Chatbot de WhatsApp con IA y RGPD: qué tiene que cumplir tu pyme

Una clienta escribe a tu negocio por WhatsApp a las once de la noche: «¿Tenéis hueco el jueves?». Si le contesta un asistente con inteligencia artificial (IA), esa conversación ya es un tratamiento de datos personales: su nombre, su teléfono y lo que cuente. Y el responsable de ese tratamiento eres tú, no el proveedor del bot.

Esta guía resume lo que conviene tener resuelto antes de activarlo. No es asesoramiento jurídico ni sustituye a un profesional: es un mapa para saber qué preguntar. Cada artículo va citado y la fecha clave del Reglamento de IA lleva enlace a su fuente.

Quién es quién: responsable, encargado y subencargados

El Reglamento General de Protección de Datos (RGPD) reparte papeles, y de ellos depende quién firma qué con quién.

Meta, que opera WhatsApp, aplica además sus propias condiciones para empresas, y cómo encaja cada tercero lo fijan sus contratos. Pídele a tu proveedor la lista completa. En la práctica, «el proveedor ya cumple» no basta: la responsabilidad ante tu cliente es tuya, y lo que puedes exigir lo defines en el contrato.

Avisar de que habla con una IA

El artículo 50 del Reglamento de IA, la norma europea de inteligencia artificial, exige que las personas que interactúan con un sistema de IA sepan que es una IA, salvo que resulte evidente para una persona razonablemente informada. En un WhatsApp de empresa, donde las respuestas parecen escritas por alguien, no es evidente.

La fecha importa. Según el análisis de Garrigues, el resto de las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Del artículo 50, el Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026) solo retrasó hasta el 2 de diciembre de 2026 el marcado técnico del contenido generado por IA en sistemas ya comercializados, como recoge Cuatrecasas. Ese retraso no afecta al aviso que ve tu cliente.

Quién carga exactamente con la obligación (el proveedor del sistema o quien lo pone delante del público) y qué sanciones corresponden son cuestiones para tu asesor. Lo práctico no cambia: el aviso tiene que aparecer, y mejor en el primer mensaje.

Qué información de privacidad tienes que dar

Cuando recoges datos del propio cliente, el artículo 13 del RGPD (texto oficial) te obliga a informarle, como mínimo, de:

• Quién eres y cómo contactarte (identidad del responsable).
• Para qué usas los datos y en qué te basas para usarlos (finalidad y base jurídica).
• Quién más los recibe: tu proveedor, la plataforma de mensajería, el proveedor del modelo de IA.
• Si salen de la Unión Europea y con qué garantías.
• Cuánto tiempo los guardas, o con qué criterio lo decides.
• Sus derechos (acceso, rectificación, supresión, limitación, oposición y portabilidad) y que puede reclamar ante la autoridad de control; en España, la Agencia Española de Protección de Datos (AEPD).
• Si hay decisiones automatizadas que le afecten.

No hace falta volcarlo todo en el chat. El artículo 11 de la Ley Orgánica 3/2018 (LOPDGDD, la ley española que desarrolla el RGPD) permite dar la información por capas: lo básico en el primer mensaje y un enlace a la política de privacidad completa. Si tu política no menciona el asistente de WhatsApp, actualízala antes de activarlo.

Pide lo mínimo y no guardes de más

El RGPD pide minimizar los datos: solo los adecuados y necesarios para lo que haces con ellos. Para reservar una cita suele bastar el nombre, el teléfono (que WhatsApp ya te da) y el servicio que quiere el cliente.

• No pidas DNI ni datos que no uses. Si el asistente no los necesita para nada, no los recojas.
• Los datos de salud, ideología, religión y similares son categorías especiales (artículo 9 del RGPD) con reglas más estrictas. Si eres clínica, fisioterapia o asesoría con casos delicados, que el asistente derive a una persona en vez de recoger esos detalles, y consúltalo con un profesional antes de montarlo.
• Define cuánto guardas. El RGPD no fija un plazo único: guardas los datos el tiempo necesario para su finalidad y lo documentas. Por ejemplo, un periodo concreto desde la última conversación y borrado después. Cuál, lo decides tú con tu asesor.
• Prepara el borrado. Si un cliente te pide que elimines su historial, tienes un mes para responder (ampliable en casos complejos). Pregunta a tu proveedor cómo se borra una conversación concreta.

Contestar es una cosa; mandar publicidad, otra

Responder a quien te escribe para pedir información o una cita suele apoyarse en las medidas precontractuales que pide el propio cliente (artículo 6.1.b del RGPD) o en tu interés legítimo (6.1.f), sin un consentimiento aparte. La base exacta depende de cada caso: confírmala con tu asesor.

Enviar promociones es otra cosa. Las comunicaciones comerciales por medios electrónicos necesitan, con matices, consentimiento previo (artículo 21 de la Ley 34/2002, LSSI). Un asistente que contesta no puede convertirse, sin más, en una lista de difusión.

Lo que debe firmar tu proveedor

El artículo 28 del RGPD obliga a regular por contrato el tratamiento que hace un encargado. Antes de contratar a quien monte el bot, pídele estas siete cosas:

• Un contrato de encargo del tratamiento firmado, con el objeto, la duración y los datos que trata.
• La lista de subencargados (plataforma, mensajería, proveedor del modelo de IA) y cómo te avisa si cambia.
• Dónde se procesan los datos y, si salen de la UE, qué garantías de transferencia aplica.
• Si las conversaciones se usan para entrenar modelos. Exige la respuesta por escrito.
• Cómo exportas y borras tus datos si te vas.
• Quién avisa a quién ante una brecha de seguridad: el encargado debe comunicártela, y tú, si procede, notificarla a la AEPD en 72 horas.
• Quién revisa las conversaciones y cuándo, sobre todo las primeras semanas.

Cuatro errores habituales

• Activar el asistente sin avisar de que es una IA. Es el más fácil de evitar: una frase en el primer mensaje.
• Copiar la política de privacidad de otra web. Tiene que describir tu tratamiento real, incluido el asistente.
• Pegar conversaciones de clientes en una herramienta de IA gratuita sin saber qué hace con ellas.
• Dar por bueno a un proveedor porque «es europeo». Lo que cuenta es cómo trata los datos y con qué contrato, no dónde tiene la oficina.

Resumen en una tabla

Cuándo consultarlo con un profesional

Si tratas datos de salud, de menores o de asesoría legal o financiera, si el asistente va a tomar decisiones sobre personas (conceder, denegar, puntuar) o si vas a enviar publicidad masiva, no te quedes con esta guía: habla con un abogado de protección de datos o con un delegado de protección de datos (DPO, por Data Protection Officer). Para un negocio que contesta dudas y apunta citas, estas preguntas cubren lo esencial.

Si aún estás comparando, mira qué es un bot de WhatsApp y cuánto cuesta y cómo exprimir las respuestas automáticas gratuitas.