Sí, es legal. Como casi todo en protección de datos, viene con condiciones, y conviene conocerlas antes de montarlo y no cuando un cliente pregunte.
Este artículo cubre un caso concreto: un SaaS europeo que usa un sistema de IA para atender las conversaciones de soporte de sus clientes. No es asesoramiento legal, y si vendes a empresas grandes te pedirán que lo revise un abogado.
¿Qué hay que cumplir para usar IA en la atención al cliente?
Atender a un cliente con un sistema de IA es lícito si cumples cinco condiciones: le dices que es un sistema automático, puede llegar a una persona, el sistema no toma decisiones desfavorables por su cuenta, solo accede a los datos que necesita y tienes firmado con el proveedor un acuerdo de encargo de tratamiento que diga dónde se procesan los datos y que no se usan para entrenar. La lista completa tiene ocho puntos y se hace en una mañana si el proveedor tiene la documentación publicada.
Lo que exige el Reglamento General de Protección de Datos
Base jurídica
Necesitas una razón legal para tratar los datos, y en soporte casi siempre es la misma: la ejecución del contrato. Si alguien es cliente tuyo y te escribe con una duda sobre el servicio, atenderle forma parte de lo contratado. No hace falta un consentimiento específico para responder a una consulta.
Para quien todavía no es cliente (alguien que pregunta desde la web antes de registrarse), la base suele ser el interés legítimo o las medidas precontractuales, y basta con decirlo en la política de privacidad.
Eso cubre atender. Usar esas conversaciones para entrenar un modelo es otra finalidad y necesita su propia base jurídica.
Transparencia
Tienes que decir que hay un sistema automático. No hace falta un aviso legal de tres párrafos: basta con que quien escribe sepa que le responde un asistente y cómo llegar a una persona.
También es lo más sensato para el producto. Un cliente que descubre a mitad de conversación que llevaba diez minutos hablando con un sistema se enfada más por haberlo descubierto que por el sistema. Un «Soy el asistente de Intake; si prefieres hablar con alguien del equipo, dímelo» en el primer mensaje cumple la norma y evita la queja.
Decisiones automatizadas
El artículo 22 del reglamento limita las decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente a una persona. Responder una duda no entra ahí. Cancelar una cuenta, denegar un reembolso o aplicar una penalización, según cómo se plantee, puede entrar.
La regla práctica que evita el problema: que un sistema automático no tome decisiones desfavorables sin una persona en medio. Consultar datos y resolver peticiones rutinarias no plantea problema. Ampliar una prueba, reenviar una factura o reactivar un webhook porque lo pide el cliente son acciones a su favor. En cambio, «no, no te devolvemos el dinero» lo decide una persona.
Minimización
El sistema solo debe acceder a los datos que necesita para responder. En la práctica, al montarlo decides qué partes de tu API expones y con qué permisos. Esa misma decisión es la que hace que el sistema funcione bien, así que no es un trabajo extra. Un agente que puede leer el plan y el uso, pero no el historial de pagos completo, cumple mejor la minimización y además se equivoca menos.
Derechos de las personas
Acceso, rectificación, supresión y portabilidad. Con un sistema de IA delante, la pregunta práctica es esta: si un cliente pide que borres sus datos, ¿desaparecen también sus conversaciones con el asistente y los registros de lo que el asistente consultó? Tiene que ser que sí, y tienes que poder demostrarlo.
Lo que añade el Reglamento de IA
El reglamento europeo de inteligencia artificial clasifica los sistemas por riesgo. Un asistente de soporte al cliente no es de alto riesgo: en esa categoría están usos como la selección de personal, la calificación crediticia o la biometría.
Sí te afecta la obligación de transparencia para sistemas que interactúan con personas: hay que informar de que se habla con un sistema de IA, salvo que sea evidente. Coincide con lo que ya pide el reglamento de protección de datos, así que cumpliendo uno cumples el otro.
Si tu proveedor usa un modelo de propósito general de un tercero (OpenAI, Anthropic, Google, Amazon), las obligaciones sobre ese modelo son del proveedor del modelo. A ti te toca saber cuál es y dónde se ejecuta.
Las tres preguntas que te van a hacer
Cuando vendas a una empresa mediana o grande, su equipo legal o de compras te mandará un cuestionario. Estas tres preguntas salen siempre.
1. ¿Dónde se ejecutan los modelos?
Es la pregunta más importante y la que más proveedores esquivan. Si el modelo de lenguaje que procesa las conversaciones de tus clientes se ejecuta fuera del Espacio Económico Europeo, hay una transferencia internacional que tienes que documentar y amparar.
