En resumen
- Diga que es un bot en el primer mensaje. El artículo 50 del Reglamento de IA se aplica desde el 2 de agosto de 2026.
- Ofrezca siempre una vía hacia una persona. La Ley 10/2025 prohíbe el bot como único canal.
- Cargue el widget al hacer clic o detrás del banner, para que no instale cookies antes.
- Pida y registre una autorización expresa antes de enviar promociones por WhatsApp o SMS, y permita la baja con una respuesta.
- Fije un plazo de conservación y compruebe que puede exportar los chats de una persona en un mes.
- Firme un contrato de encargado del tratamiento que prohíba al proveedor reutilizar las conversaciones.
Decir que es un bot: artículo 50 del Reglamento de IA
El artículo 50 del Reglamento de IA se aplica desde el 2 de agosto de 2026, según las preguntas frecuentes de la Comisión Europea. El deber de informar a quien habla con un chatbot (apartado 1) no tiene periodo de gracia; solo el marcado del apartado 2 tiene margen hasta el 2 de diciembre de 2026. El ómnibus de IA de julio de 2026 no aplazó el artículo 50.
Que el primer mensaje diga que responde un sistema automático, por ejemplo «Soy un asistente virtual», y repítalo cuando la conversación vuelva de un agente al bot. La política de Meta para Messenger lo exige donde la ley lo requiera y lo recomienda siempre.
El bot no puede ser el único canal: Ley 10/2025
La Ley 10/2025, de servicios de atención a la clientela, está en vigor desde el 28 de diciembre de 2025. Prohíbe usar contestadores automáticos u otros medios análogos como medio exclusivo de atención, y las empresas de su ámbito deben dar paso a una persona si el cliente lo pide. El plazo de adaptación termina el 28 de diciembre de 2026. Tomamos estas fechas de una revisión anterior del BOE, no repetida para esta página; compruebe en el texto si la ley alcanza a su empresa.
La política de WhatsApp Business va en la misma dirección: solo permite automatizar si hay una vía de escalado rápida, clara y directa. En servicios financieros a distancia, la Directiva (UE) 2023/2673 da al consumidor derecho a pedir intervención humana frente a un chatbot desde el 19 de junio de 2026; no comprobamos su transposición en España.
Cookies del widget de chat: LSSI 22.2 y la guía de la AEPD
El artículo 22.2 de la LSSI solo permite guardar o leer datos en el dispositivo del usuario con su consentimiento informado. Quedan fuera el almacenamiento puramente técnico y el estrictamente necesario para un servicio que el usuario ha pedido expresamente.
La guía de cookies de la AEPD (actualizada en mayo de 2024) no menciona los widgets de chat, y no encontramos ninguna guía de la AEPD sobre ellos ni sobre marketing por WhatsApp. Sí aclara que una cookie técnica pierde la exención si además sirve para analítica o publicidad. La autoridad francesa, la CNIL, es más concreta en sus consejos sobre chatbots: si la cookie se instala solo cuando el usuario activa el chat y solo sirve para el chat, no hace falta consentimiento; si se instala antes, sí.
- Cargue el widget cuando el visitante pulse el botón, o póngalo detrás del banner de cookies.
- No reutilice los identificadores del chat para analítica ni publicidad.
- Ponga sobre el campo de texto un aviso breve: quién gestiona el chat, que se registra, qué proveedor lo trata y dónde está la política de privacidad.
Promociones por WhatsApp, SMS y mensajes directos: LSSI 21 y las reglas de Meta
El artículo 21 de la LSSI prohíbe enviar comunicaciones publicitarias por correo electrónico u otro medio de comunicación electrónica equivalente si el destinatario no las ha solicitado o autorizado expresamente. La excepción es estrecha: clientes existentes, datos obtenidos de forma lícita, productos o servicios propios similares, y una baja sencilla y gratuita ofrecida al recoger los datos y en cada mensaje.
El RGPD añade que retirar el consentimiento debe ser tan fácil como darlo (artículo 7.3) y que cualquiera puede oponerse al marketing directo, gratis y en cualquier momento (artículo 21). Responder BAJA debe bastar, en el bot y en el CRM.
Meta suma sus condiciones. La política de WhatsApp Business exige que la persona le haya dado su número y aceptado recibir sus mensajes. El bot responde libremente durante 24 horas desde el último mensaje del usuario; después solo valen plantillas aprobadas. Las condiciones de WhatsApp Business Solution, modificadas en marzo de 2026, vetan los asistentes de IA de uso general como producto principal, no los bots de soporte, reservas o ventas. Lo explicamos en la guía sobre las reglas de WhatsApp.
Las transcripciones son datos personales: RGPD
- Conservación. El artículo 5.1.e del RGPD obliga a no conservar datos identificables más tiempo del necesario. Fije un plazo, documéntelo y al vencer borre o anonimice. Guardarlo todo para entrenar no cumple. Configure la retención en el constructor; no se fíe del valor por defecto.
- Derecho de acceso. Una persona puede pedir copia de sus conversaciones (artículo 15.3) y usted tiene un mes para entregarla (artículo 12.3). La plataforma debe permitir buscar y exportar por usuario.
- Encargado del tratamiento. Firme con el proveedor el contrato de encargado (artículo 28 del RGPD) y prohíba que reutilice las transcripciones, también para entrenar IA.
