenamiento | Desde el 1 de marzo de 2023, los datos enviados a la API no se usan para entrenar sus modelos, salvo que lo autorices expresamente. |
| Conservación por defecto | Los registros de vigilancia de abusos, que pueden contener prompts y respuestas, se guardan hasta 30 días. |
| Almacenamiento que es fácil pasar por alto | La Responses API guarda los datos de las respuestas al menos 30 días por defecto, o siempre que su ajuste store esté activo. Las Conversations y los hilos de ChatKit se guardan hasta que los borras, y la retención cero no los cubre. |
| Retención cero (Zero Data Retention) | Existe para los endpoints que la admiten, previa aprobación de OpenAI. |
| Transferencias | Cuando OpenAI Ireland envía datos del EEE a empresas de su grupo o a terceros fuera de él, se apoya en cláusulas contractuales tipo o en una decisión de adecuación de la Comisión (apartado 4.1). |
| Tu parte | Eres responsable de las decisiones de configuración, como los plazos de conservación y el borrado (apartado 3.3). |
La residencia de datos en la UE, con precisión. OpenAI la ofrece para proyectos de la API en la región «Europe (EEA + Switzerland)»: con los endpoints y modelos compatibles, tu contenido se almacena en Europa y el modelo también se ejecuta allí. Tiene condiciones. Es el equipo comercial de OpenAI quien confirma si cumples los requisitos. Fuera de la región de EE. UU. necesitas que te aprueben la retención cero o la vigilancia de abusos modificada (Modified Abuse Monitoring) y firmar una enmienda de conservación (Modified Retention amendment). La región se fija al crear un proyecto nuevo; el tratamiento en la región también puede elegirse en cada solicitud, con los mismos requisitos de admisión y de conservación. No cubre los datos del sistema, como los datos de cuenta, las estadísticas de uso o la facturación. Y los modelos publicados a partir del 5 de marzo de 2026 cuestan un 10 % más en estos endpoints.
Lo que los documentos no dicen. Ni el addendum ni la política de privacidad de OpenAI para la UE mencionan el Marco de Privacidad de Datos UE-EE. UU., y la lista oficial de ese marco no mostraba ningún participante llamado OpenAI cuando la consultamos el 25 de octubre de 2026. La decisión de adecuación de la Comisión para Estados Unidos solo cubre a las entidades de esa lista. Según los propios documentos de OpenAI, la garantía que te queda por citar en tu política de privacidad son las cláusulas contractuales tipo.
Las preguntas del RGPD en cada vía
Tú eres el responsable del tratamiento. Decides para qué existe el chat y qué pasa con lo que escriben los visitantes, y eso te convierte en responsable del tratamiento (artículo 4.7 del RGPD). La plataforma u OpenAI tratan los mensajes por cuenta tuya como encargados (artículo 4.8), y el artículo 28.3 exige un contrato que fije qué pueden hacer con ellos. Si una plataforma usa OpenAI, OpenAI es su subencargado. La excepción es la vía 4: el visitante usa el propio servicio de OpenAI, y la política de privacidad de OpenAI para la UE señala a OpenAI Ireland Limited como responsable para los usuarios del EEE.
Lo que la AEPD aconseja comprobar al usuario. La Agencia Española de Protección de Datos publicó unas recomendaciones para quienes usan chatbots con IA. Leídas desde el otro lado, son lo que un visitante atento buscará en tu web: una política de privacidad que identifique al responsable y sus datos de contacto, que mencione el RGPD y explique cómo ejercer los derechos, y que diga si el chatbot sigue aprendiendo de las conversaciones y qué hace con esos datos. La AEPD también aconseja no aceptar que se pidan datos de registro innecesarios, consentimientos sin una finalidad definida y sin posibilidad de retirarlos en cualquier momento, ni transferencias a países sin garantías suficientes, y recuerda que no hay garantías de que lo que dice un chatbot sea correcto.
Los visitantes escribirán datos personales. Un ejemplo: «Hola, soy Anna. El pedido 10442 no ha llegado y me mudo el viernes, ¿puedes mirarlo?». Un nombre, un pedido que lleva a una dirección y un detalle de su vida. El grupo de trabajo sobre ChatGPT del Comité Europeo de Protección de Datos (CEPD) escribió, sobre el propio ChatGPT, que un chatbot abierto al público debe contar con que la gente introduzca datos personales tarde o temprano, y que una cláusula que haga responsables a los usuarios de lo que escriben no les traslada la responsabilidad (informe del 23 de mayo de 2024, apartados 24 y 25). A nuestro juicio, lo mismo vale para el chat de tu web: di qué no conviene compartir y planifica como si lo compartieran igualmente.
