En este artículo
Este artículo es informativo y no sustituye al asesoramiento de un profesional. Cada empresa tiene su situación y conviene contrastarla con tu asesoría o tu delegado de protección de datos.
Por qué esto te afecta aunque seas pequeño
Existe la idea de que la normativa de protección de datos es cosa de empresas grandes. No lo es: el RGPD se aplica a cualquiera que trate datos personales, y una pyme con un asistente de WhatsApp está tratando datos personales de forma bastante intensiva.
La buena noticia es que cumplir, en la mayoría de los casos, no es complicado ni caro. Es cuestión de tomar unas cuantas decisiones bien al principio, en lugar de tener que rehacerlo después.
Lo que exige el RGPD cuando automatizas
Base legal para tratar los datos
Necesitas un motivo válido para tratar cada dato. Para atender a un cliente que te escribe, normalmente basta con la ejecución del contrato o el interés legítimo. Para mandarle comunicaciones comerciales después, hace falta consentimiento explícito. No son lo mismo y no se pueden mezclar.
Información transparente
La persona tiene que saber qué haces con sus datos, quién los trata y cuánto tiempo los guardas. En un formulario web eso es el enlace a la política de privacidad junto a la casilla. En WhatsApp, un primer mensaje que lo indique con un enlace.
Minimización
Solo los datos que necesitas para lo que estás haciendo. Es el principio que más se incumple al automatizar, porque guardar todo «por si acaso» es lo cómodo. Si el asistente no necesita el DNI para responder sobre un pedido, no se lo pidas.
Plazo de conservación
Las conversaciones no se guardan para siempre. Define un plazo, escríbelo en la política y haz que el sistema borre solo cuando toque. Un borrado automático programado resuelve esto sin que nadie tenga que acordarse.
Encargados del tratamiento
Cada proveedor que toca los datos por cuenta tuya —el que te aloja, el del modelo de IA, el de la mensajería— es un encargado del tratamiento y necesita su contrato. Todos los proveedores serios tienen uno estándar disponible; es cuestión de firmarlo y archivarlo.
Dónde acaban tus datos al usar IA
Esta es la pregunta que más nos hacen y la que peor se explica en el mercado. Tres cosas concretas que conviene comprobar de tu proveedor de modelos:
- Si usan tus datos para entrenar. Los planes de empresa de los principales proveedores no lo hacen por defecto, pero hay que verificarlo por escrito, no darlo por hecho.
- Dónde se procesan. Si el tratamiento sale de la Unión Europea, hacen falta garantías adicionales. Varios proveedores ofrecen procesamiento en región europea; merece la pena elegirlo aunque cueste un poco más.
- Cuánto tiempo retienen lo que envías. Suele haber una retención temporal por seguridad. Debe estar documentada y ser acotada.
La medida más eficaz es anterior a todo esto: no mandar al modelo lo que no hace falta. Si el asistente tiene que clasificar una consulta, no necesita el nombre completo ni el teléfono. Filtrar los datos antes de enviarlos reduce el problema de raíz, y es una de las razones por las que trabajamos con n8n autoalojado: el filtrado ocurre en tu servidor.
El Reglamento europeo de IA, en corto
La Unión Europea aprobó en 2024 el Reglamento de Inteligencia Artificial, que clasifica los sistemas por nivel de riesgo y va entrando en aplicación por fases. Para una pyme que automatiza atención al cliente o procesos administrativos, lo relevante se resume en dos ideas:
- Transparencia. Cuando alguien interactúa con un sistema de IA, debe poder saberlo. Decir «te atiende un asistente automático» al empezar la conversación cubre esto y, además, mejora la experiencia.
- Usos de alto riesgo. Hay categorías con obligaciones mucho más exigentes, como los sistemas que intervienen en selección de personal, concesión de crédito o acceso a servicios esenciales. Si tu automatización toca alguno de esos terrenos, ahí sí hace falta asesoramiento específico.
El calendario de aplicación tiene varias fechas escalonadas y ha estado sujeto a ajustes, así que conviene confirmar con tu asesoría qué obligaciones están vigentes en el momento en que lances el proyecto.
Lista de comprobación antes de lanzar
Antes de poner el sistema en producción
- ¿Está identificada la base legal de cada tratamiento?
- ¿La política de privacidad menciona el uso de sistemas automatizados y de IA?
- ¿El usuario sabe desde el primer mensaje que habla con un sistema automático?
- ¿Hay contrato de encargado firmado con cada proveedor implicado?
- ¿Está definido y programado el plazo de borrado?
- ¿Se envía al modelo solo lo imprescindible?
- ¿Puede la persona pedir hablar con un humano en cualquier momento?
- ¿Está actualizado el registro de actividades de tratamiento?
- ¿Hay una vía clara para ejercer derechos de acceso, rectificación y supresión?
Errores que vemos a menudo
- Reutilizar los datos para vender. Alguien escribe para preguntar un plazo y acaba en la lista de novedades. Es la infracción más común y la más fácil de evitar.
- Guardar conversaciones indefinidamente porque «pueden hacer falta».
- Mandar el mensaje entero al modelo cuando bastaba con la pregunta.
- No poder borrar a una persona. Si alguien ejerce su derecho de supresión y sus datos están repartidos por cinco sistemas sin identificador común, tienes un problema. Pensar esto al diseñar cuesta cero; resolverlo después, mucho.
- Copiar una política de privacidad de otra web. Tiene que describir lo que tú haces de verdad.
Cuando montamos un proyecto, esta lista forma parte de la entrega. Puedes ver cómo encaja en el conjunto en la página de proceso.