IA y datos de tus clientes: qué dice el RGPD (y qué no te cuenta quien te vende el chatbot)

Son las 23:40 y entra un WhatsApp en el número del negocio: "Hola, somos cuatro, mi marido y yo y dos niños de 6 y 9 años. Uno es celíaco. ¿Hay plaza para mañana?". En una sola frase te acaban de llegar un número de teléfono, la edad de dos menores y un dato de salud.

Y no es un caso raro. Es un martes cualquiera en temporada alta: alguien que viene en silla de ruedas, una clienta que pregunta si la inmersión es apta para embarazadas, un grupo de empresa que te pasa sus restricciones alimentarias para el food tour. Si estás pensando en que un agente de IA atienda esas consultas en lugar de una persona, la pregunta es inevitable: ¿dónde acaba todo eso, quién lo lee y quién responde si algo sale mal?

Este es el mapa para que sepas qué preguntar y qué documentos exigir antes de firmar nada.

El RGPD no prohíbe la IA: te obliga a saber qué pasa con los datos

El Reglamento General de Protección de Datos no dice nada en contra de usar inteligencia artificial. Lo que exige es que cualquier tratamiento de datos personales (recogerlos, guardarlos, procesarlos) tenga una base legal, una finalidad clara y unas garantías de seguridad.

Cuando contratas un agente de IA entran en juego dos figuras. En cristiano: tú eres el responsable de los datos de tus clientes, y tu proveedor es quien los maneja por encargo tuyo. Tú decides qué se recoge, para qué y durante cuánto tiempo. El proveedor lo ejecuta con sus sistemas, siguiendo tus instrucciones. Y si algo va mal, la Agencia Española de Protección de Datos te pedirá cuentas a ti, no al chatbot.

Por eso el artículo 28 del RGPD exige que esa relación quede en un contrato de encargado del tratamiento. Sin él, no hay nada que limite por escrito lo que el proveedor puede hacer con los datos de tus clientes.

Hay además un tercer nivel que casi nadie mira: los subencargados. Detrás de tu proveedor suele haber otros, como quien aloja las conversaciones o quien pone el modelo de IA. Tienes derecho a saber quiénes son. Contratar un agente no traslada tu responsabilidad al proveedor: la reparte, y solo si queda por escrito.

Qué datos toca de verdad un agente de WhatsApp

Los datos ordinarios son los de siempre: nombre, teléfono, email, fecha de la actividad, número de personas. Necesitan base legal y seguridad, pero justificarlos es sencillo, porque el cliente te los da para que le atiendas.

Los delicados son los que te cuentan sin que los pidas. Alergias e intolerancias, embarazo, movilidad reducida o aptitud médica para una actividad son datos de salud, y el RGPD los trata como categoría especial, con una protección reforzada. Una restricción alimentaria por motivos religiosos también entra ahí. Los datos de menores no son categoría especial, pero merecen un cuidado extra.

La regla práctica: un agente de IA no debe pedir nunca datos de salud por iniciativa propia. Si el cliente los menciona, como en el mensaje de las 23:40, se usan solo para atender esa consulta y la conversación pasa a una persona. Un agente que sabe cuándo derivar es aquí una pieza del cumplimiento, no un riesgo añadido.

Y una regla sin excepciones: el DNI, el pasaporte o cualquier documento de identidad no se piden por chat.

Qué exige la ley de inteligencia artificial a tu chatbot

El Reglamento europeo de Inteligencia Artificial entró en vigor en 2024 y se aplica por fases. La que te afecta directamente es la obligación de transparencia, que se aplica desde agosto de 2026: tu cliente tiene que saber que está hablando con una IA, como tarde en el primer mensaje. No en letra pequeña ni al final de la conversación.

Un primer mensaje del tipo "Soy el asistente virtual de [tu negocio]; si prefieres hablar con una persona, dímelo" resuelve la obligación y, además, genera confianza. Si ese mismo mensaje enlaza a tu política de privacidad, cubres también el deber de información del RGPD: qué datos recoges, para qué y quién los trata.

La parte que nadie te cuenta: el riesgo ya lo tienes, y no es la IA

El problema de protección de datos de tu negocio probablemente no lo va a crear el agente de IA, porque ya existe.

Está en el WhatsApp personal de quien abre por la mañana, con conversaciones de clientes mezcladas con fotos familiares. Está en el grupo del equipo donde se reenvían capturas con nombres y teléfonos. Está en el Excel de emails que alguien fue apuntando durante tres temporadas y al que se mandan ofertas sin que nadie haya pedido permiso. Y está en el widget de chat gratuito que se instaló hace dos años y cuyas condiciones nadie leyó.

Un agente bien montado suele dejar tu negocio más ordenado de lo que está ahora, no menos: contrato firmado, avisos en regla y todas las conversaciones en un solo sitio.

Dicho esto, hay que ser claro en algo que se dice poco. Un "cumple el RGPD" en la web de un proveedor no es una garantía: el cumplimiento se demuestra con documentos, no con sellos. Si no hay contrato de encargado, ni aviso de privacidad en el chat, ni un plazo de conservación definido, el discurso no vale nada ante la AEPD.

