RGPD y AI Act para chatbots: lo que su pyme debe cumplir antes del 2 de agosto de 2026

Si su empresa tiene o está pensando en incorporar un chatbot con inteligencia artificial en su web, hay dos marcos normativos que le afectan directamente y que conviene no confundir entre sí: el RGPD, que ya se aplica a cualquier dato personal que su chatbot procese, y el AI Act europeo, cuyas obligaciones de transparencia para chatbots empiezan a aplicarse el 2 de agosto de 2026. A esto se suma que la Agencia Española de Protección de Datos (AEPD) ha publicado ya orientaciones propias sobre chatbots con IA. Esta guía separa claramente qué exige cada marco, qué plazos importan de verdad y qué debe revisar su pyme antes de esa fecha.

El punto de partida: el RGPD ya se aplica a su chatbot

En cuanto un visitante escribe su nombre, su correo o cualquier otro dato en su chatbot, se está produciendo un tratamiento de datos personales sujeto al RGPD y a la LOPDGDD, exactamente igual que con un formulario de contacto o una llamada telefónica. Eso significa base de legitimación, información clara sobre el tratamiento, un plazo de conservación definido y un canal para que la persona ejerza sus derechos de acceso, rectificación o supresión. Nada de esto es exclusivo de la inteligencia artificial: es la base sobre la que se añaden las obligaciones más recientes que se explican a continuación.

La AEPD ya tiene recomendaciones específicas sobre chatbots

La AEPD ha publicado una infografía dirigida a las personas usuarias de chatbots con IA, con recomendaciones muy concretas. Antes de usar o confiar en un chatbot, aconseja comprobar que existe una política de privacidad y aviso legal que identifique con claridad al responsable del tratamiento, que ofrezca información sobre protección de datos con referencia expresa al RGPD, que explique cómo ejercer los derechos y que aclare si el chatbot sigue aprendiendo de las conversaciones mantenidas con los usuarios y qué se hace con esos datos después.

• No aceptar que se soliciten datos de registro que no sean necesarios para el servicio
• No aceptar un consentimiento sin definir claramente para qué se usarán los datos, o que no se pueda retirar en cualquier momento
• Limitar los datos personales que se comparten con el chatbot y no facilitar datos de terceras personas si existen dudas sobre el uso que se les dará
• Tener en cuenta que no hay garantía de que la información proporcionada por el chatbot sea correcta: puede generar desinformación o inducir a error
• Supervisar el uso por parte de menores: la propia AEPD recuerda que un chatbot no es un juguete

Una guía técnica más amplia, también de la AEPD

Más allá de la infografía para usuarios, la AEPD publicó ya en 2020 una guía técnica titulada «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial», dirigida a responsables, desarrolladores y encargados del tratamiento. No es un documento pensado específicamente para chatbots, pero sí marca el criterio general que la Agencia aplica a cualquier tratamiento con componentes de IA: legitimación adecuada, información y transparencia reforzadas, respeto a los derechos de las personas, atención especial cuando hay decisiones automatizadas, minimización de datos y, en los casos de mayor riesgo, una evaluación de impacto. Es el marco de fondo sobre el que se apoyan las recomendaciones más recientes y específicas sobre chatbots.

Lo nuevo: el artículo 50 del AI Act

El artículo 50, apartado 1, del AI Act obliga a los proveedores de sistemas de IA que interactúan directamente con personas —un chatbot en su web es el ejemplo típico— a diseñar el sistema de forma que el usuario sepa que está hablando con una IA, salvo que esto ya resulte evidente para una persona razonablemente informada y atenta. Para un chatbot, esa información debe llegar como muy tarde en el momento de la primera interacción: en la práctica, antes de empezar la conversación o al inicio de esta, no escondida tres clics más allá en un aviso legal.

Esta obligación es distinta de las recomendaciones de la AEPD descritas arriba, aunque ambas hablan de transparencia: la AEPD orienta sobre cómo debe informarse en materia de protección de datos (quién es el responsable, qué hace con los datos); el artículo 50 del AI Act exige, además, informar de que se está hablando con una máquina. Cumplir una no sustituye a la otra.