Una base jurídica para cada finalidad. De las seis del artículo 6.1, para un chat que responde preguntas se suelen sopesar dos: la letra b), medidas que el visitante pidió o un contrato, y la letra f), el interés legítimo tras una ponderación. Cuál encaja depende de lo que haga tu chat; deja por escrito la elección y el razonamiento. Reutilizar los chats para otra finalidad, como entrenar un modelo o hacer marketing, topa con el límite del artículo 5.1.b). Y si el chat invita a contar datos sensibles, como el de una clínica, comprueba si el artículo 35 exige una evaluación de impacto.
Explica adónde van sus palabras. El artículo 13 exige informar, en el momento de recoger los datos, de los fines y la base jurídica (13.1.c), de los destinatarios (13.1.e), de las transferencias a terceros países y su garantía (13.1.f) y del plazo de conservación (13.2.a). Para la vía 2 con el ajuste store desactivado y la vigilancia de abusos por defecto de OpenAI, un párrafo como este cubre el chat. Es un ejemplo para adaptar y revisar:
Nuestra web tiene un asistente de chat que responde preguntas con un modelo de IA de OpenAI. Usamos lo que escribes para responder a tu pregunta, con base en [tu base jurídica]. Para ello se envía a OpenAI, que lo trata por cuenta nuestra con un contrato de encargo y puede conservarlo hasta 30 días para detectar abusos. OpenAI puede tratarlo fuera del Espacio Económico Europeo, con las cláusulas contractuales tipo de la Comisión Europea. Conservamos las conversaciones [tu plazo de conservación] y después las borramos. Por favor, no compartas en el chat datos de salud ni financieros. Para consultar o borrar tu conversación, escribe a [tu dirección de contacto].
Si OpenAI guarda además los chats (store activado, Conversations o hilos de ChatKit), la tercera frase debe decir durante cuánto tiempo. Con retención cero o residencia de datos en la UE, cambia la tercera y la cuarta frase. Tienes una política completa en nuestro modelo de política de privacidad para chatbots.
La exactitud también es protección de datos. El artículo 5.1.d) exige que los datos personales sean exactos. El grupo de trabajo señaló que es probable que los usuarios tomen por ciertas las respuestas de ChatGPT, también lo que dice sobre personas, y que advertirlo no basta por sí solo para cumplir el principio de exactitud (apartados 30 y 31). La propia OpenAI pide en su política de privacidad que no se confíe en la exactitud de lo que generan sus modelos. Un chat que responde solo con tus páginas, y lo dice cuando no cubren una pregunta, reduce el margen para respuestas inventadas. No lo elimina, así que pruébalo antes de publicarlo.
El aviso de IA va con el chat, no con el modelo
El artículo 50.1 del Reglamento de IA obliga a los proveedores a diseñar los sistemas de IA que interactúan con personas de forma que estas sepan que están tratando con una IA, salvo que resulte evidente. El artículo 50.5 añade que esa información debe darse de manera clara y distinguible, a más tardar en la primera interacción. La obligación se aplica desde el 2 de agosto de 2026.
Incrustar no hace desaparecer la obligación; decide quién la lleva. El Reglamento llama proveedor a quien desarrolla un sistema y lo pone en servicio con su propio nombre (artículo 3.3) y responsable del despliegue a quien lo utiliza bajo su propia autoridad (artículo 3.4). En una plataforma, la plataforma pone el chat y debería incluir el aviso; tú, como responsable del despliegue, no deberías ocultarlo ni quitarlo. Según la lectura habitual del artículo 3.3, si construyes tu propio chat sobre la API de OpenAI, el proveedor eres tú. Entonces el aviso es cosa tuya, igual que el marcado legible por máquina de las respuestas que el artículo 50.2 exige a los sistemas que generan texto (los sistemas introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para el marcado, según el artículo 111.4). En esa lectura, el modelo de OpenAI que hay debajo no traslada ninguna de las dos obligaciones a OpenAI.
La página sobre la Ley de IA resume la norma y lo que ChatterLab incorpora de serie.
Lista de comprobación antes de publicarlo
Diez comprobaciones válidas para cualquiera de las cuatro vías, cada una con su motivo, para que veas cuáles cumple ya tu caso.
- Dibuja el camino de un mensaje. Desde el navegador del visitante hasta cada servicio que lo guarda o lo lee, con el país de cada uno. Tu política de privacidad parte de ahí (artículo 13.1.e y f del RGPD).
