Chatbot compatible con GDPR: guía paso a paso (2026)

Un chatbot conforme al RGPD necesita un despliegue lícito, no solo un modelo o una ubicación de alojamiento concretos. Define la finalidad y la base jurídica de cada uso de datos personales, identifica adónde van esos datos, establece funciones y contratos, facilita información y procedimientos para ejercer derechos y aplica una seguridad adecuada a los riesgos. La declaración de conformidad de un proveedor no demuestra que todos los usos de sus clientes cumplan los requisitos.

No necesitas automáticamente consentimiento para cada conversación de soporte, alojamiento exclusivo en la UE o un modelo distinto para visitantes europeos. Sí necesitas pruebas de que las decisiones de tu proceso concreto cumplen las normas aplicables. La evaluación incluye al proveedor del modelo, el CRM, la analítica, las integraciones de canales y los registros operativos.

Este artículo se contrastó con fuentes oficiales el 4 de noviembre de 2026. Ofrece un marco de evaluación y ejemplos de implementación; no certifica un despliegue ni sustituye el asesoramiento sobre sus circunstancias jurídicas concretas.

Comprobaciones opcionales de ejemplos

• Previsualizar claves de metadatos. Comprueba cómo los nombres de campo proporcionados se convierten en claves de variables, incluidos duplicados y errores de claves reservadas. No inspecciona valores ni permisos de una cuenta.
• Validar un conjunto de pruebas. Comprueba el formato admitido de un pequeño conjunto de datos proporcionado sin ejecutar tu AI Agent.

Estas comprobaciones no evalúan el cumplimiento jurídico.

Lista de 10 pasos para privacidad y seguridad antes del lanzamiento

Asigna una persona a cada punto y conserva pruebas de la decisión o comprobación:

1. Define el proceso. Separa información pública, soporte de cuentas, transacciones, marketing y mejora del modelo.
2. Identifica los datos personales. Incluye prompts, respuestas, metadatos, archivos, registros recuperados, logs y sistemas conectados.
3. Elige las bases jurídicas. Evalúa cada finalidad antes del tratamiento; incorpora un consentimiento válido cuando sea necesario.
4. Determina funciones y contratos. Establece quién decide los fines y quién trata datos siguiendo instrucciones. Revisa las condiciones de encargo y transferencias aplicables.
5. Minimiza la recogida. Elimina campos innecesarios y evita enviar expedientes completos si basta un resultado limitado.
6. Organiza conservación y derechos. Incluye verificación de identidad, acceso, rectificación, supresión, portabilidad cuando proceda y seguimiento en sistemas posteriores.
7. Evalúa los riesgos. Determina si se requiere una evaluación de impacto relativa a la protección de datos (EIPD) y termínala antes del tratamiento correspondiente.
8. Protege accesos e integraciones. Aplica cifrado, autenticación, permisos, supervisión y gestión de incidentes adecuados.
9. Informa a los usuarios. Publica información exacta, facilita los avisos de IA necesarios y evalúa por separado el almacenamiento del widget.
10. Prueba y asigna responsabilidad permanente. Ensaya fallos, forma al equipo y revisa los cambios de finalidad, proveedor o función.

Principios del RGPD y su efecto en el diseño del chatbot

El RGPD se aplica al tratamiento pertinente en el contexto de un establecimiento en el EEE. También puede abarcar organizaciones externas que ofrecen bienes o servicios a personas en el EEE o supervisan allí su comportamiento. El criterio se refiere al tratamiento y su conexión territorial, no simplemente a la nacionalidad. El CEPD explica el ámbito territorial y los principios básicos.

Nombres, datos de contacto, identificadores en línea y contenido de conversaciones vinculable a personas pueden ser datos personales. Una interfaz pública de preguntas frecuentes también puede recoger identificadores o texto libre con información personal.

Para determinadas infracciones del nivel superior, la multa máxima puede alcanzar 20 millones de euros o, para una empresa, el 4% de su volumen de negocio anual mundial del ejercicio anterior, lo que sea mayor. La aplicación concreta depende de las circunstancias; consulta la explicación del CEPD sobre las facultades de supervisión.

Términos utilizados en esta guía

• Responsable del tratamiento: organización que determina las finalidades y los medios esenciales.
• Encargado del tratamiento: entidad independiente que trata datos personales por cuenta del responsable. La función depende de la actividad real, no solo de la etiqueta contractual.
• Seudonimización: reducción de la vinculación directa, por ejemplo sustituyendo un nombre por un identificador. No convierte automáticamente los datos en anónimos.
• EIPD: evaluación exigida cuando un tratamiento probablemente entrañe un alto riesgo para derechos y libertades. Importan la escala, los datos sensibles, las personas vulnerables y las decisiones automatizadas significativas. Usar IA no resuelve por sí solo la cuestión. Consulta las orientaciones del CEPD sobre EIPD y las listas de las autoridades competentes.

Convertir los requisitos del RGPD en procesos operativos

Parte del recorrido real del mensaje de un visitante hasta su supresión definitiva. Los diseños siguientes son ejemplos de implementación, no una lista de funciones incorporadas en Quickchat AI.