Fechas clave: 2 de agosto y 2 de diciembre de 2026

El artículo 50 es de aplicación general desde el 2 de agosto de 2026. Ha habido debate en Bruselas sobre un paquete conocido como «Digital Omnibus» para simplificar partes del AI Act, pero ese paquete no retrasa el artículo 50 en su conjunto: la obligación de avisar de que se habla con una IA sigue en el calendario original. Existe, eso sí, un plazo transitorio muy concreto y limitado: los sistemas de IA generativa que ya estuvieran en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para implementar el marcado legible por máquina del contenido sintético que exige el apartado 2 del artículo 50. Los sistemas puestos en el mercado a partir del 2 de agosto no tienen ese margen: deben cumplirlo desde el primer día.

Las otras obligaciones del artículo 50, en resumen

• Artículo 50(3): quien despliegue sistemas de reconocimiento de emociones o de categorización biométrica debe informar a las personas expuestas a ellos.
• Artículo 50(4): los deepfakes y los textos generados por IA sobre asuntos de interés público deben señalarse como generados o manipulados artificialmente.
• Ninguna de estas dos obligaciones aplica a un chatbot de atención al cliente estándar, pero conviene conocerlas si su sistema hace algo más que responder preguntas.

Sanciones: hasta 15 millones de euros o el 3 %, con una excepción importante para pymes

El incumplimiento de las obligaciones de transparencia del AI Act puede acarrear multas de hasta 15 millones de euros o el 3 % de la facturación anual mundial, aplicándose el importe más alto de los dos. Pero existe una regla específica para las estructuras más pequeñas: según el artículo 99, apartado 6, a las pymes y start-ups se les aplica el importe MÁS BAJO de los dos, no el más alto — justo al revés que la regla general para las grandes empresas. Es un matiz que conviene tener presente para no caer en un alarmismo injustificado en una web dirigida a pymes: la exposición real de un pequeño negocio es muy distinta a la de una gran corporación.

AESIA: la agencia española dedicada a la supervisión de la IA

España cuenta ya con una agencia pública dedicada específicamente a la inteligencia artificial: la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), creada por el Real Decreto 729/2023, con sede en A Coruña y adscrita al Ministerio para la Transformación Digital y de la Función Pública. Entre sus funciones están la supervisión y vigilancia del mercado de sistemas de IA, la elaboración de orientación para entidades públicas y privadas, y la coordinación con otras autoridades europeas de supervisión de la IA. Es, junto con la AEPD en materia de datos, la referencia institucional española más directa para cualquier pyme que quiera entender su situación de cumplimiento.

Checklist práctica antes del 2 de agosto de 2026

• Revise ya la política de privacidad y el aviso legal de su chatbot, identificando con claridad quién es el responsable del tratamiento — es lo primero que la propia AEPD recomienda comprobar a cualquier usuario.
• Añada un mensaje claro y visible de que el visitante habla con un asistente de IA, idealmente en el primer mensaje de la conversación, no solo en un enlace de pie de página.
• No dé por hecho que un icono de burbuja de chat es suficiente aviso: el artículo 50 exige que la persona quede realmente informada, no que se pueda deducir.
• Compruebe si su chatbot recopila más datos personales de los estrictamente necesarios para resolver la consulta o gestionar una cita, y elimine lo que sobre.
• Defina y documente cuánto tiempo conserva las conversaciones y quién tiene acceso a ellas.
• Si su chatbot toca datos de salud, financieros o de otra categoría especial, revise con especial cuidado la base de legitimación y, si procede, la necesidad de una evaluación de impacto.

Nada de lo anterior constituye asesoramiento jurídico: es un resumen de información pública sobre el RGPD, las recomendaciones de la AEPD y el artículo 50 del AI Act, con fines orientativos. Para su caso concreto, especialmente si trata datos sensibles o su chatbot hace algo más que atención al cliente básica, consulte con un profesional del derecho.