¿Un chatbot con IA cumple con el RGPD?

Un chatbot no cumple ni incumple por sí mismo; lo que cuenta es cómo lo implementa. Necesita una base jurídica para el tratamiento, información clara para los usuarios, contratos de encargado de tratamiento con cada proveedor que maneje los datos, un mecanismo válido para las transferencias fuera de la UE, una conservación limitada y una forma de atender las solicitudes de acceso y supresión.

¿El proveedor del LLM ve los mensajes de mis clientes?

Sí. Todo lo que se envía en el prompt llega al proveedor que ejecuta el modelo, incluidos el historial de la conversación y el conocimiento recuperado. Por eso importan la elección del proveedor, las condiciones del contrato, los ajustes de retención de datos y la región, y por eso conviene mantener fuera de los prompts los datos personales innecesarios.

¿Qué exige la KVKK para los chatbots con IA?

La Ley de Protección de Datos Personales n.º 6698 de Türkiye se aplica a las conversaciones de chatbot con personas en Türkiye igual que a cualquier otro tratamiento. Debe informar a los titulares de los datos, contar con un fundamento jurídico para el tratamiento, extremar el cuidado con las categorías especiales, como los datos de salud, y utilizar un mecanismo permitido, como los contratos tipo de la Junta, cuando los datos se transfieran al extranjero, por ejemplo a un proveedor de LLM fuera de Türkiye.

¿Durante cuánto tiempo debo conservar las conversaciones del chatbot?

Solo el tiempo que las necesite para la finalidad que comunicó a los clientes, como atender la solicitud, cumplir obligaciones legales o revisar la calidad. Defina un plazo de retención para cada almacén de datos, incluidos los registros de conversaciones, los registros del proveedor de LLM y cualquier base de datos vectorial, y elimine o anonimice los datos cuando venza el plazo.

Chatbots con IA y datos de clientes: lista de verificación de privacidad RGPD y KVKK para equipos de mensajería

Un agente de IA en WhatsApp o Instagram hace pasar los mensajes de sus clientes por varias empresas. Esta lista le muestra cómo mapear esos datos, elegir proveedores, definir la retención y gestionar el consentimiento conforme al RGPD y a la KVKK de Türkiye.

Equipo de MonoChat Actualizado: 13 de octubre de 2026 10 min de lectura

En esta página

Adónde van los datos de los clientes cuando responde un agente de IA
La lista de verificación de privacidad para chatbots con IA
Referencia rápida: RGPD y KVKK, lado a lado
Cómo le ayuda MonoChat a mantener el control de la IA y de los datos
Fuentes

Para que un chatbot con IA cumpla con el RGPD y la KVKK, mapee todos los sistemas por los que pasan los mensajes de los clientes, cuente con una base jurídica y un aviso de privacidad claro, firme un acuerdo de encargado de tratamiento (DPA) con cada proveedor, utilice un mecanismo de transferencia válido cuando los datos salgan de la UE o de Türkiye, mantenga los datos personales fuera de los prompts siempre que pueda, defina plazos de retención e informe a las personas de que hablan con una IA. El cumplimiento depende de cómo implemente el chatbot, no del chatbot en sí.

Lo complicado es que una sola respuesta de WhatsApp puede involucrar a cuatro o cinco empresas: Meta, su plataforma de mensajería, un proveedor de LLM, una base de datos vectorial y el CRM en el que el agente consulta información. Esta lista de verificación repasa cada una de ellas. Es una guía práctica para equipos de mensajería, no asesoramiento jurídico, así que confirme los detalles con su delegado de protección de datos o con su asesor legal.