Minimización de datos desde el diseño

Define un esquema required_fields para cada tarea. Una consulta de cita puede necesitar una hora preferida y un medio de contacto; preguntar por el horario público no debería exigir un perfil de cliente.

La guía de captación de leads con un chatbot para sitios web ofrece una configuración concreta que puedes evaluar: responder primero a las preguntas generales y después recopilar datos de contacto para un seguimiento solicitado. Revisa los campos y los destinatarios según tus propios fines antes de usarla con clientes.

Revisa más que el formulario visible. Una consulta al CRM podría recuperar un expediente entero cuando solo hace falta el estado de un pedido. Limita los campos devueltos y los datos enviados al modelo. No incluyas credenciales ni información ajena a la tarea en los prompts.

Enmascarar una entrada protege frente a miradas cercanas. No demuestra que el valor subyacente nunca se haya recogido, registrado o transmitido. La ocultación puede reducir divulgaciones accidentales, pero comprueba sus omisiones, incluidos identificadores en frases corrientes.

Consentimiento y otras bases jurídicas

La guía de la Comisión sobre bases jurídicas identifica varias opciones. La necesidad para ejecutar un contrato, los intereses legítimos tras la evaluación correspondiente y el consentimiento tienen condiciones diferentes. Elige la base antes de tratar los datos, en lugar de añadir una casilla a cada tarea.

Si recurres al consentimiento, concreta la finalidad y garantiza una elección libre, informada e inequívoca. Retirarlo debe ser tan sencillo como otorgarlo. Separa el marketing opcional del soporte necesario. Confirmar la lectura de un aviso no equivale por sí solo a consentir todos sus usos.

La doble confirmación puede ayudar a acreditar el consentimiento en ciertos contextos. No es una obligación universal del RGPD. Las directrices del CEPD sobre consentimiento distinguen consentimiento ordinario y explícito y presentan la verificación en dos fases como una posible técnica.

Si esta es tu base, registra finalidad, versión del aviso, acción afirmativa, momento e identificador pertinente. Protege esa prueba y aplica una conservación justificada. Las categorías especiales, como datos de salud, necesitan una condición aplicable del artículo 9 además de una base del artículo 6.

Gestionar acceso, supresión y portabilidad

Ofrece un canal accesible y una persona o equipo responsable de completar la solicitud. Un comando personalizado /my_data o /delete_my_data podría abrirla, pero ninguno es una función incorporada verificada de Quickchat AI. Un acuse de recibo en el chat no prueba que el derecho se haya satisfecho.

Un proceso práctico verifica la identidad proporcionalmente, localiza registros, evalúa el derecho y las excepciones, coordina encargados, realiza la acción y documenta la respuesta. Entrega exportaciones de forma autenticada e impide que un visitante solicite datos de otra persona.

El responsable debe actuar sin dilación indebida y normalmente en un mes natural. Una ampliación permitida de hasta dos meses adicionales exige informar a la persona, con motivos, dentro del primer mes. La supresión tiene causas y excepciones, incluidas ciertas obligaciones legales de conservación. Acceso y portabilidad también difieren: la del artículo 20 se aplica, bajo condiciones, a datos proporcionados por la persona y tratados automáticamente por consentimiento o contrato. Consulta la guía de derechos del CEPD.

Las vías de eliminación de Quickchat AI producen efectos distintos. Eliminar un AI Agent hace inaccesibles sus conversaciones, pero no las borra. Eliminar una cuenta borra en segundo plano las conversaciones de sus Agents actuales; la documentación detalla exclusiones como conversaciones de Agents eliminados anteriormente, adjuntos, exportaciones, índices de búsqueda y registros externos. Contacta con soporte para el procedimiento de supresión pertinente. Desconectar un canal Meta detiene el tratamiento autorizado futuro, pero no elimina automáticamente el historial.

Para el proceso general de soporte, nuestra guía de configuración de un asistente de atención al cliente es independiente de este procedimiento de derechos.

Limitación de conservación y programación

El RGPD no fija un límite universal de 30 o 90 días para conversaciones. Define la conservación según finalidad y categoría, incluidas las obligaciones legales aplicables. Distingue conversaciones activas, exportaciones, prueba de consentimiento, registros de seguridad y copias de respaldo.

Este pseudocódigo conceptual ilustra programación y verificación, no una implementación completa de supresión ni una opción existente del producto:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Documenta responsable de la política, criterios, excepciones permitidas, método y pruebas de finalización. Supervisa los fallos en vez de asumir que una tarea programada llegó a todos los sistemas.

Las copias de respaldo necesitan un tratamiento explícito. El informe del CEPD de febrero de 2026 sobre supresión señala dificultades prácticas y la necesidad de considerar las supresiones al restaurar sistemas. No establece que eliminar inmediatamente los datos de todas las copias de respaldo o esperar cualquier caducidad normal cumpla siempre las exigencias legales. Describe restricciones, calendario y restauración reales sin prometer una eliminación universal en un mes.