- Un contrato de encargo con cada encargado. El addendum de OpenAI en la vía 2, el contrato de la plataforma en la vía 1 y el del fabricante del plugin si sus servidores ven los chats (artículo 28.3).
- Entrenamiento desactivado y comprobado. La API no entrena con tus datos por defecto; una cuenta personal de ChatGPT puede hacerlo. La AEPD aconseja al usuario comprobar si el chatbot sigue aprendiendo de las conversaciones, así que dilo en tu política.
- Conservación decidida a propósito. OpenAI guarda los registros de vigilancia de abusos hasta 30 días, y la Responses API guarda las respuestas salvo que store esté desactivado. Fija tu propio plazo y borra cuando toque (artículo 5.1.e).
- Transferencias identificadas. Qué pasos salen del EEE y con qué garantía cada uno (artículos 44 a 46). Pide a la plataforma su lista de subencargados y sus países; en nuestra página sobre el RGPD está la nuestra.
- Base jurídica por escrito. Una por finalidad, con el razonamiento (artículo 6.1).
- Aviso de IA en el primer mensaje. Dentro del chat, no solo en la política de privacidad (Reglamento de IA, artículo 50.1 y 50.5).
- Respuestas con tu contenido, probadas. Haz preguntas cuya respuesta conoces y otras que debería rechazar, y lee cada respuesta (artículo 5.1.d).
- Localizar y borrar el chat de una persona. Los visitantes pueden pedir acceso o supresión (artículos 15 y 17); en la vía 2 alguien tiene que programarlo.
- Nada guardado en el navegador sin necesidad. Usar dispositivos de almacenamiento y recuperación de datos en el equipo del visitante requiere su consentimiento, salvo lo estrictamente necesario para un servicio que ha pedido expresamente (artículo 22.2 de la LSSI).
Cómo lo hace ChatterLab
ChatterLab es la vía 1: una plataforma que responde con tu propio contenido. En resumen, y con lo que no hace:
- Papeles. Tú eres el responsable del tratamiento y ChatterLab es tu encargado. Te enviamos el contrato de encargo si lo pides: escribe a management@sri-group.eu. No entrenamos modelos con tu contenido ni con las conversaciones de tus visitantes.
- El modelo. Las respuestas se redactan a través de Cortecs, una pasarela europea de modelos. Eliges el modelo de cada agente en una lista con modelos de varios fabricantes, así que un agente no está atado a ChatGPT ni a ningún modelo concreto.
- Los dos pasos en Estados Unidos. Para buscar por significado, el texto de tus fuentes y de cada pregunta se convierte en vectores de búsqueda en OpenAI, en Estados Unidos, con sus condiciones de tratamiento de datos; OpenAI no usa estos datos para entrenar sus modelos. Según los ajustes por defecto que publica OpenAI, los registros de vigilancia de abusos de esas solicitudes, que pueden contener el texto, se guardan hasta 30 días. Los correos que enviamos pasan por Resend, también en Estados Unidos. La aplicación, la base de datos y el almacenamiento de archivos funcionan en la UE. Datos y privacidad (en inglés) detalla cada paso.
- Respuestas con tus fuentes. El modelo tiene instrucciones de responder solo con los fragmentos encontrados en tus fuentes y con tus instrucciones, y de decirlo cuando no contienen la respuesta. Cada respuesta lleva una puntuación de confianza, y las que no se marcan como débiles pasan además una comprobación de fundamentación; tú lo ves y tus visitantes no. Lo explicamos en entrenar un chatbot con tus propios datos.
- El aviso de IA. Integrado en el widget, en su idioma. Ningún plan ni ajuste lo quita, y las respuestas se marcan como generadas por IA en el código de la página.
- Lo que sigue siendo tuyo. Tu política de privacidad, tu base jurídica y tu plazo de conservación. Las conversaciones se guardan hasta que las borras; nada las borra automáticamente.
El plan Free incluye 100 créditos al mes, suficientes para probarlo con tus propias páginas. Los costes, en detalle, están en cuánto cuesta un chatbot para una web.
Preguntas sobre ChatGPT en tu web
¿ChatGPT cumple el RGPD?
No hay un sí o un no sencillo. Cumplir depende de cómo se use un servicio, no solo del producto, y las autoridades europeas seguían investigando ChatGPT cuando su grupo de trabajo conjunto publicó, en mayo de 2024, opiniones preliminares sobre base jurídica, transparencia y exactitud. Para tu web, la pregunta útil es otra: si tu propio uso cumple, es decir, contrato de encargo, base jurídica, transferencias identificadas, plazo de conservación y aviso de IA.