La respuesta más cómoda es que todo (plataforma, copias de seguridad y modelos) se ejecuta en regiones de la Unión Europea. Es lo que hacemos nosotros, y lo detallamos en la página de seguridad.
2. ¿Se usan mis conversaciones para entrenar?
Tiene que estar por escrito en el contrato, y la respuesta correcta de un proveedor B2B es que no. Si no lo dice claramente en su documentación, pregúntalo y pide la respuesta por escrito. Y distingue entre el proveedor de la herramienta y el del modelo: los dos tienen que decir que no.
3. ¿Quién es responsable y quién encargado?
Tú, que decides qué se hace con los datos de tus clientes, eres el responsable del tratamiento. Tu proveedor de soporte es un encargado que trata datos por cuenta tuya. Esa relación se documenta en un acuerdo de encargo de tratamiento, que tiene que estar firmado antes de empezar.
El nuestro está publicado en el anexo de tratamiento de datos, con la lista de subencargados incluida. En qué pedir a un proveedor de IA antes de firmar está la lista completa de documentos.
La lista de comprobación
Antes de poner un sistema de IA a atender a tus clientes:
- Base jurídica identificada para atender, y otra distinta si vas a usar los datos para otra cosa
- Aviso de que hay un sistema automático, visible en la conversación
- Vía clara para hablar con una persona, sin obstáculos
- Ninguna decisión desfavorable sin intervención humana
- Acuerdo de encargo firmado con el proveedor, con sus subencargados listados
- Ubicación de los modelos documentada, y las transferencias amparadas si las hay
- Política de conservación: cuánto tiempo se guardan las conversaciones y qué pasa al terminar el contrato
- Registro de actividades de tratamiento actualizado con este tratamiento incluido
Los ocho puntos se hacen en una mañana si el proveedor tiene la documentación publicada, y en varias semanas si hay que pedírsela.
Lo que suele salir mal
- Enterarse tarde. No esperes al cuestionario de compras de un cliente grande para descubrir que tu proveedor procesa los datos fuera de Europa.
- Confundir aviso con consentimiento. Informar de que hay un sistema automático es obligatorio; pedir consentimiento para atender a alguien que ya es cliente, no. Y pedirlo sin que haga falta da la impresión de que estás haciendo algo raro.
- Automatizar decisiones desfavorables. Es la única línea que conviene no cruzar sin asesoramiento, y es fácil cruzarla sin darse cuenta al automatizar los reembolsos.
- Dar acceso a todo «por si acaso». Un agente con acceso a toda la base de datos es un problema de minimización y un riesgo de seguridad. Expón lo que necesita para responder y nada más.
- No poder enseñar qué hizo. Si un cliente pregunta qué consultó el asistente sobre su cuenta, tienes que poder decírselo. Un agente que no registra sus acciones no cumple la norma ni se puede mantener. Más en ¿puedo ver qué acciones ha ejecutado el agente?.
Preguntas frecuentes
¿Tengo que pedir consentimiento para que un bot atienda a mis clientes?
No, si ya son clientes: la base es la ejecución del contrato. Lo que tienes que hacer es informar de que es un sistema automático y dar una vía para hablar con una persona.
¿Puede un agente de IA ver los datos de mis clientes?
Puede ver los que tú le des, y solo esos. La minimización y el sentido común coinciden: el plan, el uso y el estado de la suscripción, sí; lo demás, solo si hace falta para responder. Más en ¿puede un agente de IA ver los datos de mi cliente?.
¿Qué pasa si el modelo se ejecuta en Estados Unidos?
Hay una transferencia internacional que debe ampararse (con cláusulas contractuales tipo o con el marco de adecuación vigente para proveedores adheridos) y documentarse. Es legal, pero supone papeleo y una pregunta más en cada cuestionario. Con modelos en la UE, esa pregunta desaparece.
¿El Reglamento de IA me obliga a algo más?
Para un asistente de soporte, solo a informar de que lo es. No es un sistema de alto riesgo, y las obligaciones sobre el modelo de base son de quien lo proporciona.
¿Puede el agente cancelar una suscripción o denegar un reembolso?
Cancelar porque lo pide el cliente, sí, con confirmación. Denegar algo, solo con una persona en medio: es el tipo de decisión que el artículo 22 del RGPD reserva a la intervención humana. Más en ¿puede un agente de IA cambiar el plan de un cliente?.