Artículo 22 y revisión humana efectiva

El artículo 22 afecta a decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o de importancia similar. Una respuesta corriente a una pregunta frecuente no es automáticamente una decisión así. Elegibilidad crediticia, admisiones o acceso a servicios esenciales requieren más análisis.

Identifica esos puntos antes de construir el proceso. Cuando se aplique la disposición, evalúa la excepción y garantías pertinentes. En las excepciones por necesidad contractual o consentimiento explícito, las garantías incluyen intervención humana, expresar el propio punto de vista e impugnar la decisión. Las categorías especiales tienen restricciones adicionales.

La persona revisora necesita información y autoridad para reconsiderar el resultado. Añadir un botón de transferencia cuando la decisión queda prácticamente fijada no basta. Registra de forma proporcionada criterios reales, entradas y resultado de la revisión; una explicación generada no demuestra cómo se tomó una decisión importante.

Medidas de seguridad adecuadas a los riesgos del chatbot

El artículo 32 exige medidas técnicas y organizativas apropiadas. No prescribe un algoritmo de cifrado ni un producto de autenticación universal. Utiliza las orientaciones de seguridad del CEPD para relacionar las protecciones con los daños posibles, el contexto y la tecnología disponible.

Cifrado en tránsito y en reposo

Protege conexiones y datos almacenados con cifrado y gestión de claves adecuados. Revisa individualmente la conexión visitante-widget, integraciones, acceso administrativo, bases de datos, exportaciones y respaldos.

TLS protege una conexión de transporte; el cifrado en reposo protege los datos guardados. No constituyen por sí solos cifrado de extremo a extremo, en el que los intermediarios no pueden leer el contenido. Un servicio que procesa mensajes puede necesitar descifrarlos. No presentes TLS 1.3 o AES-256 como especificaciones obligatorias del RGPD ni pruebas de conformidad.

Autenticación, roles de acceso e integración de identidad

Utiliza autenticación fuerte, incluida MFA cuando corresponda, para administrar el sistema. Para consultas sobre cuentas, es preferible una sesión de cliente ya autenticada a pedir un identificador de cuenta en un chat público.

Evalúa la autorización por separado: una sesión válida no debe revelar datos de otro cliente. Da al personal acceso según sus funciones y retíralo cuando deje de ser necesario. Quickchat AI documenta sus roles de equipo; comprueba que satisfacen tus requisitos.

Valora SSO empresarial cuando proceda, sin deducir compatibilidad con SAML de un acceso ordinario mediante Google. La identificación biométrica puede generar obligaciones adicionales y no es una opción universalmente más segura.

Seguridad de API y permisos de integración limitados

Usa credenciales de alcance limitado y aplica la autorización en la aplicación conectada. Una instrucción al modelo para acceder solo a los datos de cierto cliente no constituye un control de acceso técnico.

Aplica límites de solicitudes adecuados, valida parámetros y salidas estructurados y revisa qué puede leer o cambiar cada Action o integración. Prueba accesos entre clientes y credenciales revocadas. Documenta qué terceros reciben datos personales, incluidos servicios de errores y analítica.

Supervisión, registros y respuesta a incidentes

Registra lo suficiente para investigar accesos y fallos sin copiar automáticamente cada conversación completa a cada sistema de supervisión. Define por separado acceso, conservación y ocultación de los registros operativos.

El procedimiento de incidentes debe cubrir contención, investigación, recuperación, documentación y decisiones de notificación. El RGPD exige al responsable notificar una violación que deba comunicarse a la autoridad competente sin dilación indebida y, si es posible, dentro de 72 horas desde su conocimiento, salvo que sea improbable que entrañe un riesgo para derechos y libertades. Un riesgo probablemente alto puede requerir informar a los afectados sin dilación indebida, con las excepciones del artículo 34. El encargado informa a su responsable sin dilación indebida.

Son obligaciones y umbrales distintos; las orientaciones de la DPC irlandesa sobre violaciones explican la diferencia. Las propuestas del Digital Omnibus sobre el RGPD no justifican aplicar ahora otro plazo.

Lista de evaluación de seguridad

Gestionar riesgos propios de la IA

La evaluación debe abarcar tanto la información que recibe el modelo como las acciones que pueden activar sus salidas. Los controles generales de seguridad de software siguen siendo necesarios.

Inyección de prompts y pruebas adversarias

La inyección de prompts puede llegar mediante mensajes de visitantes o contenido recuperado que intenta desviar al modelo. Un documento podría ordenarle revelar registros privados o invocar una Action sin relación con la tarea.

Separa instrucciones fiables y contenido no fiable, restringe permisos, valida argumentos y prueba accesos no autorizados. Filtros e instrucciones pueden ayudar, pero no garantizan la prevención. Las orientaciones de OWASP sobre inyección de prompts señalan que RAG y fine-tuning no eliminan totalmente la vulnerabilidad.

Utiliza datos sintéticos o preparados adecuadamente. Registra si el sistema rechazó, divulgó información, invocó una herramienta o escaló; una frase final tranquilizadora no demuestra por sí sola un comportamiento seguro.

