Chatbot con IA, RGPD y Ley de IA: qué debe hacer la web de una empresa

Un chatbot con IA en la web de una empresa de la UE tiene que cumplir dos bloques de normas. Según el Reglamento de IA de la UE (la Ley de IA), hay que avisar a los visitantes de que hablan con una IA, como tarde en su primera interacción, y esto se aplica desde el 2 de agosto de 2026. Según el RGPD, lo que escriben los visitantes suele incluir datos personales, así que necesitas una base jurídica, un aviso de privacidad que mencione el chat, un plazo de conservación y un contrato con el proveedor de IA que trata los mensajes.

Esta guía explica cada obligación con palabras sencillas y termina con una lista de comprobación. Es información general para pymes, no asesoramiento jurídico: para tu caso concreto, consulta con tu delegado de protección de datos o con tu abogado.

Qué exige la Ley de IA a un chatbot

La Ley de IA (Reglamento (UE) 2024/1689) abarca muchos tipos de IA. Para un chat de atención al cliente en una web, la obligación que cuenta es la de transparencia, en el artículo 50.

• Qué: el artículo 50, apartado 1, dice que los sistemas de IA destinados a interactuar directamente con personas deben diseñarse de forma que las personas afectadas sepan que están interactuando con un sistema de IA.
• Cuándo: el artículo 50, apartado 5, dice que esta información debe darse de forma clara y distinguible, como tarde en el momento de la primera interacción, y cumplir los requisitos de accesibilidad aplicables.
• Desde cuándo: el artículo 50 se aplica desde el 2 de agosto de 2026. La Comisión Europea confirma la fecha en sus preguntas frecuentes sobre las obligaciones de transparencia del artículo 50. El periodo transitorio hasta el 2 de diciembre de 2026 que se menciona ahí se refiere al marcado de contenido generado por IA, no al aviso del chatbot.
• Excepción: la obligación no se aplica cuando resulta evidente para una persona razonablemente informada y atenta que está hablando con una IA. Una burbuja de chat con un nombre simpático y una foto no es evidente. No te apoyes en esta excepción para un chat de soporte.
• Multas: las preguntas frecuentes de la Comisión indican que las multas pueden llegar a 15 millones de euros o al 3 % del volumen de negocios anual mundial. El control corre a cargo de las autoridades nacionales de vigilancia del mercado.

Formalmente, el artículo 50, apartado 1, se dirige al proveedor del sistema de IA. Pero tus visitantes solo ven tu web. Haya hecho quien haya hecho el chat, comprueba tú mismo que el aviso se muestra en tu web antes del primer mensaje.

Cómo es un buen aviso de IA

Breve, visible antes de que el visitante escriba y honesto sobre sus límites. Por ejemplo: «Estás hablando con un asistente automático, no con una persona. Responde con los documentos de esta empresa y puede equivocarse». Añade cuánto tiempo se guarda la conversación y un enlace a tu aviso de privacidad. Tradúcelo a todos los idiomas de tu web.

RGPD y chatbot con IA: las cuatro cosas que tienes que resolver

La gente escribe en un chat nombres, números de pedido, direcciones de correo y a veces mucho más. Eso convierte la conversación en datos personales, y a tu empresa en responsable del tratamiento: quien decide para qué y cómo se tratan.

1. Una base jurídica

El RGPD enumera seis bases jurídicas: consentimiento, ejecución de un contrato, obligación legal, interés público, intereses vitales e interés legítimo. El consentimiento no es la única opción. Para responder a las preguntas que clientes y posibles clientes deciden hacer, pueden encajar mejor la ejecución de un contrato o el interés legítimo, pero el interés legítimo te obliga a comprobar que los derechos de las personas no se ven seriamente afectados. Decide en qué base te apoyas y déjalo por escrito.

2. Un aviso de privacidad que mencione el chat

La Comisión Europea enumera la información que debes dar a las personas (en inglés) cuando recoges sus datos. Para un chat, tu aviso de privacidad debería decir como mínimo:

• que la web tiene un asistente de chat automático y para qué sirve;
• qué datos trata (los mensajes y cualquier otra cosa que guardes con ellos);
• tu base jurídica;
• cuánto tiempo se guardan las conversaciones;
• quién recibe los mensajes (tu proveedor de IA y cualquier otro servicio que intervenga);
• si los datos salen de la UE y con qué base;
• los derechos de las personas, incluidos el acceso, la supresión y la reclamación ante una autoridad de protección de datos (en España, la AEPD).

Enlaza el aviso de privacidad desde el propio chat, junto al aviso de IA.

3. Un plazo de conservación

La Comisión indica que los datos deben conservarse el menor tiempo posible, con plazos fijados para borrarlos o revisarlos. Leer conversaciones antiguas sirve para mejorar las respuestas, pero para eso suelen bastar unas semanas o unos meses. Elige un número de días, indícalo en tu aviso de privacidad y asegúrate de que el borrado ocurre de verdad de forma automática. Guardar los chats «hasta que alguien se acuerde de limpiar» es el error más fácil de evitar.

4. Tu proveedor de IA: contrato de encargo y transferencias

La empresa cuya IA escribe las respuestas recibe cada mensaje. Según el RGPD es tu encargado del tratamiento, y la Comisión explica que trabajar con un encargado exige un contrato (en inglés). La mayoría de los proveedores de IA ofrecen un contrato de encargo del tratamiento (DPA, por sus siglas en inglés) en los ajustes de la cuenta o en sus condiciones. Acéptalo o fírmalo antes de poner el chat en marcha.

