Qué obliga la ley cuando pones un chatbot con IA en tu web

Desde el 2 de agosto de 2026, si tienes un chatbot con inteligencia artificial en tu web, la ley te obliga a avisar de que quien contesta es una máquina. No es una recomendación de buenas prácticas: es el artículo 50 del Reglamento Europeo de Inteligencia Artificial, ya aplicable, con sanciones detrás.

El Reglamento Europeo de Inteligencia Artificial entró en vigor en agosto de 2024, pero sus obligaciones no llegaron todas de golpe: tiene un calendario escalonado. El bloque que te afecta si usas un chatbot es el de transparencia, concentrado en el artículo 50, y es aplicable desde el 2 de agosto de 2026.

A partir de esa fecha, la Comisión Europea asume competencias directas para exigir que los sistemas de IA identifiquen el contenido que generan y que los chatbots adviertan al usuario de que está interactuando con una inteligencia artificial. Las sanciones por incumplimiento de este bloque pueden llegar a 15 millones de euros o el 3% del volumen de negocio anual.

La regla es sencilla de entender: si una persona puede razonablemente pensar que está hablando con un humano, hay que sacarla del error. Y hay que hacerlo desde el principio de la conversación, no en un enlace enterrado en el pie de página.

El matiz importante es razonablemente. Un widget que se abre con un icono de robot y se llama “Asistente virtual” ya está avisando. El problema aparece cuando el agente tiene nombre de persona, escribe con naturalidad y responde en un canal donde el cliente espera a alguien de carne y hueso: WhatsApp, Instagram o un chat de reclamaciones. Ahí el aviso es obligatorio y explícito.

Dónde colocarlo

• En el primer mensaje del agente, no en el segundo. Es el sitio que no admite discusión.
• En el encabezado del widget, visible durante toda la conversación, no solo al abrirlo.
• En WhatsApp e Instagram, dentro del propio mensaje de bienvenida, porque ahí no controlas la interfaz.

Cómo redactarlo sin espantar

El error habitual es escribir un aviso con tono de contrato y arruinar la conversación. No hace falta. Estas dos fórmulas cumplen y suenan normales:

Ese tercer elemento no lo exige el artículo 50, pero lo recomendamos siempre: ofrecer salida a una persona convierte el aviso legal en una ventaja comercial. El cliente que sabe que puede escapar del bot se relaja y sigue la conversación.

Esta parte no es nueva ni viene del Reglamento de IA: es el RGPD de siempre. Pero un chatbot la complica, porque la gente escribe en un chat cosas que jamás pondría en un formulario: su dolencia, su situación económica o su número de teléfono en mitad de una frase.

Base legal

Necesitas una razón jurídica para tratar esos datos. En un chatbot de atención suele ser el interés legítimo o la ejecución de un contrato (si la conversación es para gestionar una cita o un pedido). Lo relevante es que esté decidida y escrita antes de encender el agente, no después.

Plazo de conservación

Aquí está el fallo más repetido. La Agencia Española de Protección de Datos señala precisamente la conservación indefinida de los registros de conversación, sin política de borrado, para reutilizarlos luego en analítica o entrenamiento. Guardar todo “por si acaso” es exactamente lo que el principio de limitación del plazo de conservación prohíbe.

Define un plazo, escríbelo y automatiza el borrado. Si guardas conversaciones seis meses, que a los seis meses se borren solas. Un plazo que depende de que alguien se acuerde de limpiar no es un plazo.

Encargados del tratamiento

Si tu agente funciona con un modelo de OpenAI, Anthropic o Google, los mensajes de tus clientes salen de tu servidor y llegan a esa empresa. Eso convierte al proveedor en encargado del tratamiento, y exige contrato de encargo y mención en tu registro de actividades. Es el punto que más se salta quien instala un chatbot en una tarde.

Tu política actual casi seguro no menciona el chatbot. Estos son los puntos que la AEPD espera encontrar:

• Que existe un asistente automático y qué datos recoge cuando hablas con él.
• La base legal concreta de ese tratamiento, no una genérica para toda la web.
• Cuánto tiempo se guardan las conversaciones y qué pasa cuando vence el plazo.
• Qué proveedores intervienen y si hay transferencias fuera de la Unión Europea.
• Si las conversaciones se usan para mejorar o entrenar el sistema, y qué se hace con ellas.
• Cómo ejercer los derechos de acceso, rectificación y supresión sobre lo que se dijo en el chat.

El penúltimo punto es el que más gente olvida y el que la AEPD menciona expresamente: hay que informar de si el chatbot sigue aprendiendo de las conversaciones y qué operaciones se hacen con esos datos.

Si ya tienes un chatbot funcionando, por orden:

• Abre tu propio chat como si fueras un cliente. ¿El primer mensaje dice que es una IA? Si no, arréglalo hoy: es lo único con fecha vencida.
• Averigua cuánto tiempo llevas guardando conversaciones y si alguien las borra alguna vez.
• Mira qué plan tienes contratado con tu proveedor de IA y si tus datos se usan para entrenar.
• Pásale a tu asesoría los tres puntos anteriores y que actualice la política de privacidad.
• Decide qué pasa cuando el agente escala a una persona: si el histórico se transfiere, el cliente debería saberlo.

El caso del escalado a humano

Un detalle que casi nadie contempla. Cuando el agente pasa la conversación a alguien de tu equipo con todo el historial, técnicamente es una cesión interna de datos. No suele ser problemático (mismo responsable, misma finalidad), pero el cliente debería saber que lo que escribió al bot lo va a leer una persona. Una frase al hacer el traspaso lo resuelve: “te paso con María, que ya tiene el contexto de nuestra conversación”.

El de la segunda fila es más frecuente de lo que parece. Poner al agente un nombre humano está bien y funciona; lo que no puede es quedarse solo en el nombre. “Soy Lucía, la asistente virtual de la clínica” cumple. “Hola, soy Lucía” a secas, no.

El Reglamento sigue desplegándose por fases. Los próximos hitos del calendario son el 2 de diciembre de 2026, el 2 de diciembre de 2027 y el 2 de agosto de 2028. Afectan sobre todo a sistemas de alto riesgo, una categoría en la que un chatbot de atención al cliente no entra por defecto.

Ojo con eso último: no entra por defecto, pero puede entrar según lo que haga. Un agente que solo informa y agenda citas es de riesgo limitado, y le basta con la transparencia. Un sistema que tome decisiones sobre acceso a crédito, empleo o servicios esenciales es otra cosa y tiene obligaciones mucho más duras. Si tu caso se acerca a eso, no te fíes de este artículo: consúltalo.

Si tienes un agente funcionando y no sabes en qué situación estás, podemos revisar cómo está implantado: qué avisa, qué guarda, cuánto tiempo y qué proveedor hay detrás. No hace falta que sea nuestro ni que lo cambies, y la revisión no compromete a nada.