Alucinaciones y validación de respuestas

Un modelo puede producir una respuesta plausible sin respaldo en las pruebas disponibles. Recuperar información de una Knowledge Base mantenida puede fundamentar respuestas, pero no garantiza exactitud ni aplica permisos por sí mismo.

Prueba políticas obsoletas, fuentes contradictorias, registros ausentes y solicitudes fuera de alcance. Facilita la notificación de errores y el traslado de casos no resueltos a una persona. Contrasta respuestas sobre cuentas con registros autorizados, no con la confianza del modelo. Nuestra explicación de las alucinaciones de IA analiza este comportamiento.

Fugas, entrenamiento y ocultación de datos

Entrenamiento, inferencia, estado de la aplicación y registros son tratamientos distintos. No asumas que cada mensaje entrena un modelo ni que no entrenar significa no transmitir o conservar datos.

Las preguntas legales de Quickchat AI indican que el material de clientes no se usa para entrenar LLM y que la limpieza de información personal está disponible bajo petición. No promete limpiar cada mensaje ni detectar todos los datos personales. Confirma configuración y condiciones del proveedor.

La ocultación de entradas debe preceder al tratamiento que pretende evitar; la de salidas ocurre después de generar la respuesta. Retirar un nombre puede dejar contexto identificativo. El CEPD distingue seudonimización y anonimización, y su dictamen sobre modelos de IA exige evaluar el anonimato caso por caso.

Pruebas para explicaciones y trazabilidad

Conserva pruebas proporcionadas de fuentes recuperadas, acciones, ajustes pertinentes y revisión humana. Una explicación generada, puntuación interna de confianza o técnica de explicación no demuestra automáticamente conformidad jurídica.

En la Inbox de Quickchat AI, Why AI said that puede mostrar fuentes y pruebas de ejecución. Ayuda a investigar una respuesta, pero no explica completamente las causas internas del modelo ni sustituye la evaluación de obligaciones de explicación en decisiones significativas.

Tratamiento internacional y ubicación de servidores

Identifica almacenamiento, procesamiento del modelo, acceso del soporte, integraciones y transferencias posteriores. La región de una base de datos responde solo a parte de la cuestión.

Alojamiento en el EEE y tratamiento fuera del EEE

El RGPD no exige universalmente alojamiento exclusivo en la UE. Las transferencias fuera del EEE necesitan un mecanismo aplicable del capítulo V además de los demás requisitos. La guía de transferencias del CEPD explica adecuación, garantías apropiadas y excepciones limitadas.

Las preguntas legales de Quickchat AI describen almacenamiento GCP en Bélgica. Su política de privacidad trata aparte transferencias a Estados Unidos y garantías contractuales. El almacenamiento belga no demuestra tratamiento exclusivo en la UE. Las preguntas legales también describen opciones Enterprise, como nube privada, LLM autoalojados y despliegue local; arquitectura, disponibilidad y responsabilidades deben acordarse para el caso concreto.

Cláusulas contractuales tipo y EU-US Data Privacy Framework

La lista actual de adecuación de la Comisión incluye organizaciones comerciales estadounidenses participantes en el EU-US Data Privacy Framework. Verifica participación activa y alcance para la transferencia. Una dirección estadounidense no basta.

Al usar cláusulas contractuales tipo u otro instrumento del artículo 46, evalúa si las leyes y prácticas del destino perjudican las garantías y si hacen falta medidas adicionales. Las transferencias cubiertas por una decisión de adecuación no requieren automáticamente la misma evaluación adicional. Ningún mecanismo elimina obligaciones de finalidad, base jurídica, seguridad o contratos de encargo.

No confundas el estatus del proveedor de nube con el del proveedor del chatbot. Quickchat AI describe una alineación con DPF en curso, no participación verificada.

Ejemplo de proveedor: controles de datos de la API de OpenAI

La documentación de datos de la API de OpenAI indica que entradas y salidas no se usan para entrenamiento por defecto, salvo autorización del cliente. Distingue registros de supervisión de abusos y estado de la aplicación. Los registros estándar pueden conservarse hasta 30 días, con excepciones legales o de seguridad.

Zero Data Retention y Modified Abuse Monitoring requieren aprobación y tienen límites por endpoint. Confirma cuenta, endpoint, contrato y lugares reales de tratamiento. Los controles de historial de ChatGPT para consumidores no establecen los de una integración API. Esas condiciones generales no prueban que una cuenta concreta de Quickchat AI tenga retención cero.

Acuerdos de encargo y responsabilidades de proveedores

Cuando un proveedor trata datos por tu cuenta, el artículo 28 exige un contrato vinculante u otro acto jurídico admisible. Evalúa por separado usos para sus propios fines, en lugar de asignar la misma función a todas sus actividades. Las directrices del CEPD sobre responsables y encargados explican la diferencia y los requisitos contractuales.