Si el proveedor trata los datos fuera de la UE, el contrato de encargo debe indicar qué mecanismo de transferencia usa. Para Estados Unidos suele ser el Marco de Privacidad de Datos UE-EE. UU. (para empresas certificadas en él, basado en la decisión de adecuación de la Comisión del 10 de julio de 2023) o las cláusulas contractuales tipo de la Comisión. Si prefieres que el tratamiento se quede en la UE, algunos proveedores lo ofrecen; nuestra guía para elegir el modelo de IA para el chatbot de tu web compara las opciones.

Una lista de comprobación práctica para el chat de tu web

1. El chat muestra un aviso de IA encima del primer mensaje, en todos los idiomas de la web.
2. El aviso enlaza a tu aviso de privacidad.
3. Tu aviso de privacidad tiene una sección sobre el chat: finalidad, datos, base jurídica, conservación, destinatarios, transferencias y derechos.
4. Has aceptado o firmado el contrato de encargo de tu proveedor de IA (y de cualquier segundo servicio, por ejemplo el que crea el índice de búsqueda).
5. Las conversaciones se borran automáticamente pasado un número fijo de días.
6. No guardas más de lo necesario: ni direcciones IP ni seguimiento extra sin un motivo.
7. El chat responde solo con tus propios documentos, así que no puede prometer cosas que tu empresa nunca ha dicho.
8. Cuando no sabe responder, ofrece una forma de contactar con una persona.
9. Puedes encontrar y borrar las conversaciones de una persona si lo pide.
10. Alguien lee las conversaciones de vez en cuando y sabe qué hacer si un visitante comparte datos sensibles.

Cómo hacerlo: a mano, con una herramienta generalista o con Answer Desk

A mano o con un chatbot generalista

La mayoría de los puntos de la lista son redacción y papeleo: la sección del aviso de privacidad, el contrato de encargo, la base jurídica. Te tocan a ti uses la herramienta que uses. Los puntos técnicos (aviso antes del primer mensaje, borrado automático, encontrar los chats de una persona) dependen del chatbot. Antes de elegir uno, pregunta al fabricante: ¿se puede ocultar el aviso de IA por error? ¿Dónde se guardan las conversaciones y puedo fijar un plazo de borrado? ¿Quién recibe los mensajes y dónde?

Con Answer Desk en WordPress

Answer Desk es nuestro plugin de WordPress para un chat de soporte que responde con tus propios documentos. Resuelve la parte técnica del chat también en la versión gratuita, en Answer Desk > Rules and privacy:

• Aviso de IA: se muestra encima del primer mensaje y no se puede desactivar, solo reformular en Your wording (tu texto). La frase sobre la conservación y el enlace de privacidad se añaden automáticamente; Shown to visitors right now: muestra el texto final.
• Conservación: Delete them after (borrarlas pasados) fija el número de días (90 por defecto). El borrado se ejecuta una vez al día y elimina los datos de verdad. La versión gratuita aplica como máximo 30 días; con una licencia se aplica el número que elegiste.
• Sin guardar la dirección IP: para limitar los mensajes por visitante, guarda una huella de un solo sentido que reconoce a un visitante durante una hora.
• Encargados del tratamiento: una tabla enumera tu proveedor de IA, el proveedor del índice y tu propia web, con lo que recibe cada uno y dónde lo trata.
• Herramientas de privacidad de WordPress: propone un párrafo «Automated chat assistant» en Ajustes > Privacidad y funciona con Herramientas > Exportar los datos personales y Herramientas > Borrar los datos personales (que encuentran, por dirección de correo, las conversaciones de los visitantes que habían iniciado sesión).

La tarjeta Where you stand (cómo vas) muestra una marca o un signo de exclamación para cinco puntos. Es una lista de comprobación, no un certificado: firmar el contrato de encargo con tu proveedor de IA y mencionar el chat en tu aviso de privacidad siguen siendo tarea tuya. El recorrido completo está en Aviso de IA, privacidad y límites, y Leer y exportar conversaciones explica cómo leer y borrar chats concretos.

Errores habituales

• Un aviso solo en el pie de página o en la página de privacidad. La Ley de IA lo exige en la primera interacción, así que tiene que estar en el chat.
• Un nombre y una foto que parecen humanos, sin aviso. Es exactamente lo que busca evitar la norma de transparencia.
• Guardar todas las conversaciones para siempre «para entrenar» o «por si acaso».
• Dejar que la IA responda con conocimientos generales. No es un problema del RGPD, pero un precio o una fecha de entrega inventados son tu empresa hablando.
• Olvidar el segundo proveedor. Si un servicio escribe las respuestas y otro crea el índice de búsqueda, los dos son encargados del tratamiento.

Resumen: quién necesita qué

Toda empresa de la UE con un chat de IA en su web necesita el aviso de IA antes del primer mensaje (desde el 2 de agosto de 2026) y tener en orden el RGPD: base jurídica, un aviso de privacidad que cubra el chat, un plazo de conservación y un contrato de encargo con el proveedor de IA. Si ya tienes un chatbot, revisa primero el aviso y el plazo de borrado, que son los dos puntos que más a menudo faltan. Si estás eligiendo uno, escoge una herramienta que haga imposible ocultar el aviso y que borre sola los chats antiguos, y dedica tu tiempo al papeleo que solo puedes hacer tú. Para saber cómo encuentra el chat sus respuestas, lee chatbots con IA entrenados con tus propios documentos.