¿Puedo usar ChatGPT gratis para atender a mis clientes?
En tu web no: ChatGPT no se puede incrustar y un GPT personalizado exige que el visitante tenga su propia cuenta. Copiar mensajes de clientes en una cuenta personal es otro problema. En los planes de consumo, Free incluido, OpenAI dice que las conversaciones pueden usarse para entrenar salvo que el usuario lo haya desactivado, y ahí OpenAI actúa como responsable con su propia política de privacidad. Su contrato de encargo lo ofrece para ChatGPT Business, Enterprise y la API.
¿OpenAI entrena con las conversaciones de mis visitantes?
A través de la API, por defecto no. Según su documentación, desde el 1 de marzo de 2023 los datos enviados a la API no se usan para entrenar sus modelos salvo que lo autorices, y lo mismo ocurre por defecto con ChatGPT Business y Enterprise. Con las cuentas de consumo es distinto: ahí las conversaciones pueden usarse para entrenar si el usuario no lo ha desactivado. Compruébalo en cada servicio por el que pase tu chat, también en una plataforma.
¿Necesito un contrato de encargo con OpenAI?
Si tu propio desarrollo envía datos personales de tus visitantes a la API de OpenAI, sí: OpenAI los trata entonces por cuenta tuya, y el artículo 28.3 del RGPD exige un contrato. Su Data Processing Addendum dice que se incorpora a su Services Agreement, que aceptas al usar los servicios; además hay un formulario para firmarlo. Con una plataforma, el contrato lo firmas con la plataforma, y si esta usa OpenAI, OpenAI debe figurar en su lista de subencargados.
¿Es legal poner un chatbot con ChatGPT en mi web en la UE?
Sí, un chatbot que responde a las preguntas de los visitantes está permitido, dentro de dos marcos. El RGPD pide base jurídica, información clara, un contrato de encargo y una garantía para cada transferencia fuera del EEE. El Reglamento de IA exige desde el 2 de agosto de 2026 que las personas sepan, a más tardar en la primera interacción, que hablan con una IA. Usarlo para filtrar candidatos o evaluar la solvencia entra en la lista de alto riesgo del anexo III.
¿Cuál es la forma más barata de integrar ChatGPT en mi web?
En dinero, el plan gratuito de una plataforma; la API de OpenAI, por su parte, tiene precios por millón de tokens. En trabajo, la API es lo más caro: alguien tiene que construir la búsqueda en tu contenido, la ventana de chat, los registros, el borrado y el aviso de IA, y ajustar las opciones de conservación de OpenAI. Una plataforma hace ese trabajo una vez para muchos clientes. El plan Free de ChatterLab incluye 100 créditos al mes, suficientes para probar un agente con tus páginas.
Fuentes
- GPTs in ChatGPT, OpenAI Help Center (en inglés), consultado el 25 de octubre de 2026.
- Custom GPT retirement and migration FAQ, OpenAI Help Center (en inglés), consultado el 25 de octubre de 2026.
- Data controls in the OpenAI platform, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- ChatKit, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- Pricing, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- OpenAI Data Processing Addendum, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- Enterprise privacy at OpenAI, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- EU Privacy Policy at OpenAI, OpenAI (en inglés), consultado el 25 de octubre de 2026.
- Data Privacy Framework List, Departamento de Comercio de Estados Unidos (en inglés), consultado el 25 de octubre de 2026.
- Decisión de Ejecución (UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU., EUR-Lex, consultado el 25 de octubre de 2026.
- Report of the work undertaken by the ChatGPT Taskforce, Comité Europeo de Protección de Datos (en inglés), 23 de mayo de 2024, consultado el 25 de octubre de 2026.
- Recomendaciones para usuarios en la utilización de chatbots con inteligencia artificial, Agencia Española de Protección de Datos, consultado el 25 de octubre de 2026.
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos, EUR-Lex, consultado el 25 de octubre de 2026.
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial, texto consolidado de 27 de julio de 2026, EUR-Lex, consultado el 25 de octubre de 2026.
- Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, Boletín Oficial del Estado, consultado el 25 de octubre de 2026.
Cómo se ha hecho esto: redactado con ayuda de IA y revisado después con el funcionamiento real de ChatterLab y con las fuentes que figuran en el artículo. ¿Ves un error? Escribe a management@sri-group.eu.