Cláusulas obligatorias y preguntas adicionales sobre IA

Comprueba que el acuerdo incluya:

• Objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos, categorías de personas y derechos y obligaciones del responsable.
• Instrucciones documentadas, incluidas transferencias, con las excepciones legales aplicables de la UE o sus Estados miembros.
• Confidencialidad y seguridad adecuada conforme al artículo 32.
• Autorización escrita previa, específica o general, de subencargados, aviso de cambios y posibilidad de oposición con autorización general, trasladando las obligaciones exigidas.
• Ayuda para derechos, seguridad, violaciones y evaluaciones de impacto.
• Supresión o devolución a elección del responsable tras finalizar los servicios, y eliminación de copias salvo obligación de conservación de la UE o un Estado miembro.
• Información necesaria para demostrar conformidad y disposiciones para auditorías e inspecciones.

Pregunta aparte por entrenamiento, feedback, conservación y usos secundarios. El RGPD no exige simplemente prohibir todo entrenamiento posible; cada uso necesita evaluar finalidad, función y condiciones jurídicas.

Quickchat AI publica un acuerdo de tratamiento de datos. Revisa las condiciones firmadas aplicables y la documentación complementaria. Su disponibilidad no demuestra por sí sola que un contrato o despliegue concreto cumpla todos los requisitos anteriores.

Puntos de negociación con proveedores de IA

Solicita respuestas específicas sobre lugares de tratamiento, subencargados, conservación operativa, controles de cuenta, comunicación de violaciones y procedimientos de salida. Distingue ajustes documentados de compromisos contractuales particulares.

Pregunta qué ocurre al desactivar una función, desconectar un canal, eliminar un Agent o terminar el contrato. Establece alcance del exportado, pruebas de borrado, datos legalmente conservados y tratamiento de respaldos. Responsabilidad y niveles de servicio son también cuestiones comerciales; una declaración general de seguridad no sustituye el anexo técnico completo.

Personalización y minimización

Empieza por la información mínima necesaria para responder la pregunta actual. Los perfiles persistentes necesitan su propia finalidad y evaluación.

Privacidad diferencial y tratamiento en el dispositivo

La privacidad diferencial puede limitar la información revelada sobre personas en determinadas aplicaciones estadísticas o de entrenamiento. Su protección depende de implementación y parámetros; mencionar la técnica no demuestra anonimización ni licitud.

Procesar una preferencia en el dispositivo del visitante puede reducir la recogida en servidores. Comprueba qué sale todavía del dispositivo, incluidos identificadores y telemetría. El almacenamiento o acceso puede tener implicaciones de ePrivacy incluso sin datos personales.

Respuestas por segmentos y perfiles individuales

Adaptar una respuesta a una categoría de producto indicada puede requerir menos datos que mantener un perfil de comportamiento permanente. Sin embargo, asignar un cliente conocido a un segmento puede seguir siendo tratamiento personal.

Evalúa finalidad real, base jurídica, información, conservación y acceso. No toda personalización exige consentimiento, y las decisiones automatizadas significativas necesitan una evaluación separada del artículo 22. Ofrece un servicio básico útil cuando se rechace el perfilado opcional.

Chatbots en sectores regulados

Las reglas sectoriales dependen de entidad, actividad y jurisdicción. Un chatbot de IA para despachos jurídicos y un chatbot de IA para servicios financieros necesitan límites claros entre información general, acceso a cuentas y asesoramiento profesional. Una advertencia no resuelve por sí sola esos límites.

Salud: datos sensibles y obligaciones HIPAA aplicables

Los datos sanitarios requieren una condición aplicable para categorías especiales además de una base del artículo 6. Reservas, administración, evaluación de síntomas y decisiones clínicas presentan riesgos diferentes. Un chatbot de IA para clínicas dentales debería tener una vía de escalado clínico apropiada a su función.

En Estados Unidos, HIPAA se aplica a covered entities y business associates, no automáticamente a todos los datos sanitarios. Una relación pertinente con un business associate necesita el acuerdo exigido. Verifica permisos, salvaguardias y conservación específica con la organización responsable. No deduzcas adecuación a HIPAA de un DPA del RGPD, una afirmación de cifrado o una página comercial sanitaria.

Finanzas: conservación documental y control de decisiones

Identifica las normas de la empresa y del tipo de registro antes de fijar plazos. La regla FINRA 4511, por ejemplo, afecta a empresas miembros y prevé seis años para registros FINRA sin otro plazo especificado. No es una regla universal para todas las conversaciones.

Distingue información pública de productos, asesoramiento personalizado y decisiones de elegibilidad. Evalúa autorización, deberes profesionales, documentación y revisión efectiva cuando proceda. No te apoyes ni en una prohibición general de automatizar finanzas ni en una advertencia genérica que supuestamente lo permita.

Servicios públicos: evaluación e información accesible

Los organismos públicos generalmente necesitan un delegado de protección de datos (DPD), con las excepciones aplicables; una EIPD concreta depende de los riesgos. Una FAQ pública y un sistema que influye en el acceso a prestaciones requieren evaluaciones distintas.

Explica quién opera el servicio, cómo usa los datos y cómo obtener ayuda o ejercer derechos. Considera usuarios vulnerables, alternativas accesibles y consecuencias de respuestas erróneas o transferencias fallidas. Examina las exigencias sectoriales y de accesibilidad en vez de suponer que la interfaz ya las cumple.

