IA y protección de datos: qué preguntar a tu proveedor

IA y protección de datos se juntan en una sola pregunta cuando contratas un agente que habla con tus clientes: ¿qué pasa con todo lo que esos clientes le cuentan? Un agente es un asistente de IA que atiende a tus clientes por WhatsApp, Instagram o teléfono. Antes de firmar, pregunta dónde se guardan las conversaciones, quién puede verlas, si se usan para entrenar modelos y qué ocurre al terminar el contrato.

Este artículo te da una lista de preguntas listas para usar. Es orientación general, no asesoramiento legal: tu asesor de protección de datos debe revisar el contrato y tu caso concreto. Por ejemplo, un negocio con 300 conversaciones al mes por WhatsApp Business puede responder a estas 10 preguntas en una reunión de 45 minutos. Primero verás por qué importa, después las preguntas y por último tu parte como responsable. Según el RGPD (2018), el agente trata datos por cuenta tuya.

¿Qué cambia en IA y protección de datos con un agente?

Cambia el volumen y la rapidez, porque un agente de IA es un sistema que recibe más información, más rápido y con menos filtro que un formulario. Un asistente que contesta por WhatsApp o por teléfono recibe nombres, direcciones, qué le pasa a alguien, cuánto presupuesto tiene o cuándo viaja. Mucha gente cuenta a una IA cosas que no contaría en un formulario.

En un CRM clásico, los datos los escribe tu equipo. Con un agente de IA entra más información, y por eso toca mirar el recorrido completo del dato: quién lo recibe, dónde se guarda, quién lo ve y cuánto tiempo permanece. Según el RGPD (2018), el responsable eres tú, aunque la tecnología la ponga el proveedor, y la AEPD puede pedirte cuentas.

Imagina un negocio que recibe 40 conversaciones al día por Instagram y WhatsApp. Cada una puede contener un teléfono, una dirección o una preferencia. Primero se identifican los datos, después se limita quién los ve y por último se define cuánto tiempo se guardan.

¿Qué preguntas hacer al proveedor sobre dónde están los datos?

Una pregunta de ubicación es la que averigua dónde viaja el dato, y son tres, con respuesta corta si el proveedor trabaja con orden. Pídelas por escrito, porque lo que se dice en una reunión se olvida a las 2 semanas.

• ¿En qué países están los servidores? Que estén en la Unión Europea simplifica el cumplimiento. Hay más en datos en servidores europeos.
• ¿Interviene algún otro proveedor? Los agentes de IA suelen apoyarse en servicios de terceros para entender el texto o la voz. Pide saber cuáles son y qué datos reciben.
• ¿Qué pasa con los datos al terminar el contrato? Debes poder llevártelos y que se borren de sus sistemas en un plazo claro.

Por ejemplo, un proveedor serio te dice que usa la API oficial de WhatsApp Business (Meta) y servidores en la Unión Europea, y te lo entrega por escrito con fecha y firma. Según el caso, también debe indicar qué servicios externos intervienen.

¿Qué preguntas hacer sobre qué se hace con las conversaciones?

Una pregunta de uso es la que aclara si tus datos trabajan solo para ti, y son tres, según el proveedor. La respuesta aceptable para la mayoría de negocios es que las conversaciones no se usan para entrenar modelos ajenos.

• ¿Se usan mis conversaciones para entrenar modelos?
• ¿Quién del proveedor puede ver las conversaciones? Pide que sea el mínimo imprescindible y por motivos de soporte.
• ¿Se guardan los audios de las llamadas o solo la transcripción? Cuanto menos se guarde, menos riesgo. Mira grabar llamadas de clientes.

Además, pregunta cuánto tiempo se conservan las transcripciones, por ejemplo 12 meses, y si puedes borrar una conversación concreta cuando un cliente lo pide. Un buen proveedor responde sin rodeos y por escrito. Según el RGPD, además, las personas pueden pedir el borrado de sus datos, por ejemplo de una conversación de Instagram de hace 3 meses.

¿Qué preguntas hacer sobre seguridad, control y contrato?

Las últimas cuatro preguntas son las de seguridad, el control de tu equipo y el contrato, y cubren lo que más pesa. Son las que más ayudan a detectar si un proveedor se toma en serio los datos de tus clientes, y se contestan en 10 minutos.

