IA conforme al RGPD

Una IA conforme al RGPD es un uso de la inteligencia artificial en el que los datos personales se tratan según las normas del Reglamento General de Protección de Datos: con una base jurídica, un contrato de encargo del tratamiento (DPA), minimización de datos y plazos de conservación definidos. En la atención al cliente, la Ley de IA de la UE exige además desde agosto de 2026 que los clientes puedan saber que están escribiendo a una IA.

¿Qué significa una IA conforme al RGPD?

En cuanto una IA responde a las consultas de los clientes, trata datos personales: nombres, números de teléfono, números de pedido y, a veces, información de salud o financiera. El RGPD se aplica a ese tratamiento igual que a tu CRM o a tus campañas de email. Una IA conforme al RGPD no significa que la propia IA lleve un sello. Significa que tanto el proveedor como tu empresa cumplen las normas de protección de datos.

¿En qué fijarse en un proveedor de IA?

  • Contrato de encargo del tratamiento: sin DPA no puedes ceder datos de clientes a un proveedor.
  • Lugar del tratamiento: ¿dónde funcionan la plataforma y la IA? Es la cuestión de la residencia de los datos.
  • Transferencias a terceros países: ¿qué datos salen de la UE y sobre qué base? Para el contexto, ver la sentencia Schrems II.
  • Entrenamiento de modelos: ¿se usan tus datos de clientes para entrenar el modelo de IA?
  • Seguridad: cifrado y medidas técnicas y organizativas documentadas.
  • Conservación: ¿puedes definir cuándo se eliminan los mensajes y los contactos (política de conservación de datos)?

¿Qué añade la Ley de IA de la UE?

El RGPD y la Ley de IA de la UE son dos normas distintas. El RGPD protege los datos, la Ley de IA regula los sistemas de IA. Para la IA en la atención al cliente, lo esencial es la obligación de transparencia de la IA del artículo 50, vigente desde el 2 de agosto de 2026: los clientes deben poder saber que están escribiendo a una IA. Cómo se traduce esto en un chat se explica en divulgación de IA.

¿Cuáles son los errores habituales?

Un ejemplo: una clínica de fisioterapia usa un agente de IA para las solicitudes de cita. Un paciente escribe por su cuenta detalles de su diagnóstico en el chat. Según el artículo 9 del RGPD, los datos de salud son una categoría especial de datos. Por eso, la clínica debería decidir de antemano cómo tratar esos mensajes y configurar el agente para que solo pida lo que necesita para la cita. Otros problemas típicos:

  • políticas de privacidad que no mencionan el uso de la IA
  • no comprobar si hace falta una evaluación de impacto relativa a la protección de datos (EIPD)
  • suponer que en WhatsApp, Instagram y Messenger todo se queda en la UE: en esos canales, el enrutamiento pasa por Meta

Esta entrada no constituye asesoramiento jurídico. Que tu uso concreto sea conforme depende también de tu base jurídica y de tu política de privacidad.

¿Cómo gestiona SendSeven la IA conforme al RGPD?

SendSeven es conforme al RGPD y está alojado en la UE, y la IA también funciona en la UE. El DPA está disponible para todos los planes y puedes descargarlo en la aplicación en cualquier momento. Tus datos no se usan para entrenar el modelo de IA subyacente. Los datos se cifran en tránsito y en reposo, y tú mismo defines los plazos de conservación. Los agentes de IA de SendSeven conformes al RGPD están preparados para la Ley de IA de la UE: en el Live Chat, los clientes ven que están escribiendo a una IA, y puedes editar tú mismo el texto informativo. La IA se puede desactivar en cualquier momento.