Chatbot, RGPD y Reglamento de IALo que la ley pide a tu IA de soporte, en una página
Dos normas europeas tocan tu chat con IA: una cuida los datos de quien escribe y la otra, que sepa con quién habla.
Actualizada el 10 de noviembre de 2026 · Equipo de Nitidesk
Dos leyes, dos preguntas
No compiten: se suman. El RGPD mira los datos; el Reglamento de IA mira a la IA.
RGPD
Reglamento General de Protección de Datos
¿Qué haces con los datos de quien escribe?
InformarQuién trata los datos, para qué y cuánto tiempo, en el momento de recogerlos (artículo 13).
Contrato con quien los trata por tiLa plataforma de soporte es encargada del tratamiento: hace falta un contrato (artículo 28).
Usar solo lo necesarioLa IA no necesita la ficha entera del cliente para contestar sobre su factura.
Cuidado al salir de la UESi los datos viajan fuera del Espacio Económico Europeo, hacen falta garantías (capítulo V).
Persona en las decisiones seriasNadie debe quedar sujeto solo a una decisión automática con efectos importantes para él (artículo 22).
Reglamento de IA
Reglamento (UE) 2024/1689
¿Sabe la persona que habla con una IA?
Avisar de que es una IASi un sistema habla con personas, tienen que saber que es una IA, salvo que sea evidente (artículo 50).
Formar a quien la usaLas personas de tu empresa que trabajan con la IA deben entender lo suficiente cómo funciona (artículo 4).
Saber en qué categoría estásUna IA de atención al cliente no suele ser «alto riesgo»: sus deberes son sobre todo de transparencia.
Por dónde viajan los datos de una conversación
Cuatro paradas. En cada una hay una pregunta que tienes que poder contestar antes de encender la IA.
Mejor si todo queda dentro de la UE
Tu cliente
Escribe en el chat. Debe saber que habla con una IA y quién trata sus datos.
Aviso de IA e información
El chat
Recoge la conversación y, si lo conectas, quién es y qué plan tiene.
Solo los campos necesarios
La plataforma de soporte
Guarda conversaciones y documentación. Es tu encargada del tratamiento.
Contrato de encargado
El proveedor del modelo de IA
Recibe lo que la IA necesita para contestar. Es un subencargado.
Sin entrenar con tus datos
Si algún proveedor trata los datos fuera del Espacio Económico Europeo, el RGPD pide garantías, como una decisión de adecuación o cláusulas contractuales tipo. Pregúntalo antes de firmar.
El calendario del Reglamento de IA
Se aplica por fases. La que toca a un chat de soporte, la transparencia, ya está en marcha.
Entra en vigor
El Reglamento de IA se publica y empieza a contar.
Prohibiciones y formación
Prácticas prohibidas y deber de formar a quien usa la IA.
Modelos de uso general
Obligaciones para quien crea los grandes modelos de IA.
Transparencia
Avisar de que se habla con una IA (artículo 50). Ya se aplica.
La que te afecta
Alto riesgo, anexo III
Aplazado por el Reglamento (UE) 2026/1744. No suele afectar al soporte.
Alto riesgo, anexo I
IA dentro de productos regulados, como máquinas o productos sanitarios.
Fechas del Reglamento (UE) 2024/1689 y del aplazamiento de las obligaciones de alto riesgo del Reglamento (UE) 2026/1744, revisadas el 10 de noviembre de 2026.
El aviso de IA: mal, regular y bien
El primer mensaje del chat es donde se cumple o no el artículo 50. Tres formas de empezar la misma conversación.
Oculto
¡Hola! Soy Laura, ¿en qué te ayudo?
Un nombre de persona y ninguna pista. Es justo lo que el artículo 50 quiere evitar.Escondido
Hola, ¿en qué te ayudo?
Este servicio puede usar herramientas automatizadas.
Hay aviso, pero en letra pequeña y sin decir que contesta una IA.Claro
Hola, soy la IA de soporte de TuSaaS. Si prefieres hablar con una persona, dímelo y te paso.
Dice qué es, para quién trabaja y cómo llegar a una persona.
Ejemplos inventados. «TuSaaS» es un nombre de ejemplo.
Diez casillas antes de encender la IA
Si puedes marcarlas todas, tienes lo esencial. Si alguna se queda en blanco, ya sabes qué preguntar.
Es una lista práctica, no un dictamen. Revísala con tu asesor o tu delegado de protección de datos.
Revisado porFecha
Cómo lo resuelve Nitidesk
Lo que te toca a ti sigue siendo tuyo, como tu política de privacidad. Esto es lo que ponemos nosotros.
Datos en la UE
Tus datos y los de tus clientes están en servidores en la UE, separados de los de los demás clientes.
Contrato de encargado
Lo firmamos antes de recibir ningún dato, también para la auditoría gratis.
Sin entrenar con tus datos
Trabajamos con proveedores de IA con acuerdo de no entrenar con tus datos.
Aviso de IA
La IA se presenta como tal, y cada decisión queda registrada.
Solo lo necesario
Tú decides qué campos de la cuenta comparte tu producto con la IA.
Persona en lo delicado
Los temas que marques como «Nunca sola» pasan siempre a una persona con un resumen.
Cada empresa con lo suyo
Nadie ve las conversaciones, la documentación ni el código de otra empresa.
El detalle, con lo que firmamos y cuándo, está en seguridad y RGPD. Y si conectas tu código, el acceso es de solo lectura.
Preguntas sobre chatbots y la ley
Art. 01¿Un chatbot tiene que cumplir el RGPD?
Sí, en cuanto trata datos personales: un nombre, un correo, una cuenta o lo que el cliente escriba. Tienes que informar, usar solo lo necesario y firmar un contrato con la plataforma que los trata por ti.
Art. 02¿Es obligatorio avisar de que contesta una IA?
Sí. Desde el 2 de agosto de 2026, el artículo 50 del Reglamento de IA obliga a que las personas sepan que hablan con una IA, salvo que sea evidente. Lo más seguro es decirlo en el primer mensaje.
Art. 03¿Un chatbot de atención al cliente es IA de alto riesgo?
Normalmente no. La lista de alto riesgo habla de ámbitos como el empleo, el crédito, la educación o los servicios públicos esenciales. Un asistente que resuelve dudas de un software tiene sobre todo deberes de transparencia.
Art. 04¿Qué multas hay?
El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación mundial en los casos más graves. El Reglamento de IA, de hasta 15 millones o el 3 % por incumplir obligaciones como la de transparencia. Las autoridades gradúan la cuantía según el caso.
Art. 05¿Puedo usar ChatGPT u otra IA con datos de mis clientes?
Puedes, si el proveedor actúa como encargado con contrato, sabes dónde trata los datos y si entrena con ellos, y has informado a tus clientes. Con una cuenta personal y sin contrato, no.
Art. 06¿Quién es responsable si la IA da un dato equivocado?
Frente a tu cliente, tu empresa. Por eso conviene que la IA no cierre sola lo delicado y que cada decisión quede registrada. Lo explicamos en la guía de alucinaciones de la IA.
Art. 07¿Esta guía sustituye a un asesor legal?
No. Explica la norma en general para que sepas qué preguntar. Para tu caso concreto, consúltalo con tu asesor o tu delegado de protección de datos.