Adónde van los datos de los clientes cuando responde un agente de IA

Empiece por dibujar el recorrido de un solo mensaje. Un flujo típico es el siguiente:

Paso	Sistema	Datos implicados	Su pregunta
1	Canal de mensajería (WhatsApp, Instagram, Messenger)	Número de teléfono o nombre de usuario, contenido del mensaje, archivos multimedia	¿Qué condiciones y reglas de almacenamiento se aplican?
2	Plataforma de mensajería	Historial de conversaciones, perfil del contacto, etiquetas, notas	¿Quién puede acceder, dónde se almacena y por cuánto tiempo?
3	Base de conocimiento y base de datos vectorial	Su contenido; datos personales solo si usted los cargó	¿Hay datos personales en el índice?
4	Proveedor de LLM	Prompt: instrucciones, texto recuperado, historial, último mensaje	¿Se conservan los datos, se usan para entrenamiento, dónde se procesan?
5	Herramientas conectadas (CRM, reservas, tienda)	Datos de pedidos, citas, datos de la cuenta	¿Qué puede leer y escribir el agente?
6	Agentes humanos	Conversación completa tras la derivación	¿Quién ve qué y queda registrado?

Cada fila es un lugar donde se tratan datos personales y donde necesita un contrato, una regla de retención y un control de acceso. Si no puede completar una fila, esa es su primera tarea.

La lista de verificación de privacidad para chatbots con IA

1. Elija una base jurídica y déjela por escrito

Conforme al RGPD (artículo 6), cada finalidad del tratamiento necesita una base jurídica. Responder a un cliente que le escribió suele apoyarse en el contrato o en el interés legítimo. Los mensajes de marketing suelen apoyarse en el consentimiento. Usar las conversaciones para mejorar su agente es una finalidad distinta, y conviene evaluarla por separado en lugar de suponer que la base original la cubre.

La KVKK tiene su propia lista de condiciones de tratamiento. Si atiende a clientes de la UE y de Türkiye, documente la base jurídica conforme a cada ley.

2. Informe a las personas sobre la IA y sobre sus datos

Su aviso de privacidad debe indicar que las conversaciones pueden ser gestionadas por un sistema de IA, qué proveedores tratan los datos, dónde, durante cuánto tiempo y cómo contactar con una persona. Los artículos 13 y 14 del RGPD establecen qué debe incluirse, y la KVKK prevé un deber de información equivalente.

En la UE, las obligaciones de transparencia de la Ley de IA se aplican desde el 2 de agosto de 2026. Exigen informar a las personas cuando interactúan con un sistema de IA, salvo que resulte evidente por el contexto. Un primer mensaje breve resuelve tanto el punto legal como las expectativas del cliente:

Hola, soy el asistente virtual de Northwind Home, una IA. Puedo ayudarle
con pedidos, devoluciones y entregas. Escriba "agente" en cualquier
momento para hablar con nuestro equipo.
Aviso de privacidad: northwindhome.example/privacy

3. Firme un acuerdo de encargado de tratamiento con cada encargado

Su plataforma de mensajería, su proveedor de LLM, el host de la base de datos vectorial y cualquier proveedor de herramientas que maneje datos personales por su cuenta son encargados del tratamiento. El artículo 28 del RGPD exige un contrato escrito que limite el tratamiento a sus instrucciones, exija confidencialidad y seguridad, y regule los subencargados, la supresión y las auditorías. Mantenga una lista de subencargados y revísela cuando los proveedores cambien.

4. Verifique las transferencias fuera de la UE o de Türkiye

Muchos proveedores de LLM tratan datos en otros países. Conforme al capítulo V del RGPD, las transferencias fuera del EEE requieren una decisión de adecuación o garantías adecuadas, como las cláusulas contractuales tipo.

Las normas de la KVKK sobre transferencias al extranjero cambiaron en junio de 2024. Ahora las transferencias se basan en una decisión de adecuación, en garantías adecuadas, como los contratos tipo publicados por la Junta de Protección de Datos Personales, o en excepciones limitadas. Los contratos tipo deben notificarse a la Autoridad en un plazo de cinco días hábiles desde su firma. Compruebe dónde trata los datos cada proveedor y elija regiones o proveedores que se ajusten a sus obligaciones.

