# Chatbots y la ley en España: RGPD, Reglamento de IA y LSSI

> Las normas que se aplican al poner un chatbot ante clientes en España: artículo 50 del Reglamento de IA, Ley 10/2025 de atención a la clientela, cookies del widget (LSSI 22.2 y guía de la AEPD), promociones por WhatsApp (LSSI 21), RGPD para las transcripciones y accesibilidad. Con enlaces a las fuentes oficiales.

Publicado: 18 de septiembre de 2026 · Actualizado: 18 de septiembre de 2026 · Precios verificados: 18 de septiembre de 2026 · Por el equipo de chatbots.reviews

Investigado y redactado con ayuda de IA a partir de las fuentes que se citan en esta página. Todavía no hemos creado ni puesto a prueba bots en estas plataformas. Método: [Cómo analizamos](https://chatbots.reviews/es/como-evaluamos)

> **Información general, no asesoramiento jurídico.** Enlazamos las fuentes oficiales y decimos dónde no encontramos ninguna. Para su caso concreto, consulte con un abogado o con su delegado de protección de datos.

**En resumen**

- **Diga que es un bot en el primer mensaje.** El artículo 50 del Reglamento de IA se aplica desde el 2 de agosto de 2026.
- **Ofrezca siempre una vía hacia una persona.** La Ley 10/2025 prohíbe el bot como único canal.
- **Cargue el widget al hacer clic** o detrás del banner, para que no instale cookies antes.
- **Pida y registre una autorización expresa** antes de enviar promociones por WhatsApp o SMS, y permita la baja con una respuesta.
- **Fije un plazo de conservación** y compruebe que puede exportar los chats de una persona en un mes.
- **Firme un contrato de encargado del tratamiento** que prohíba al proveedor reutilizar las conversaciones.

## Decir que es un bot: artículo 50 del Reglamento de IA

El [artículo 50 del Reglamento de IA](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) se aplica desde el 2 de agosto de 2026, según las preguntas frecuentes de la Comisión Europea. El deber de informar a quien habla con un chatbot (apartado 1) no tiene periodo de gracia; solo el marcado del apartado 2 tiene margen hasta el 2 de diciembre de 2026. El ómnibus de IA de julio de 2026 [no aplazó el artículo 50](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai).

Que el primer mensaje diga que responde un sistema automático, por ejemplo «Soy un asistente virtual», y repítalo cuando la conversación vuelva de un agente al bot. La [política de Meta para Messenger](https://developers.facebook.com/docs/messenger-platform/policy/policy-overview) lo exige donde la ley lo requiera y lo recomienda siempre.

## El bot no puede ser el único canal: Ley 10/2025

La [Ley 10/2025](https://www.boe.es/buscar/act.php?id=BOE-A-2025-26698), de servicios de atención a la clientela, está en vigor desde el 28 de diciembre de 2025. Prohíbe usar contestadores automáticos u otros medios análogos como medio exclusivo de atención, y las empresas de su ámbito deben dar paso a una persona si el cliente lo pide. El plazo de adaptación termina el 28 de diciembre de 2026. Tomamos estas fechas de una revisión anterior del BOE, no repetida para esta página; compruebe en el texto si la ley alcanza a su empresa.

La [política de WhatsApp Business](https://whatsappbusiness.com/policy/) va en la misma dirección: solo permite automatizar si hay una vía de escalado rápida, clara y directa. En servicios financieros a distancia, la [Directiva (UE) 2023/2673](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202302673) da al consumidor derecho a pedir intervención humana frente a un chatbot desde el 19 de junio de 2026; no comprobamos su transposición en España.

## Cookies del widget de chat: LSSI 22.2 y la guía de la AEPD

El [artículo 22.2 de la LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) solo permite guardar o leer datos en el dispositivo del usuario con su consentimiento informado. Quedan fuera el almacenamiento puramente técnico y el estrictamente necesario para un servicio que el usuario ha pedido expresamente.

La [guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (actualizada en mayo de 2024) no menciona los widgets de chat, y no encontramos ninguna guía de la AEPD sobre ellos ni sobre marketing por WhatsApp. Sí aclara que una cookie técnica pierde la exención si además sirve para analítica o publicidad. La autoridad francesa, la CNIL, es más concreta en [sus consejos sobre chatbots](https://www.cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-des-personnes): si la cookie se instala solo cuando el usuario activa el chat y solo sirve para el chat, no hace falta consentimiento; si se instala antes, sí.

- Cargue el widget cuando el visitante pulse el botón, o póngalo detrás del banner de cookies.
- No reutilice los identificadores del chat para analítica ni publicidad.
- Ponga sobre el campo de texto un aviso breve: quién gestiona el chat, que se registra, qué proveedor lo trata y dónde está la política de privacidad.

