RGPD y agentes de IA: lo que debes saber antes de poner un bot en tu web

Un chatbot en la web o en WhatsApp parece poca cosa: unas cuantas respuestas automáticas, un formulario de citas, quizá la toma de un pedido. Pero desde el primer mensaje en el que un cliente escribe su nombre, su teléfono o un problema de salud, tu bot está tratando datos personales. Y eso significa RGPD.

La buena noticia: un chatbot que cumple el RGPD no es más difícil de construir que uno que no lo cumple, si piensas en los datos desde el principio. A continuación tienes lo que debes saber antes de poner un bot en tu web, paso a paso, con una lista de comprobación al final. No es asesoramiento jurídico; para casos especiales, consulta con un especialista en protección de datos.

Por qué un chatbot está sujeto al RGPD

El Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) se aplica a cualquier tratamiento de datos personales, es decir, a cualquier información sobre una persona identificada o identificable. Un bot trata este tipo de datos casi siempre:

• nombre, teléfono, correo electrónico, dirección de entrega;
• el contenido de la conversación, que puede incluir detalles de pedidos, problemas o preferencias;
• el número de teléfono y la grabación o transcripción de una llamada, en el caso de un agente de voz;
• datos técnicos: dirección IP, identificadores de sesión, cookies.

Tú, como empresa que decide para qué y cómo se usan los datos, eres el responsable del tratamiento. Los proveedores que tratan los datos por cuenta tuya (la agencia que construye el bot, la plataforma de mensajería, el proveedor del modelo de IA, la base de datos) son encargados del tratamiento. La responsabilidad principal sigue siendo tuya.

Las seis preguntas que tienes que poder responder

1. ¿Con qué base jurídica tratas los datos?

El artículo 6 del RGPD enumera las bases jurídicas. Para un chatbot de atención al cliente, las más habituales son:

• la ejecución de un contrato o la aplicación de medidas a petición del interesado: el cliente pide una cita o hace un pedido;
• el interés legítimo: por ejemplo, responder preguntas generales o mejorar el servicio, siempre que tu interés no prevalezca sobre los derechos del cliente;
• el consentimiento: necesario, por lo general, para marketing, newsletter o cookies que no sean estrictamente necesarias.

Decide la base para cada finalidad por separado. Que un cliente haya pedido una cita no te da automáticamente derecho a enviarle ofertas promocionales.

2. ¿Has informado con claridad a las personas?

El artículo 13 exige que, al recoger datos, digas quién eres, para qué los recoges, con qué base, a quién los comunicas, cuánto tiempo los conservas y qué derechos tiene la persona. En la práctica:

• el primer mensaje del bot incluye un enlace breve a la política de privacidad;
• la política describe expresamente el bot: qué datos recoge, quiénes son los proveedores y dónde se almacenan;
• en el agente de voz, el mensaje inicial indica que la llamada la atiende un asistente virtual y, si procede, que se graba o se transcribe.

3. ¿Recoges solo lo que necesitas?

El principio de minimización de datos, del artículo 5, dice que pidas solo los datos necesarios para la finalidad. Para una cita necesitas el nombre, el teléfono y la hora. No necesitas el DNI ni la fecha de nacimiento. Configura el bot para que no pida más de lo necesario y no anime al cliente a enviar documentos o detalles innecesarios.

4. ¿Cuánto tiempo conservas las conversaciones?

El mismo artículo 5 exige que los datos no se conserven más de lo necesario. Fija un plazo concreto de conservación para conversaciones, transcripciones y grabaciones, y programa el borrado automático en el sistema, no en la lista de “ya lo haré algún día”.

5. ¿Tienes contratos con todos los proveedores?

El artículo 28 exige un contrato por escrito con cada encargado del tratamiento, que establezca qué puede hacer con los datos. Haz una lista de todos los proveedores que intervienen en el bot (la agencia, la base de datos, la plataforma de mensajería o telefonía, el proveedor de voz, el proveedor del modelo de IA) y revisa el contrato de encargo de tratamiento de cada uno.

6. ¿Adónde van los datos?

Si los datos se transfieren fuera del Espacio Económico Europeo, el capítulo V del RGPD exige garantías adecuadas. Muchos proveedores de tecnología tienen infraestructura o matrices fuera de la UE. Pregunta expresamente dónde se almacenan los datos, dónde se tratan y con qué base se realiza la transferencia.

