PIPELINEGuías
Chatbot y protección de datos: qué hay que tener en cuenta legalmente
Un chatbot procesa datos personales en cuanto alguien escribe su nombre. Qué significa eso concretamente.
Un chatbot procesa datos personales en cuanto alguien introduce su nombre; ese es el punto de partida de cualquier consideración de protección de datos. Para un chatbot FAQ sencillo, en la práctica suele bastar con: proveedor europeo, contrato de encargado del tratamiento, plazo de eliminación de pocas semanas, aviso en la ventana del chat mismo e identificación de IA según EU AI Act. Tres puntos faltan casi siempre en la práctica: el plazo de eliminación definido, el aviso en la ventana del chat, y la aclaración de si el proveedor utiliza los datos para entrenamiento. Una evaluación de impacto no suele ser necesaria cuando el riesgo es bajo.
01
Qué se procesa
Los historiales de chat contienen regularmente más de lo planeado: nombres, números de teléfono, direcciones, a veces datos de salud o contractuales. Ese es el punto de partida de cualquier consideración de protección de datos.
02
Los fundamentos
Indicar la base legal, fijar la finalidad, cumplir la minimización de datos, definir plazos de eliminación, informar a los interesados. Además un contrato de encargado del tratamiento con el proveedor y la verificación de dónde se procesa.
03
Donde falla en la práctica
Tres puntos faltan casi siempre: un plazo de eliminación definido para los historiales de chat, un aviso en la ventana del chat mismo en lugar de solo en la política de privacidad, y la aclaración de si el proveedor utiliza los datos para entrenamiento.
04
El nivel del AI Act
Además del RGPD, desde agosto de 2026 aplica la obligación de transparencia: los usuarios deben poder reconocer que están hablando con un sistema de IA. Es un requisito propio que no se cumple con la política de privacidad.
05
Qué basta en la práctica
Para un chatbot FAQ sin captura de datos sensibles: proveedor europeo, contrato de encargado del tratamiento, plazo de eliminación de pocas semanas, aviso en la ventana del chat, párrafo en la política de privacidad, identificación de IA. Una evaluación de impacto normalmente no es necesaria.
06
Qué falta a menudo en la práctica
Muchos chatbots almacenan historiales ilimitadamente porque al configurarlos nadie estableció un plazo de eliminación, no por negligencia, sino porque nadie lo decidió explícitamente. Un plazo de pocas semanas debe estar en la configuración desde el principio, no en una corrección posterior.
Preguntas
Preguntas frecuentes
¿Necesitamos una evaluación de impacto de protección de datos?
Solo en caso de riesgo previsiblemente alto, por ejemplo perfilado extenso o procesamiento sistemático de datos sensibles. Para un chatbot informativo normalmente no es necesaria. Aun así, la verificación debe documentarse.
¿Se pueden almacenar los historiales de chat?
Sí, con finalidad y plazo. Para mejorar el bot y tener trazabilidad de las consultas, un almacenamiento limitado es admisible. Ilimitado no lo es.
¿Qué pasa con los chatbots de proveedores estadounidenses?
Posible, pero más laborioso: se necesita una base sólida para la transferencia y una verificación documentada. Para la mayoría de los pequeños negocios, un proveedor europeo es el camino más sencillo.
Siguiente paso
Enviadnos unas líneas sobre vuestro proyecto.
Leemos cada consulta personalmente y respondemos de forma directa. Sin equipo comercial, sin formulario de devolución de llamada al vacío.