Evaluar proveedores y tecnología

Pide pruebas vinculadas al proceso previsto. Nuestra guía de compra de chatbots de IA aporta contexto adicional; la evaluación de privacidad debe seguir atendiendo a tus flujos reales.

Qué demuestran ISO 27001, SOC 2 y Cyber Essentials

ISO/IEC 27001 se refiere a un sistema de gestión de seguridad de la información. Examina organización, servicios, ubicaciones y validez del certificado, sin asumir que su logotipo cubre todo producto.

SOC 2 es un informe de atestación, no una certificación. Un informe Type 2 examina la eficacia operativa durante su período. Comprueba sistemas, criterios, excepciones y responsabilidades del cliente en el documento real.

Cyber Essentials es un programa británico sobre controles técnicos básicos frente a amenazas comunes de Internet. Ninguno demuestra por sí solo conformidad del uso con el RGPD. Quickchat AI describe SOC 2 como una iniciativa en curso; no lo interpretes como un informe terminado.

15 preguntas para posibles proveedores

1. ¿Dónde se almacenan y procesan prompts, respuestas, archivos, registros y respaldos, y quién accede a distancia?
2. ¿Qué funciones y actividades cubre el DPA propuesto?
3. ¿Cómo se aísla el acceso a los datos de cada cliente?
4. ¿Qué conexiones y registros están cifrados, y cómo se gestionan las claves?
5. ¿Qué reglas de conservación y borrado corresponden a cada categoría?
6. ¿Cómo se atienden y verifican acceso, rectificación, supresión y portabilidad?
7. ¿Qué subencargados participan y cómo se comunican sus cambios?
8. ¿Se usan datos de clientes para entrenamiento, evaluación o feedback, y con qué condiciones?
9. ¿Cómo se investigan incidentes y comunican las violaciones relevantes?
10. ¿Qué certificados o informes actuales cubren el servicio específico?
11. ¿Qué autenticación, roles e integraciones de identidad están disponibles realmente?
12. ¿Qué pruebas existen sobre inyección de prompts, acciones no autorizadas y fugas?
13. ¿Qué opciones de privacidad y seguridad son predeterminadas, configurables o acuerdos Enterprise?
14. ¿A qué registros y pruebas de fuentes o acciones accede el cliente, y cuáles son sus límites?
15. ¿Cómo podemos revisar pruebas de conformidad, exportar datos y verificar la finalización del servicio?

Una matriz de comparación de proveedores

Registra pruebas y dudas junto a las puntuaciones. Un dato contractual u operativo desconocido debe seguir siendo desconocido, no recibir puntos por lenguaje comercial. Una condición obligatoria incumplida no debe quedar oculta en una suma favorable.

Descarga un registro de flujos de datos del despliegue

Descarga el registro editable de flujos de datos. El paquete compartido en inglés contiene tres CSV vacíos, un ejemplo ficticio separado e instrucciones. Úsalo para registrar componentes, movimientos de datos, evidencias y preguntas pendientes de tu despliegue propuesto. No describe una arquitectura verificada de Quickchat AI.

1. En components.csv, enumera el navegador, la aplicación, el almacén de conocimiento, el proveedor del modelo, los servicios conectados, los registros y las copias de seguridad que realmente correspondan. Registra por separado las ubicaciones de procesamiento y almacenamiento, junto con el uso para entrenamiento, la conservación, el alcance de eliminación y la responsabilidad del acceso. Mantén sin resolver los hechos desconocidos.
2. En data-flows.csv, conecta los ID de los componentes y describe el propósito, las categorías de datos y las condiciones de acceso de cada flujo. Registra categorías y referencias documentales, no transcripciones privadas ni credenciales.
3. En evidence-register.csv, vincula cada afirmación con una fuente fechada y su alcance. Distingue las declaraciones del proveedor, los contratos y la configuración de los planes de prueba y los registros de pruebas observadas. Una prueba planificada sigue en not_run. Asigna un responsable a las preguntas abiertas.

Importa los CSV UTF-8 en hojas separadas y conserva sus identificadores. El verificador offline opcional comprueba el formato y las referencias; no puede verificar una afirmación del proveedor ni determinar el cumplimiento legal. Usa el registro junto con las preguntas y la matriz anteriores, con la revisión que requiera tu despliegue real.

Hoja de ruta práctica para equipos pequeños

Limita el proceso inicial a lo que tu equipo pueda operar y verificar. Empezar por información pública puede reducir complejidad, aunque texto libre e identificadores técnicos sigan necesitando evaluación.

Software autoalojado y SaaS: ventajas y compromisos

El autoalojamiento puede dar más control directo sobre arquitectura y datos. También requiere operar, actualizar, supervisar y proteger el sistema. Licencias e infraestructura tienen costes variables; ser de código abierto no garantiza un despliegue gratuito ni elimina encargados externos.

SaaS puede proporcionar infraestructura gestionada y soporte, pero el cliente debe establecer finalidades, bases, configuración y condiciones adecuadas. Compara el trabajo restante para el equipo, no solo la suscripción. Verifica ofertas de nube privada o autoalojamiento como acuerdos específicos, no como una opción incluida en todos los planes.