En WhatsApp, la Cloud API de Meta ofrece almacenamiento local: puede elegir dónde se almacenan en reposo los datos de los mensajes de cada número de teléfono de empresa. El contenido aún puede tratarse en centros de datos de Meta en distintos países mientras está en uso, hasta 60 minutos en la Cloud API, antes de conservarse únicamente en la región seleccionada.

5. Elija el proveedor de LLM con criterio

El proveedor del modelo ve todo lo que usted incluye en el prompt. Antes de conectar uno, compruebe:

Uso para entrenamiento. ¿El proveedor usa los datos de la API para entrenar modelos y puede usted rechazarlo?
Retención. ¿Durante cuánto tiempo se conservan los prompts y las respuestas, incluso para la detección de abusos?
Región. ¿Dónde se tratan y almacenan los datos y puede usted elegir?
Contrato. ¿Hay un acuerdo de encargado de tratamiento disponible para su plan?
Alojamiento propio. ¿Convendría un modelo de código abierto en sus propios servidores para los casos de uso sensibles?

Usar su propia cuenta de proveedor (bring your own key) significa que el contrato, los ajustes de región y las opciones de retención son suyos, en lugar de heredarlos de la cuenta de un proveedor de servicios.

6. Minimice lo que entra en los prompts y en las herramientas

La minimización de datos (artículo 5 del RGPD) es el control de privacidad más eficaz para los agentes de IA.

No cargue registros de clientes, documentos de identidad ni notas internas en la base de conocimiento.
Envíe al modelo solo el historial que necesita, no el perfil completo del contacto.
Dé a las herramientas el acceso más reducido posible: una herramienta de estado de pedidos necesita un número de pedido, no toda la base de datos de clientes.
Enmascare o evite campos como números de documento de identidad, números de tarjeta y contraseñas.
Indique al agente que nunca pida datos sensibles que no necesite.

Regla del agente: Nunca pidas números de tarjeta, contraseñas ni números de
identificación en el chat. Si un cliente comparte alguno, no lo repitas y
ofrece el enlace de pago seguro o una llamada con nuestro equipo.

Si su agente se conecta a sistemas de la empresa mediante protocolos como MCP, la misma regla se aplica a cada sistema conectado. Consulte MCP para la mensajería con clientes para conocer los riesgos.

7. Trate con especial cuidado los datos de salud y otros datos especiales

Los datos de salud, religión, biométricos y categorías similares reciben una protección adicional conforme al artículo 9 del RGPD y a la KVKK. Las clínicas, farmacias y aseguradoras deben limitar lo que gestiona la IA, evitar el consejo médico por parte de la IA y derivar las consultas clínicas a personal cualificado. Considere una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD) antes de lanzar un agente de IA que trate este tipo de datos a gran escala.

8. Defina la retención de cada almacén

La limitación del plazo de conservación (artículo 5 del RGPD) implica que conserva los datos personales solo mientras sean necesarios. Defina y documente un plazo para:

el historial de conversaciones en su plataforma de mensajería,
los registros en el proveedor de LLM,
las transcripciones y análisis exportados,
cualquier dato personal en una base de datos vectorial o en una base de conocimiento.

Después, asegúrese de que la eliminación se produce de verdad, también en las copias de seguridad siempre que sea posible.

9. Esté preparado para las solicitudes de acceso y supresión

Los clientes pueden preguntar qué datos suyos conserva y pedirle que los elimine (artículos 15 y 17 del RGPD, con derechos similares en la KVKK). Sepa cómo encontrar las conversaciones de una persona en todos los sistemas de su mapa de datos y cómo eliminarlas en cada uno.

10. Evite las decisiones adoptadas únicamente por la IA

El artículo 22 del RGPD restringe las decisiones basadas únicamente en el tratamiento automatizado que afecten significativamente a las personas. Deje que la IA responda, recopile información y derive, y reserve a las personas las aprobaciones, los rechazos, las decisiones de crédito y las excepciones. Una derivación de la IA a una persona fiable es a la vez una función de servicio y de cumplimiento.