Situaciones en las que debes tener más cuidado

Datos de salud y otras categorías especiales

Clínicas, consultas dentales, salones que preguntan por alergias o afecciones: si el bot recoge información sobre salud, entras en el artículo 9, que protege las categorías especiales de datos y solo permite su tratamiento en condiciones estrictas. Aquí merece la pena un análisis específico. Una solución práctica: el bot solo gestiona la cita y los detalles médicos se quedan para la conversación con el especialista.

Decisiones automatizadas

El artículo 22 da a las personas el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o les afecte significativamente de modo similar. Un bot que da citas no entra aquí. Uno que rechaza automáticamente una solicitud de crédito o a un candidato a un empleo, sí puede entrar. Mantén a una persona en la decisión.

La evaluación de impacto

El artículo 35 exige una evaluación de impacto relativa a la protección de datos cuando el tratamiento pueda entrañar un alto riesgo, sobre todo si se usan nuevas tecnologías. Para un bot informativo sencillo, normalmente no hace falta. Para uno que trata datos de salud a gran escala o toma decisiones sobre personas, consulta con un especialista si la evaluación es obligatoria.

Cookies y el widget de chat

Muchos widgets de chat instalan cookies o identificadores en el navegador. En Rumanía, las reglas sobre cookies vienen de la Ley n.º 506/2004, además del RGPD. Comprueba si tu widget instala cookies que no sean estrictamente necesarias y, en ese caso, cárgalo solo después del consentimiento.

La seguridad, la parte práctica

El artículo 32 exige medidas técnicas y organizativas adecuadas al riesgo. Para un chatbot, eso significa como mínimo:

• acceso a las conversaciones solo para las personas que lo necesitan, con cuentas individuales;
• claves de acceso y contraseñas guardadas de forma segura, no en correos ni en documentos compartidos;
• conexiones cifradas y una base de datos protegida, con reglas de acceso por filas y tablas;
• copias de seguridad y un plan para cuando algo falle;
• que el bot no tenga acceso a más datos de los que necesita para su tarea.

Los derechos de los clientes: cómo responder

Las personas tienen derecho a saber qué datos tienes sobre ellas, a rectificarlos, a pedir su supresión y a oponerse a determinados tratamientos. Asegúrate de que puedes encontrar rápido todas las conversaciones de una persona por su teléfono o correo y de que puedes borrarlas cuando te lo pidan. Si el bot está construido sobre una base de datos bien organizada, eso lleva minutos, no días.

Qué te juegas

La autoridad que supervisa la aplicación del RGPD en Rumanía es la ANSPDCP (la autoridad rumana de protección de datos). El artículo 83 del RGPD prevé multas de hasta 20 millones de euros o el 4% del volumen de negocio anual mundial en las infracciones más graves. Más allá de la multa, una fuga de datos de las conversaciones con clientes afecta directamente a tu reputación.

Checklist antes de poner el bot en línea

1. Has definido las finalidades y la base jurídica de cada una.
2. La política de privacidad describe el bot y sus proveedores.
3. El primer mensaje dice que es un asistente virtual y enlaza a la política de privacidad.
4. El bot pide solo los datos necesarios.
5. Tienes un plazo de conservación y borrado automático.
6. Tienes contratos de encargo de tratamiento con todos los proveedores.
7. Sabes dónde se almacenan y tratan los datos y con qué base se hacen las posibles transferencias.
8. Has comprobado si tratas datos de salud o tomas decisiones automatizadas.
9. El widget no instala cookies no esenciales sin consentimiento.
10. Puedes encontrar y borrar rápido los datos de una persona.
11. Has incluido el sistema en el registro de actividades de tratamiento, si tu empresa tiene esa obligación.

Cómo lo construimos nosotros

Nuestros agentes funcionan con Claude, de Anthropic, y las conversaciones y los datos de los clientes se guardan en Supabase, en servidores de la UE. Cada chatbot de WhatsApp o para web se presenta como asistente virtual, pide solo los datos que necesita y solo tiene acceso a lo imprescindible. Los detalles técnicos están en la página sobre seguridad de los datos. Ten en cuenta que el AI Act (el Reglamento europeo de IA) también exige, aparte del RGPD, que las personas sepan que están hablando con una IA.

Si quieres un bot que te ayude con los clientes sin crearte problemas con los datos, reserva una llamada gratuita de 30 minutos. Te diremos con sinceridad qué datos trataría tu bot y qué hay que preparar antes del lanzamiento.