## Promociones por WhatsApp, SMS y mensajes directos: LSSI 21 y las reglas de Meta

El [artículo 21 de la LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) prohíbe enviar comunicaciones publicitarias por correo electrónico u otro medio de comunicación electrónica equivalente si el destinatario no las ha solicitado o autorizado expresamente. La excepción es estrecha: clientes existentes, datos obtenidos de forma lícita, productos o servicios propios similares, y una baja sencilla y gratuita ofrecida al recoger los datos y en cada mensaje.

El [RGPD](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679) añade que retirar el consentimiento debe ser tan fácil como darlo (artículo 7.3) y que cualquiera puede oponerse al marketing directo, gratis y en cualquier momento (artículo 21). Responder BAJA debe bastar, en el bot y en el CRM.

Meta suma sus condiciones. La [política de WhatsApp Business](https://whatsappbusiness.com/policy/) exige que la persona le haya dado su número y aceptado recibir sus mensajes. El bot responde libremente durante 24 horas desde el último mensaje del usuario; después solo valen plantillas aprobadas. Las [condiciones de WhatsApp Business Solution](https://www.whatsapp.com/legal/business-solution-terms), modificadas en marzo de 2026, vetan los asistentes de IA de uso general como producto principal, no los bots de soporte, reservas o ventas. Lo explicamos en [la guía sobre las reglas de WhatsApp](https://chatbots.reviews/es/guias/reglas-para-chatbots-de-whatsapp).

## Las transcripciones son datos personales: RGPD

- **Conservación.** El [artículo 5.1.e del RGPD](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679) obliga a no conservar datos identificables más tiempo del necesario. Fije un plazo, documéntelo y al vencer borre o anonimice. Guardarlo todo para entrenar no cumple. Configure la retención en el constructor; no se fíe del valor por defecto.
- **Derecho de acceso.** Una persona puede pedir copia de sus conversaciones ([artículo 15.3](https://gdpr-info.eu/art-15-gdpr/)) y usted tiene un mes para entregarla (artículo 12.3). La plataforma debe permitir buscar y exportar por usuario.
- **Encargado del tratamiento.** Firme con el proveedor el contrato de encargado (artículo 28 del RGPD) y prohíba que reutilice las transcripciones, también para entrenar IA.
- **Transferencias a Estados Unidos.** La mayoría de los constructores son estadounidenses o usan subencargados allí. Compruebe su certificación en el Marco de Privacidad de Datos UE-EE. UU., mantenga cláusulas contractuales tipo como respaldo y mencione la transferencia en su política de privacidad. Según [fuentes secundarias](https://digitalpolicyalert.org/change/7373), el marco seguía vigente en septiembre de 2026, con un recurso pendiente ante el Tribunal de Justicia (C-703/25 P); no lo comprobamos en la fuente oficial.

## Lo que dice el bot lo dice su empresa

En [Moffatt contra Air Canada](https://decisions.civilresolutionbc.ca/crt/crtd/en/item/525448/index.do) (febrero de 2024), un tribunal de pequeñas reclamaciones de Columbia Británica (Canadá) declaró responsable a la aerolínea por la información errónea de su chatbot sobre tarifas por duelo, y rechazó que el bot fuera una entidad separada. No es un precedente vinculante, y menos en España, pero el razonamiento se entiende en cualquier país: la empresa responde de la información de su web, venga de una página o de un chatbot.

Base las respuestas en sus políticas y precios vigentes, pruebe el bot antes de lanzarlo, revise transcripciones con regularidad y no confíe en un aviso del tipo «el bot puede equivocarse». Vea [cómo escribir la base de conocimiento del bot](https://chatbots.reviews/es/guias/como-escribir-la-base-de-conocimiento-de-un-bot).

Tampoco deje que una conversación con el bot, sin intervención humana, sea la única base de una decisión importante, como denegar un crédito. Lo dice la CNIL en los consejos ya citados, en línea con el artículo 22 del RGPD. Derive esos casos a una persona; vea [cuándo no usar un chatbot](https://chatbots.reviews/es/guias/cuando-no-usar-un-chatbot).

## Accesibilidad: Ley 11/2023

La [Ley 11/2023](https://www.boe.es/buscar/act.php?id=BOE-A-2023-11022) transpone la [Directiva europea de accesibilidad](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32019L0882) e incluye los servicios de comercio electrónico a consumidores, con requisitos aplicables desde el 28 de junio de 2025. Las microempresas que prestan servicios (menos de 10 personas y hasta 2 millones de euros de volumen de negocio o de balance) están exentas.

Ninguna fuente oficial, española o europea, nombra expresamente los widgets de chat. Que el chat de una tienda en línea deba ser accesible se deduce de que la norma cubre el sitio web completo. Compruebe que el widget funciona con teclado y lector de pantalla (WCAG 2.1 o 2.2, nivel AA) y mantenga otra vía de contacto.

