GDPR y chatbots de IA

Incluso un chatbot de soporte simple recopila datos personales: identificadores como un correo electrónico o número de teléfono, detalles de pedidos y entregas, el contenido de los mensajes, y datos técnicos como una dirección IP. Debido a que los usuarios pueden escribir libremente, también pueden compartir información que la empresa nunca solicitó, incluyendo datos sensibles como detalles de salud. La autoridad de protección de datos de Francia, la CNIL, recomienda advertir a los usuarios antes de la conversación que no compartan datos sensibles a menos que sea necesario.

Esta página ofrece información general sobre el GDPR (Reglamento (UE) 2016/679). No es asesoría legal; para tu propia situación, consulta a tu oficial de protección de datos o a un abogado.

La empresa que decide por qué y cómo se utiliza el chatbot es generalmente el controlador. Necesita una base legal para cada propósito —por ejemplo, cumplir un contrato al responder a una pregunta de pedido de un cliente. Debe informar a los usuarios (Artículos 13 y 14): quién es el controlador, propósitos, base legal, destinatarios, período de retención y derechos. Debe recopilar solo lo que el propósito requiere, establecer períodos de retención y permitir que las personas ejerzan sus derechos de acceso, rectificación y eliminación.

El proveedor del chatbot generalmente actúa como procesador y debe estar vinculado por un contrato que cumpla con el Artículo 28. Si se envían datos personales a un país fuera de la UE —por ejemplo, a un proveedor de modelos en Estados Unidos— se aplican las reglas de transferencia del Capítulo V.

Verifica si los datos de conversación se utilizan para entrenar o mejorar modelos, por quién, y si eso se puede desactivar. Conoce dónde se ejecuta el modelo de lenguaje, ya que los mensajes contienen datos personales. Ten cuidado con decisiones que tienen efectos legales o igualmente significativos —rechazar un reembolso, por ejemplo— tomadas únicamente por medios automatizados, lo cual restringe el Artículo 22. Para implementaciones más grandes, puede ser necesario realizar una evaluación de impacto de protección de datos.

La Opinión 28/2024 de la Junta Europea de Protección de Datos añade que los modelos de IA entrenados con datos personales no son automáticamente anónimos, lo cual es importante al elegir proveedores de modelos. La Ley de IA de la UE requiere además informar a las personas que están hablando con una IA.

AI SmartTalk es una empresa francesa y aloja la plataforma en Francia. Los asistentes utilizan modelos de IA alojados en la Unión Europea por defecto; un administrador puede elegir un modelo fuera de la UE como OpenAI o Anthropic, y la aplicación solicita consentimiento explícito cada vez que se selecciona uno. Los datos de conversación se mantienen hasta que se elimine el asistente o la cuenta, con eliminación permanente 30 días después de una solicitud de eliminación de cuenta, como se describe en la política de privacidad. Las empresas siguen siendo responsables de informar a sus propios visitantes.