Controles posibles con recursos limitados

Usa software mantenido, transporte seguro, autenticación apropiada y acceso restringido. Mantén credenciales fuera de los prompts y registros innecesarios fuera de la Knowledge Base. Establece un buzón de derechos con responsable y un registro de conservación que refleje los sistemas reales.

Utiliza plantillas de autoridades para estructurar la evaluación, pero redacta los avisos a partir de tus flujos. Un generador genérico de políticas no establece qué hace tu chatbot. Prueba restauración además de respaldos, documenta incidentes y conserva una vía humana de escalado. Si faltan salvaguardias necesarias o una evaluación jurídica, reduce el alcance antes de lanzar.

Tres ejemplos hipotéticos de implementación

Son ejemplos de diseño, no casos de clientes, resultados medidos ni pruebas de aprobación regulatoria.

• Asistente informativo de banca minorista. Limita el bot a información pública aprobada y remite operaciones de cuenta a un servicio autenticado. Evalúa bases, proveedores y registros. Prueba si un visitante puede inducir la divulgación de datos de cuenta. El diseño aún necesita revisión según las reglas del banco.
• Asistente de admisiones universitarias. Separa orientación general, estado de solicitudes y decisiones de admisión. Un portal de derechos personalizado podría verificar identidad y reunir registros para revisión y entrega segura. JSON puede servir para solicitudes pertinentes de portabilidad, pero generar un archivo no demuestra acceso completo ni cumplimiento de plazos.
• Asistente administrativo sanitario. Define tareas permitidas de reserva e información, minimiza los datos solicitados y prevé escalado clínico apropiado. Evalúa la ocultación ante datos sanitarios inesperados, reconociendo sus omisiones. Una advertencia o capa de ocultación no demuestra que el texto restante sea anónimo ni utilizable sin restricciones para entrenar.

El AI Act europeo junto al RGPD

El AI Act entró en vigor en agosto de 2024 y se aplica por etapas. No sustituye al RGPD. En la fecha de revisión, el calendario actual de la Comisión refleja modificaciones adoptadas, no solo el calendario original.

Transparencia vigente y fechas para sistemas de alto riesgo

El artículo 50 se aplica desde el 2 de agosto de 2026. Los proveedores deben garantizar que las personas sepan que interactúan directamente con IA, salvo que sea evidente en el contexto. La información requerida debe ser clara y accesible en la primera interacción. Revisa otras obligaciones del artículo 50 cuando sean pertinentes para el contenido o sistema.

El AI Omnibus adoptado entró en vigor el 27 de julio de 2026. Los requisitos de alto riesgo correspondientes se aplican ahora desde el 2 de diciembre de 2027 a sistemas del anexo III y desde el 2 de agosto de 2028 a sistemas vinculados a productos del anexo I. La clasificación depende del uso previsto y criterios legales; operar en un sector regulado no convierte automáticamente un chatbot en alto riesgo.

Evalúa por separado responsabilidades del proveedor y del responsable del despliegue, incluidas documentación, supervisión, registros y conformidad aplicables. El artículo 4 modificado sigue exigiendo medidas de alfabetización en IA del personal, sin garantizar un nivel individual específico.

El procedimiento independiente del Digital Omnibus sobre RGPD/ePrivacy seguía pendiente al comprobarlo el 4 de noviembre de 2026. No deben tratarse sus propuestas como derecho vigente.

ISO/IEC 42001 y gobernanza de IA

ISO/IEC 42001:2023, publicada en diciembre de 2023, define un marco de gestión de IA. Puede ayudar a organizar responsabilidades, evaluación de riesgos y revisión continua. Alinearse o certificarse no demuestra automáticamente que un chatbot cumpla el RGPD o todas las obligaciones del AI Act.

Calendario de implementación y matriz de responsabilidades

Utiliza un plan por etapas para detectar pruebas ausentes antes del lanzamiento público. Es un ejemplo, no un plazo legal ni una promesa de terminar cualquier proyecto en 90 días.

Plan de 90 días con puntos de revisión

• Días 1-30: análisis. Define tareas, flujos, bases, funciones y requisitos sectoriales. Comprueba la necesidad de EIPD, identifica decisores y reúne pruebas del proveedor.
• Días 31-60: implementación. Acuerda las condiciones de encargo; configura información, accesos, integraciones y conservación. Construye los procesos necesarios de derechos e incidentes. Completa la evaluación conforme se concreta el diseño.
• Días 61-90: verificación. Prueba tareas normales, solicitudes no autorizadas, respuestas incorrectas, alcance de supresión y recuperación. Forma al equipo, resuelve las garantías necesarias y revisa la EIPD exigida antes del tratamiento. Un piloto limitado también necesita protección apropiada.

Fija el lanzamiento según la preparación, no solo el calendario. La guía de plataformas de IA conversacional aporta contexto adicional.

Ejemplo RACI con asesoramiento independiente del DPD

R indica quién ejecuta el trabajo, A quién responde del proyecto en la organización, C a quién se consulta e I a quién se informa. Este ejemplo operativo no traslada la responsabilidad legal del responsable ni del encargado.