El consentimiento no es papeleo: es lo que hace que un cliente sea tuyo

Casi todo lo que se publica sobre IA y protección de datos trata el RGPD como un freno: algo que cumplir para que no te multen. Nosotros lo vemos al revés, y no es una pose. Es la diferencia entre un negocio que depende de los intermediarios y uno que no.

Cuando alguien reserva a través de un marketplace o una OTA, la relación se la queda la plataforma. Tienes al cliente en tu kayak o en tu habitación, pero volver a venderle la temporada que viene pasa otra vez por ellos, y otra vez con comisión.

La conversación de WhatsApp es muchas veces el primer contacto directo. Y un agente que en esa conversación pide permiso para escribirle más adelante, en vez de darlo por supuesto, está construyendo algo con un valor concreto.

"Tengo su número en el móvil" no es lo mismo que "puedo escribirle en marzo con una oferta sin pagar comisión a nadie". Un contacto sin consentimiento no es un cliente tuyo: es un dato que no puedes usar. Un contacto con consentimiento es un cliente al que puedes recuperar cada temporada, directamente.

El RGPD bien hecho no te frena. Es exactamente lo que te permite volver a escribirle.

Las 7 preguntas que tienes que hacerle a tu proveedor antes de firmar

Las respuestas tienen que llegarte por escrito:

- ¿Firmamos un contrato de encargado del tratamiento? Si la respuesta es "no hace falta" o es vaga, para ahí.

- ¿Dónde se guardan las conversaciones y quién más las procesa? Pide la lista de subencargados: alojamiento, modelo de IA y cualquier herramienta intermedia.

- Si los datos salen de la Unión Europea, ¿con qué garantía? Tiene que haber un mecanismo de transferencia válido, como una decisión de adecuación o cláusulas contractuales tipo. "Tranquilo, es seguro" no cuenta.

- ¿Se usan mis conversaciones para entrenar modelos de IA? La respuesta que quieres es no, y por escrito. Si es sí, estás cediendo datos de tus clientes para un fin que no conocen.

- ¿Cuánto tiempo se guarda el historial y podéis borrar el de un cliente concreto si lo pide? El derecho de supresión también se aplica a las conversaciones de chat.

- ¿El agente avisa de que es una IA en el primer mensaje y enlaza a mi política de privacidad? Es lo que piden la ley de IA y el RGPD.

- ¿Cómo pide el consentimiento antes de enviar ofertas? Si "captura leads" sin preguntar, el problema lo tienes tú.

Lo que te toca a ti (aunque el proveedor lo haga todo bien)

Hay cuatro cosas que ningún proveedor puede hacer por ti.

La primera es actualizar tu política de privacidad para que diga que atiendes consultas con un asistente de IA, qué datos recoge, para qué y quiénes son los encargados. Si te la redactó la gestoría hace cinco años, es casi seguro que no dice nada de esto.

La segunda es añadir el agente a tu registro de actividades de tratamiento. Si no lo tienes, empieza por ahí: es el punto de partida de cualquier revisión.

La tercera es separar la atención de la venta. Responder a quien te pregunta por una excursión no te da permiso para mandarle ofertas después. Para lo primero no necesitas su consentimiento, porque te lo pidió él. Para lo segundo sí, con una pregunta clara y no con una casilla escondida.

La cuarta es decidir qué pasa con los datos delicados. Deja por escrito que, si llegan datos de salud o información sensible, el agente no profundiza y pasa la conversación a una persona. Cuantos menos datos sensibles circulen, menos riesgo tienes.

Para aterrizar todo esto en tu caso concreto, habla con tu asesor de protección de datos. Enséñale estas siete preguntas; te lo agradecerá.

Cómo lo hacemos en Metrica One

No te vamos a decir que nuestra solución te blinda contra el RGPD.

Lo que sí hacemos es sentarnos contigo con esas siete preguntas delante y responderlas por escrito antes de empezar. El agente que montamos con Concierge pide consentimiento antes de guardar un dato para tu base de clientes y no confirma reservas ni cobra: eso pasa siempre por tu motor de reservas o por una persona. Ante cualquier duda de disponibilidad o de pago, deriva a tu equipo sin excepción. Y funciona sobre tu mismo número de WhatsApp Business, sin cambiar de número ni de app.

Lo montamos pensando en lo que de verdad nos importa: que cada conversación bien atendida acabe siendo un cliente tuyo, con permiso para volver a escribirle. Es el mismo criterio con el que trabajamos el marketing turístico de nuestros clientes: menos dependencia de intermediarios y más clientes que son tuyos de verdad.

Cumplir el RGPD y la ley de IA no es el objetivo. Es la condición para construir algo que valga la pena: una base de clientes que te pertenece. El marketplace se queda con la relación. El WhatsApp es tu oportunidad de recuperarla, siempre que tengas permiso para volver a escribir.

MÉTRICA.ONE — Reserva directa y marketing honesto para el sector turístico de Baleares. Menos intermediarios, más clientes tuyos.

Sigue leyendo

- Chatbot de atención al cliente: por qué responde bien y no te trae reservas

- Agente de IA: los 3 niveles

- Respuesta automática WhatsApp Business para vender experiencias

- ¿La IA recomienda tu negocio turístico? Qué significa de verdad el GEO

Calcular mis comisiones · Ver más artículos