Un chatbot de atención al cliente parece, a primera vista, una herramienta inofensiva: contesta preguntas, agenda citas, resuelve dudas sobre un pedido. Pero en cuanto ese chatbot empieza a pedir un nombre, un número de teléfono, un correo o el número de un pedido para localizar a un cliente, está tratando datos personales, y eso activa exactamente las mismas obligaciones del RGPD que cualquier otro sistema de tu empresa que maneje esa información. La pregunta de qué datos personales puede procesar un agente conversacional no tiene una respuesta única: depende de qué hace el chatbot, qué guarda y durante cuánto tiempo.
Antes de entrar en detalle: este artículo explica el marco general para que sepas qué preguntas hacerte, no sustituye el análisis de un abogado o un delegado de protección de datos sobre tu caso concreto. Si tu chatbot va a tratar datos sensibles o va a tomar decisiones automatizadas, la recomendación es siempre consultar con un profesional antes de lanzarlo.
Qué tipo de datos suele tocar un chatbot, de menor a mayor sensibilidad
No todos los datos que pasan por un chatbot pesan igual desde el punto de vista del RGPD. Es útil pensarlo en capas:
- Datos de identificación básica: nombre, correo, teléfono. Son datos personales, pero de riesgo relativamente bajo si se tratan con las medidas de seguridad adecuadas.
- Datos transaccionales: número de pedido, historial de compras, importes. Siguen siendo datos personales, y su combinación con datos de identificación permite construir un perfil bastante detallado de una persona.
- Datos sensibles o de categoría especial: salud, orientación, afiliación, datos biométricos. Un chatbot de una clínica que pregunta por síntomas, o de una aseguradora que pide datos médicos, está tratando una categoría de datos que exige garantías reforzadas mucho más allá de las de un chatbot de una tienda online.
Cuanto más alto en esta escala trabaja tu chatbot, mayor es el nivel de cuidado que exige el diseño del sistema, y más recomendable es que un especialista revise el flujo completo antes de ponerlo en marcha.
El principio que más se olvida: minimización
El RGPD exige que solo se recojan los datos estrictamente necesarios para la finalidad del tratamiento, un principio que explicamos con más detalle en qué es el principio de minimización de datos. Aplicado a un chatbot, esto significa que si la única finalidad es localizar un pedido, no hace falta pedir la fecha de nacimiento del cliente, ni guardar el historial completo de la conversación indefinidamente "por si acaso". Un error habitual al diseñar chatbots es configurarlos para recoger más información de la necesaria, pensando que "cuantos más datos, mejor para personalizar la respuesta", sin plantearse que cada dato de más es una responsabilidad adicional, no un beneficio gratuito.
Quién ve las conversaciones y dónde se almacenan
Un chatbot no procesa las conversaciones en el vacío: normalmente hay un proveedor tecnológico detrás (a menudo un modelo de lenguaje de un tercero) que recibe esos mensajes para generar la respuesta. Esto convierte a ese proveedor en un encargado del tratamiento, y tu empresa sigue siendo responsable de que ese tratamiento cumpla el RGPD, incluida la ubicación de los servidores donde se almacenan las conversaciones y las garantías si esos datos salen del Espacio Económico Europeo. Antes de activar cualquier chatbot, conviene tener claro este flujo completo, algo que tratamos con más detalle en es seguro darle mis datos a un agente de IA.
Información al usuario: que sepa que habla con una IA y qué se hace con sus datos
Un chatbot que recoge datos personales debería informar, de forma clara y accesible, de dos cosas: que está hablando con un sistema automatizado (no con una persona, salvo que efectivamente lo sea) y qué se hace con la información que proporciona, con un enlace a la política de privacidad correspondiente. No hace falta que esta información sea intrusiva o interrumpa la conversación, pero sí debe estar disponible y ser fácil de encontrar, no escondida deliberadamente.
Cuánto tiempo se conservan las conversaciones
Otro punto que se pasa por alto con frecuencia es el plazo de conservación de las conversaciones del chatbot. No existe una respuesta universal válida para cualquier empresa: depende de la finalidad del tratamiento y de si existe alguna obligación legal de conservación aplicable a tu sector (por ejemplo, en el ámbito financiero o sanitario, donde los plazos pueden ser distintos y conviene verificarlos con un profesional). Lo que sí es una mala práctica generalizada es conservar todas las conversaciones de forma indefinida sin ningún criterio, simplemente porque "no cuesta nada guardarlas".
Decisiones automatizadas: cuándo el chatbot deja de ser solo un canal de atención
Hay una diferencia relevante entre un chatbot que solo informa o deriva a una persona, y uno que toma decisiones automatizadas con efecto sobre el usuario, por ejemplo aprobando o denegando algo sin intervención humana. Este segundo caso activa garantías adicionales del RGPD sobre decisiones automatizadas, un tema que desarrollamos con más detalle centrado en el consentimiento en RGPD y perfilado automatizado. Si tu chatbot solo conversa y deriva, el nivel de exigencia es distinto al de uno que decide.
Una checklist rápida antes de activar un chatbot
Antes de poner en marcha un agente conversacional que va a tratar datos personales, conviene tener respuesta clara a estas preguntas: ¿qué datos recoge exactamente, y son todos necesarios para su función? ¿Quién es el proveedor tecnológico detrás, y dónde procesa la información? ¿Existe un aviso claro de privacidad accesible desde la propia conversación? ¿Cuánto tiempo se conservan las conversaciones y quién decide ese plazo? ¿El chatbot toma decisiones automatizadas o solo informa y deriva? Si alguna de estas preguntas no tiene respuesta clara, es más prudente resolverla antes de lanzar el sistema que después.
Conclusión
Un chatbot bien diseñado puede tratar datos personales de forma perfectamente compatible con el RGPD, siempre que se apliquen los principios básicos de minimización, transparencia y plazos de conservación razonables. El error no está en usar un chatbot, está en activarlo sin haberse hecho antes estas preguntas, y descubrir después que se estaba tratando más información de la necesaria, sin informar bien al usuario o sin un criterio claro de cuánto tiempo conservarla.
En MG Solutions diseñamos agentes conversacionales pensando en estos límites desde el principio, y recomendamos siempre revisar los aspectos normativos con vuestro asesor legal cuando el caso lo requiere. Reserva una primera reunión y revisamos juntos qué necesita tu chatbot.