• ¿Hay doble factor, copias cifradas y registro de accesos? Lo detallamos en seguridad en un CRM.
• ¿Puedo limitar qué ve cada persona de mi equipo?
• ¿Puede una persona de mi equipo entrar en cualquier conversación y tomar el control de la IA? Es una cuestión de seguridad y también de servicio.
• ¿Hay un contrato de encargado del tratamiento? Fija qué hace el proveedor con los datos por cuenta tuya.

Pide el contrato y que lo lea tu asesor, por ejemplo con 2 semanas de margen antes de firmar, según el RGPD. Si guardas datos de salud, recuerda que son una categoría especial del RGPD (artículo 9); mira datos de salud en el CRM.

¿Qué debes hacer tú como responsable de los datos?

Un responsable de los datos es quien decide para qué se usan, y tu parte es decir al cliente que habla con una IA, limitar lo que se recoge y revisar las conversaciones, según la normativa. Por ejemplo, con el calendario y WhatsApp Business conectados. El proveedor es solo una pieza: hay cosas que dependen de ti, aunque contrates el mejor sistema del mercado.

1. Decir al cliente que habla con una IA. La normativa europea pide transparencia; mira la normativa europea de IA.
2. Recoger solo lo necesario: nombre y teléfono bastan para una cita.
3. Revisar conversaciones reales cada mes.
4. Atender los derechos de las personas: acceso, corrección y borrado.

Primero lo informas, después lo recoges y por último lo revisas. Más sobre el marco general en CRM y RGPD. En Kairux lo vemos contigo en una videollamada de 45 minutos sin compromiso. Más en agentes de IA para tu negocio.

Preguntas frecuentes

¿Quién es responsable si la IA dice algo incorrecto?

El responsable es el negocio que usa la IA, según el RGPD (2018), porque el mensaje que recibe el cliente lo emite tu empresa, aunque lo escriba un sistema. Por eso conviene dar instrucciones claras a la IA, revisar conversaciones reales y definir cuándo debe pasar el mando a una persona. Según el caso, el proveedor responde de la tecnología y tú, de su uso.

Por ejemplo, si la IA no sabe una respuesta, lo razonable es que avise al equipo y no invente. Revisa 20 conversaciones reales cada mes con WhatsApp Business (Meta) abierto y corrige las respuestas flojas, durante 3 meses seguidos. Además, ninguna IA debe prometer resultados concretos ni dar consejos delicados. Esa disciplina te protege más que cualquier cláusula del contrato.

¿Se pueden usar los datos de un cliente para otra cosa?

Los datos solo se pueden usar para lo que se informó a la persona, según el RGPD (2018), es decir, para su finalidad. Si alguien pidió información sobre un curso, esa petición no autoriza cualquier otro uso. Antes de cambiar la finalidad, revisa con tu asesor si hace falta informar de nuevo o pedir un nuevo consentimiento.

Imagina que un lead pide una cita por un formulario de Meta. Esos datos sirven para contestar y agendar con Google Calendar, durante 30 días o lo que fijes. Usarlos para enviar otra campaña distinta pide más cuidado. En el CRM, guarda el origen y lo que aceptó la persona, con fecha, de modo que puedas demostrarlo. Primero se informa, después se usa y por último se registra, siempre en ese orden.

¿Cómo sé si un agente de IA es seguro para mis datos?

Un agente de IA seguro es aquel cuyo proveedor responde por escrito a las 10 preguntas de esta lista, ofrece un contrato de encargado del tratamiento y permite a tu equipo ver y corregir las conversaciones. Ninguna garantía es absoluta, pero la transparencia del proveedor dice mucho. Primero compara sus respuestas, después revisa el contrato y por último prueba el sistema 2 semanas con WhatsApp Business (Meta). Desconfía de las respuestas vagas.

En la práctica, según el RGPD, pide una demostración en directo con tu caso y fíjate en tres cosas: dónde quedan guardadas las conversaciones, cómo entra una persona de tu equipo y cómo se borra una ficha. Si algo no queda claro, vuelve a preguntar. Tienes más pautas en seguridad en un CRM y la transparencia sigue siendo la mejor señal.

Página principal: los agentes de IA para empresas que atienden, llaman y agendan por ti, también sin CRM.