11. Proteja el acceso y conserve registros

Limite quién puede leer las conversaciones, use control de acceso basado en roles, exija autenticación multifactor y conserve registros de auditoría de quién hizo qué. El artículo 32 del RGPD exige una seguridad adecuada al riesgo, y el artículo 33 fija un plazo de 72 horas para notificar a la autoridad de control una violación de la seguridad de los datos personales, cuando esta suponga un riesgo para las personas.

12. Respete las reglas propias del canal

La Política de mensajería de WhatsApp Business de Meta tiene sus propios requisitos sobre consentimiento previo, uso de datos e IA. Nuestra guía sobre la política de chatbots con IA de WhatsApp para 2026 explica qué permite Meta, y el consentimiento previo en WhatsApp trata el consentimiento para los mensajes proactivos.

Referencia rápida: RGPD y KVKK, lado a lado

Tema	RGPD	KVKK (Ley n.º 6698)
Informar a los usuarios	Artículos 13 y 14	Deber de información
Contratos con encargados	Artículo 28	El responsable responde solidariamente de la seguridad del encargado (artículo 12)
Transferencias al extranjero	Capítulo V: adecuación, cláusulas contractuales tipo	Adecuación, contratos tipo notificados a la Autoridad, excepciones limitadas
Categorías especiales	Artículo 9	Categorías especiales de datos personales
Retención	Limitación del plazo de conservación, artículo 5	Eliminación, destrucción o anonimización cuando termina la finalidad
Derechos de los interesados	Acceso, supresión y otros	Derechos similares, incluidos el acceso y la eliminación

Cómo le ayuda MonoChat a mantener el control de la IA y de los datos

MonoChat está diseñado para que las partes sensibles de la infraestructura puedan seguir bajo su control. Esto es lo que ofrece el producto, tal como se describe en nuestra página de seguridad y cumplimiento:

Sus propias claves de LLM. Con los LLM personalizados conecta su propia cuenta de OpenAI, Anthropic, Google, Azure, AWS u otro proveedor, de modo que conserva sus propios precios y acuerdos de datos, y usted decide qué asistente usa qué modelo.
Modelos alojados por usted. Puede conectar modelos que se ejecutan en sus propios servidores mediante Ollama, o su propia API de modelo, cuando los prompts deban permanecer en su infraestructura.
Su propia base de datos vectorial. La integración con bases de datos vectoriales mantiene los vectores de la base de conocimiento en la base de datos vectorial que usted elija, con sus propias políticas de almacenamiento y retención, en la región o la nube que elija.
Conocimiento con alcance definido. La base de conocimiento de IA separa el contenido en ámbitos con su propio control de acceso, de modo que cada agente recupera solo lo que debe.
Acciones de IA controladas. Las herramientas de función de IA se ejecutan con validación, permisos, endpoints en lista de permitidos y registros, por lo que un asistente solo puede hacer lo que usted autorice.
Control de acceso y registros. Acceso basado en roles, aislamiento de espacios de trabajo, registros de auditoría y credenciales de proveedor cifradas y limitadas a cada espacio de trabajo.
API oficiales de los canales. WhatsApp se conecta a través de la plataforma oficial WhatsApp Business Platform (Cloud API), y MonoChat es un Meta Business Partner oficial.
Certificaciones y política. MonoChat cuenta con las certificaciones ISO 27001 e ISO 9001, y su política de privacidad se ha elaborado conforme a la KVKK (Ley n.º 6698). Las solicitudes de acceso, rectificación o eliminación de datos personales se responden en un plazo de 30 días.
Opción on-premise. El plan Enterprise ofrece implementación on-premise para requisitos más estrictos.

Puede evaluar el producto con el plan Basic gratuito (un agente, un canal) en app.monochat.ai y leer la política de privacidad completa antes de su revisión.

Fuentes

Ponga esto en práctica con MonoChat

Todas las guías