Sí, es legal. Y como casi todas las respuestas cortas en materia de protección de datos, viene con condiciones que conviene conocer antes de montarlo, no después de que un cliente pregunte.
Este artículo recoge lo que aplica a un caso muy concreto: un SaaS europeo que usa un sistema de IA para atender conversaciones de soporte de sus clientes. No es asesoramiento legal, y si vendes a empresas grandes te van a pedir que esto lo revise un abogado.
Lo que exige el Reglamento General de Protección de Datos
Base jurídica
Necesitas una razón legal para tratar los datos, y en soporte casi siempre es la misma: la ejecución del contrato. Si alguien es cliente tuyo y te escribe con una duda sobre el servicio, atenderle forma parte de lo que has contratado. No hace falta un consentimiento específico para responder a una consulta.
Ojo: eso cubre atender. No cubre usar esas conversaciones para entrenar un modelo, que es otra finalidad y necesita su propia base jurídica.
Transparencia
Tienes que decir que hay un sistema automático. No hace falta un aviso legal de tres párrafos: basta con que quien escribe sepa que le está respondiendo un asistente y cómo llegar a una persona.
Es también lo más sensato desde el punto de vista de producto. Un cliente que descubre a mitad de conversación que llevaba diez minutos hablando con un sistema se enfada más por el descubrimiento que por el sistema.
Decisiones automatizadas
El artículo 22 del reglamento limita las decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente a una persona. Responder una duda no entra ahí. Cancelar una cuenta, denegar un reembolso o aplicar una penalización, según cómo se plantee, puede entrar.
La regla práctica que evita el problema entero: que un sistema automático no tome decisiones desfavorables sin una persona en medio. Consultar datos y resolver peticiones rutinarias es una cosa; denegar algo es otra.
Minimización
El sistema debería acceder a los datos que necesita para responder y no a todos los que existen. En la práctica esto se traduce en una decisión concreta al montarlo: qué endpoints se exponen y con qué permisos. Es la misma decisión que hace que el sistema funcione bien, así que no es un coste añadido.
Lo que añade el Reglamento de IA
El reglamento europeo de inteligencia artificial clasifica los sistemas por riesgo. Un asistente de soporte al cliente no es de alto riesgo en su clasificación: los usos de alto riesgo son cosas como la selección de personal, la calificación crediticia o la biometría.
Lo que sí aplica es la obligación de transparencia para sistemas que interactúan con personas: hay que informar de que se está interactuando con un sistema de IA, salvo que resulte evidente. Coincide con lo que ya pide el reglamento de protección de datos, así que cumplir con uno cubre lo del otro.
Las tres preguntas que te van a hacer
Cuando vendas a una empresa mediana o grande, su equipo legal o de compras te va a mandar un cuestionario. Estas tres aparecen siempre.
1. ¿Dónde se ejecutan los modelos?
Es la pregunta más importante y la que más proveedores esquivan. Si el modelo de lenguaje que procesa las conversaciones de tus clientes se ejecuta fuera del Espacio Económico Europeo, hay una transferencia internacional que hay que documentar y amparar.
La respuesta cómoda de dar es que todo —plataforma, copias de seguridad y modelos— se ejecuta en regiones de la Unión Europea. Es lo que hacemos nosotros, y está detallado en la página de seguridad.
2. ¿Se usan mis conversaciones para entrenar?
Tiene que estar por escrito en el contrato, y la respuesta correcta para un proveedor B2B es que no. Si un proveedor no lo dice claramente en su documentación, la pregunta hay que hacerla explícitamente y por escrito.
3. ¿Quién es responsable y quién encargado?
Tú, que decides qué se hace con los datos de tus clientes, eres el responsable del tratamiento. Tu proveedor de soporte es un encargado que trata datos por cuenta tuya. Esa relación se documenta en un acuerdo de encargo de tratamiento, que tiene que estar firmado antes de empezar.
El nuestro está publicado en el anexo de tratamiento de datos, con la lista de subencargados incluida.
La lista de comprobación
Antes de poner un sistema de IA a atender clientes:
- Base jurídica identificada para atender, y otra distinta si vas a usar los datos para otra cosa
- Aviso de que hay un sistema automático, visible en la conversación
- Vía clara para hablar con una persona, sin obstáculos
- Ninguna decisión desfavorable sin intervención humana
- Acuerdo de encargo firmado con el proveedor, con sus subencargados listados
- Ubicación de los modelos documentada, y las transferencias amparadas si las hay
- Política de conservación: cuánto tiempo se guardan las conversaciones y qué pasa al terminar el contrato
- Registro de actividades de tratamiento actualizado con este tratamiento incluido
Los ocho puntos son trabajo de una mañana si el proveedor tiene la documentación publicada, y de varias semanas si hay que pedírsela.
Lo que suele salir mal
Enterarse tarde. El momento de descubrir que tu proveedor procesa fuera de Europa no es cuando el equipo de compras de un cliente grande te manda el cuestionario.
Confundir aviso con consentimiento. Informar de que hay un sistema automático es obligatorio. Pedir consentimiento para atender a alguien que ya es cliente, no: y pedirlo cuando no toca crea la impresión de que estás haciendo algo raro.
Automatizar decisiones desfavorables. Es la única línea que de verdad conviene no cruzar sin asesoramiento, y es fácil cruzarla sin darse cuenta al automatizar la gestión de reembolsos.