## Antes de encender el bot

1. El primer mensaje dice que es un bot, y se repite cuando un agente devuelve la conversación al bot.
2. El widget no escribe cookies ni almacenamiento local antes del clic, y lleva un aviso de privacidad.
3. Hay autorización expresa y registrada antes de cualquier promoción por mensajería, y la baja funciona con una respuesta.
4. Siempre hay una vía hacia una persona: traspaso en el chat, teléfono o correo.
5. El bot responde con sus políticas y precios actuales, y alguien revisa transcripciones.
6. Hay un plazo de conservación configurado y puede exportar o borrar los chats de una persona en un mes.
7. Hay contrato de encargado firmado, certificación del proveedor comprobada y cláusulas contractuales tipo como respaldo.
8. El widget funciona con teclado y lector de pantalla, y existe otra vía de contacto.

## Preguntas frecuentes

### ¿Tengo que avisar de que mi chatbot es un bot?

Sí. El artículo 50 del Reglamento de IA se aplica desde el 2 de agosto de 2026 y, según la [Comisión Europea](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act), el deber de informar a quien habla con un chatbot no tiene periodo de gracia. Dígalo en el primer mensaje y otra vez cuando la conversación vuelva de una persona al bot.

### ¿Necesito consentimiento de cookies para un widget de chat?

Depende de cuándo escriba en el dispositivo. El [artículo 22.2 de la LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) exige consentimiento salvo para lo estrictamente necesario en un servicio que el usuario ha pedido expresamente. Un widget que instala identificadores al cargar la página, para todos los visitantes, debe ir detrás del banner o cargarse al hacer clic. La guía de cookies de la AEPD no trata los widgets de chat de forma expresa.

### ¿Puedo enviar promociones por WhatsApp a mis clientes?

Solo si las han solicitado o autorizado expresamente, o si se cumplen todas las condiciones de la excepción para clientes existentes del [artículo 21 de la LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758): datos obtenidos de forma lícita, productos propios similares y una baja sencilla y gratuita en cada mensaje. Además, WhatsApp exige su propio opt-in y, pasadas 24 horas desde el último mensaje del usuario, solo admite plantillas aprobadas. Vea [la guía sobre las reglas de WhatsApp](https://chatbots.reviews/es/guias/reglas-para-chatbots-de-whatsapp).

### ¿Puedo atender a mis clientes solo con un chatbot?

No, si su empresa entra en el ámbito de la [Ley 10/2025](https://www.boe.es/buscar/act.php?id=BOE-A-2025-26698): prohíbe los sistemas automáticos como medio exclusivo de atención a la clientela, y el plazo de adaptación termina el 28 de diciembre de 2026. La política de WhatsApp Business también exige una vía clara hacia una persona. Aunque la ley no le alcance, ofrézcala igualmente.

### ¿Cuánto tiempo puedo guardar las conversaciones del chatbot?

El RGPD no da una cifra. Exige no conservar datos identificables más tiempo del necesario para la finalidad, así que debe fijar un plazo, documentarlo y borrar o anonimizar al vencer. Compruebe también que puede localizar y exportar las conversaciones de una persona en un mes, que es el plazo para atender una solicitud de acceso.

> **Puntuado a partir de documentación pública, con una rúbrica que puede leer.** Las puntuaciones salen de cinco criterios publicados: claridad de precios, acceso, profundidad del constructor, alcance y traspaso a una persona, y datos y confianza. Cada precio y cada límite se guarda una sola vez, en una única base de datos de productos, con un enlace a su fuente, de modo que dos páginas de este sitio no pueden contradecirse. Rúbrica v1.0 · La prueba de construcción del bot de referencia aún no se ha realizado. Hasta entonces, ninguna página de este sitio dice que un producto se haya puesto a prueba. [Leer el método completo](https://chatbots.reviews/es/como-evaluamos) · [La prueba del bot de referencia](https://chatbots.reviews/es/prueba-del-bot-de-referencia)

## Siga leyendo

- [¿Qué diferencia hay entre un chatbot y un agente de IA?](https://chatbots.reviews/es/guias/chatbot-vs-agente-ia)
- [Chatbot basado en reglas o con IA: ¿cuál le conviene crear?](https://chatbots.reviews/es/guias/chatbots-de-reglas-vs-ia)
- [¿Cómo se cobra el software de chatbots?](https://chatbots.reviews/es/guias/modelos-de-precios-de-chatbots)
- [¿Qué cuenta como conversación en los precios de un chatbot?](https://chatbots.reviews/es/guias/que-cuenta-como-conversacion)
- [Los mejores constructores de chatbots](https://chatbots.reviews/es/mejores/chatbots)

---

Canonical: https://chatbots.reviews/es/guias/chatbots-rgpd-y-reglamento-ia