- Transferencias a Estados Unidos. La mayoría de los constructores son estadounidenses o usan subencargados allí. Compruebe su certificación en el Marco de Privacidad de Datos UE-EE. UU., mantenga cláusulas contractuales tipo como respaldo y mencione la transferencia en su política de privacidad. Según fuentes secundarias, el marco seguía vigente en septiembre de 2026, con un recurso pendiente ante el Tribunal de Justicia (C-703/25 P); no lo comprobamos en la fuente oficial.
Lo que dice el bot lo dice su empresa
En Moffatt contra Air Canada (febrero de 2024), un tribunal de pequeñas reclamaciones de Columbia Británica (Canadá) declaró responsable a la aerolínea por la información errónea de su chatbot sobre tarifas por duelo, y rechazó que el bot fuera una entidad separada. No es un precedente vinculante, y menos en España, pero el razonamiento se entiende en cualquier país: la empresa responde de la información de su web, venga de una página o de un chatbot.
Base las respuestas en sus políticas y precios vigentes, pruebe el bot antes de lanzarlo, revise transcripciones con regularidad y no confíe en un aviso del tipo «el bot puede equivocarse». Vea cómo escribir la base de conocimiento del bot.
Tampoco deje que una conversación con el bot, sin intervención humana, sea la única base de una decisión importante, como denegar un crédito. Lo dice la CNIL en los consejos ya citados, en línea con el artículo 22 del RGPD. Derive esos casos a una persona; vea cuándo no usar un chatbot.
Accesibilidad: Ley 11/2023
La Ley 11/2023 transpone la Directiva europea de accesibilidad e incluye los servicios de comercio electrónico a consumidores, con requisitos aplicables desde el 28 de junio de 2025. Las microempresas que prestan servicios (menos de 10 personas y hasta 2 millones de euros de volumen de negocio o de balance) están exentas.
Ninguna fuente oficial, española o europea, nombra expresamente los widgets de chat. Que el chat de una tienda en línea deba ser accesible se deduce de que la norma cubre el sitio web completo. Compruebe que el widget funciona con teclado y lector de pantalla (WCAG 2.1 o 2.2, nivel AA) y mantenga otra vía de contacto.
Antes de encender el bot
- El primer mensaje dice que es un bot, y se repite cuando un agente devuelve la conversación al bot.
- El widget no escribe cookies ni almacenamiento local antes del clic, y lleva un aviso de privacidad.
- Hay autorización expresa y registrada antes de cualquier promoción por mensajería, y la baja funciona con una respuesta.
- Siempre hay una vía hacia una persona: traspaso en el chat, teléfono o correo.
- El bot responde con sus políticas y precios actuales, y alguien revisa transcripciones.
- Hay un plazo de conservación configurado y puede exportar o borrar los chats de una persona en un mes.
- Hay contrato de encargado firmado, certificación del proveedor comprobada y cláusulas contractuales tipo como respaldo.
- El widget funciona con teclado y lector de pantalla, y existe otra vía de contacto.
Preguntas frecuentes
¿Tengo que avisar de que mi chatbot es un bot?
Sí. El artículo 50 del Reglamento de IA se aplica desde el 2 de agosto de 2026 y, según la Comisión Europea, el deber de informar a quien habla con un chatbot no tiene periodo de gracia. Dígalo en el primer mensaje y otra vez cuando la conversación vuelva de una persona al bot.
¿Necesito consentimiento de cookies para un widget de chat?
Depende de cuándo escriba en el dispositivo. El artículo 22.2 de la LSSI exige consentimiento salvo para lo estrictamente necesario en un servicio que el usuario ha pedido expresamente. Un widget que instala identificadores al cargar la página, para todos los visitantes, debe ir detrás del banner o cargarse al hacer clic. La guía de cookies de la AEPD no trata los widgets de chat de forma expresa.
¿Puedo enviar promociones por WhatsApp a mis clientes?
Solo si las han solicitado o autorizado expresamente, o si se cumplen todas las condiciones de la excepción para clientes existentes del artículo 21 de la LSSI: datos obtenidos de forma lícita, productos propios similares y una baja sencilla y gratuita en cada mensaje. Además, WhatsApp exige su propio opt-in y, pasadas 24 horas desde el último mensaje del usuario, solo admite plantillas aprobadas. Vea la guía sobre las reglas de WhatsApp.
¿Puedo atender a mis clientes solo con un chatbot?
No, si su empresa entra en el ámbito de la Ley 10/2025: prohíbe los sistemas automáticos como medio exclusivo de atención a la clientela, y el plazo de adaptación termina el 28 de diciembre de 2026. La política de WhatsApp Business también exige una vía clara hacia una persona. Aunque la ley no le alcance, ofrézcala igualmente.
¿Cuánto tiempo puedo guardar las conversaciones del chatbot?
El RGPD no da una cifra. Exige no conservar datos identificables más tiempo del necesario para la finalidad, así que debe fijar un plazo, documentarlo y borrar o anonimizar al vencer. Compruebe también que puede localizar y exportar las conversaciones de una persona en un mes, que es el plazo para atender una solicitud de acceso.
Siga leyendo
- ¿Qué diferencia hay entre un chatbot y un agente de IA?guía
- Chatbot basado en reglas o con IA: ¿cuál le conviene crear?guía
- ¿Cómo se cobra el software de chatbots?guía
- ¿Qué cuenta como conversación en los precios de un chatbot?guía
- Los mejores constructores de chatbotslos mejores
Investigado y redactado con ayuda de IA a partir de las fuentes que se citan en esta página. Todavía no hemos creado ni puesto a prueba bots en estas plataformas. Método: Cómo analizamos