El delegado de protección de datos (DPD) asesora y supervisa independientemente. Las directrices sobre DPD atribuyen conformidad y EIPD al responsable y advierten contra conflictos con funciones que determinan finalidades y medios. No toda organización debe designar un DPD.

Antes de aprobar el despliegue

Revisa conjuntamente mapa de datos, contratos, conservación y pruebas operativas. Confirma quién recibirá solicitudes de derechos o incidentes y qué ocurre al cambiar proveedor, integración o finalidad.

En Quickchat AI, distingue controles documentados de requisitos que exigen un acuerdo concreto. Eliminar cuentas o Agents, mostrar avisos, limpiar datos bajo petición y declarar una región de almacenamiento tienen alcances limitados. Resuelve las exigencias del despliegue real antes de apoyarte en ellos.

Preguntas frecuentes sobre privacidad de chatbots

¿Puede un chatbot basado en GPT cumplir el RGPD?

Puede formar parte de un despliegue lícito según finalidades, datos, funciones, contratos, seguridad, derechos y transferencias. Un nombre de modelo, un ajuste sin entrenamiento o un servidor europeo no basta. La seudonimización puede reducir riesgos sin sacar los datos del ámbito del RGPD.

¿Cómo suprimo los datos de un usuario que lo solicita?

Verifica identidad de forma proporcionada, identifica registros, evalúa motivos y excepciones, coordina encargados y comprueba el resultado. Actúa sin dilación indebida y normalmente en un mes natural, comunicando a tiempo cualquier ampliación permitida. Incluye logs, exportaciones y respaldos. Eliminar un AI Agent de Quickchat no equivale a borrar sus conversaciones.

¿Qué autenticación debería usar un chatbot?

Adáptala a la tarea. Una FAQ pública quizá no necesite autenticación; los detalles de cuenta y transacciones necesitan una vía autenticada y autorizada apropiada. Protege la administración, valora MFA y verifica restricciones de roles. Ni SSO ni biometría resuelven todos los procesos.

¿Cuánto tiempo puedo guardar conversaciones según el RGPD?

Solo el tiempo justificado por la finalidad, sujeto a obligaciones legales aplicables. Define períodos o criterios por categoría y explícalos en la información de privacidad. Un ejemplo de 30 o 90 días no es un valor predeterminado del RGPD, y la prueba de consentimiento también necesita conservación justificada.

¿Necesito un DPA si alojo el modelo por mi cuenta?

Evalúa si otra entidad trata datos personales en tu nombre. Ejecutar tú mismo el software no crea automáticamente una relación de encargo con su editor, pero alojamiento, soporte, analítica u otros servicios pueden hacerlo. Las condiciones pertinentes del artículo 28 siguen siendo necesarias para encargados, y autoalojar no elimina tus obligaciones.

¿Puede un chatbot tomar decisiones totalmente automatizadas conforme al artículo 22?

La restricción del artículo 22 afecta a decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos. Cuando corresponda, evalúa una excepción aplicable y las garantías, incluida intervención humana efectiva si es necesaria. Las respuestas de soporte normales no quedan automáticamente incluidas; decisiones importantes de elegibilidad o acceso requieren más examen.

¿Qué debe incluir un aviso de privacidad de chatbot?

Explica responsable y contactos, fines y bases, destinatarios y transferencias relevantes, conservación, derechos y vías de reclamación. Incluye la demás información de los artículos 13 o 14 para la recogida real, como retirada del consentimiento e información pertinente sobre decisiones automatizadas. Mantenla accesible y exacta. Facilita los avisos de interacción con IA por separado de la obtención del consentimiento.

¿Cómo reduzco el riesgo de inyección de prompts?

Trata mensajes y contenido recuperado como no fiables. Limita permisos, aplica autorización fuera del modelo, valida parámetros y prueba accesos no autorizados o acciones ajenas. Instrucciones, filtros y RAG no garantizan prevención. Conserva una vía de investigación y escalado humano.

¿Necesitan consentimiento de cookies los widgets de chat?

Evalúa cada almacenamiento o acceso y su finalidad según la aplicación nacional de ePrivacy. Las orientaciones del CEPD abarcan más que cookies. Las operaciones estrictamente necesarias para un servicio solicitado expresamente pueden estar exentas; otras pueden necesitar consentimiento previo. El widget de Quickchat AI usa almacenamiento local del navegador para continuidad de conversaciones y preferencias. No asumas que todo almacenamiento está exento ni que todo widget deba bloquearse íntegramente antes de una elección.

¿Sustituye el AI Act europeo al RGPD para chatbots?

No. El RGPD sigue regulando el tratamiento personal pertinente; el AI Act añade obligaciones según sistema, función y uso. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026. Comprueba el calendario modificado actual para alto riesgo, en lugar de basarte en las previsiones iniciales de 2025/2026.

Para evaluar la plataforma Quickchat AI, empieza por un proceso definido y los datos que necesita, y compara después controles documentados y condiciones con tus requisitos.