Checklist RGPD para chatbots con IA (2026): PDPL, LGPD y más

Hasta hace poco, un checklist de cumplimiento del RGPD para un chatbot con IA se reducía a un enlace de privacidad y un aviso de cookies. En 2026 también tiene que cubrir el deber de informar que la Ley de IA de la UE impone a los chatbots, aplicable desde el 2 de agosto de 2026, además de las leyes de protección de datos del Golfo y del resto de MENA, Turquía, India, Brasil y el panorama estado por estado de Estados Unidos. Esta guía te da 10 pasos prácticos, una tabla de plazos de notificación de brechas por país y un panorama claro de la situación de Irak y la Región del Kurdistán.

Este checklist es información general, no asesoramiento legal; consulta a un abogado calificado en cada jurisdicción donde operes.

Puntos clave

La Ley de IA de la UE exige que los chatbots informen de que son IA, salvo que resulte obvio. El artículo 50(1) se aplica desde el 2 de agosto de 2026, y el Digital Omnibus de julio de 2026 no lo retrasó.
La mayoría de los reguladores maneja un reloj de 72 horas para las brechas, pero no todos. El RGPD, las normas de la PDPL saudí, el Consejo de la KVKK, Egipto, Baréin, Omán y Jordania van a 72 horas, y el ADGM a "sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas"; Kuwait da 24 horas a los proveedores licenciados, el DIFC solo pide "tan pronto como sea posible" y la ANPD de Brasil exige 3 días hábiles. En EE. UU. no hay un plazo único: el aviso de brecha sale de la ley de brechas propia de cada estado, y el de California es de 30 días naturales desde el descubrimiento para avisar a los residentes afectados.
El artículo 28(3) del RGPD exige un contrato vinculante (un DPA) con cada encargado del tratamiento, lo que normalmente incluye a tu plataforma de bandeja de entrada y a tu proveedor de modelos de IA.
Irak no tiene en vigor una ley integral de protección de datos para el sector privado, y la Región del Kurdistán tampoco, así que trabajar al nivel del RGPD es una base razonable.
Una herramienta de respuestas automáticas con IA tiene que leer los mensajes para responderlos, así que el control de acceso, los límites de retención y las credenciales cifradas pesan tanto como el cifrado en tránsito.

Quién necesita un checklist de cumplimiento del RGPD para chatbots con IA en 2026

Un chatbot que cumple el RGPD trata datos personales con una base legal, explica a las personas qué pasa con sus datos, los mantiene seguros y les permite ejercer sus derechos. Una empresa que vende por WhatsApp, Instagram o Telegram suele responder también ante leyes locales:

UE: el RGPD (aplicable desde el 25 de mayo de 2018) y el artículo 50 de la Ley de IA. ¿Atiendes a personas de la UE desde fuera de ella? Pregunta a tu asesoría si el RGPD te aplica.
Estados Unidos: no hay una sola ley federal de privacidad. Los deberes son sobre todo estatales, encabezados por la CCPA/CPRA de California, más el consentimiento de la TCPA para llamadas y mensajes de marketing automatizados y las reglas estatales de aviso de bot, como la de Maine.
Arabia Saudita: la PDPL saudí, cuyo periodo de gracia terminó el 14 de septiembre de 2024. La regula la SDAIA, incluido el tratamiento en el extranjero de datos de personas que se encuentran en Arabia Saudita.
Emiratos Árabes Unidos (federal): el Decreto-Ley n.º 45 de 2021, en vigor desde enero de 2022, con sus Reglamentos Ejecutivos todavía sin publicar.
DIFC: la Ley n.º 5 de 2020; hay que notificar el tratamiento al Comisionado cada año, y las reglas del artículo 10 sobre sistemas autónomos alcanzan a los chatbots.
ADGM: el Reglamento de Protección de Datos de 2021; regístrate ante la Oficina de Protección de Datos antes de tratar datos y renueva cada año.
Catar: la Ley n.º 13 de 2016, supervisada por la NCSA; consentimiento explícito, y además permiso para los datos de naturaleza especial.
Baréin: la Ley n.º 30 de 2018; las transferencias al extranjero necesitan la lista aprobada de la PDPA, su autorización u otra base.
Kuwait: el reglamento de la CITRA, acotado en 2024 a los proveedores licenciados de telecomunicaciones e internet, así que la mayoría de las empresas queda fuera.
Omán: el Decreto Real n.º 6/2022, exigible desde el 5 de febrero de 2026; consentimiento primero, sin base de interés legítimo.
Jordania: la Ley n.º 24 de 2023, aplicable desde marzo de 2025; consentimiento previo, y consentimiento otra vez para transferir al extranjero.
Marruecos: la Ley n.º 09-08; declara antes el tratamiento a la CNDP y obtén su autorización para transferir al extranjero.
Egipto: la Ley 151/2020; sus Reglamentos Ejecutivos (Decreto n.º 816 de 2025) dan de plazo hasta principios de noviembre de 2026, aproximadamente, para cumplir.
Turquía: la KVKK (Ley n.º 6698), modificada por la Ley 7499 desde el 1 de junio de 2024.
India: la Ley DPDP de 2023; las Reglas se notificaron en noviembre de 2025 y la mayoría de los deberes sustantivos rigen desde alrededor de mayo de 2027.
Brasil: la LGPD (Ley 13.709/2018), que hace cumplir la ANPD.

Cumplimiento para chatbots con IA en Estados Unidos: CCPA, TCPA y aviso de bot

Información general, no asesoramiento legal. Que alguna de estas leyes te aplique depende de tus ingresos, del volumen de registros, de tu sector y de los tipos de datos que manejas: consúltalo con tu asesoría.

Los conteos publicados de leyes estatales de privacidad en EE. UU. varían según la metodología: alrededor de 20 están en vigor y 24 aprobadas a septiembre de 2026.

La CCPA de California, modificada por la CPRA, aplica a una empresa con fines de lucro que opera en California, recoge información personal de residentes y supera uno de tres umbrales: ingresos brutos anuales globales de más de $26,625,000 (la cifra vigente desde el 1 de enero de 2025); comprar, vender o compartir la información personal de 100,000 o más consumidores u hogares de California; o el 50 % o más de los ingresos por vender o compartir información personal. California reconoce seis derechos: saber, eliminar, corregir, excluirse de la venta y de la puesta en común, limitar el uso de la información personal sensible y no sufrir discriminación. Otros estados comparten un núcleo común —un aviso de privacidad y opciones de exclusión para la publicidad dirigida, la venta y ciertos perfilados— y la mayoría añade consentimiento previo para los datos sensibles, algo que un chat de texto libre no puede clasificar de antemano.

Los contratos son la pieza más filosa: según el reglamento de la CCPA (§7051(c)), un proveedor sin un contrato de prestador de servicios conforme no es un prestador de servicios, y revelarle información personal puede considerarse una venta o una puesta en común. Alrededor de una docena de estados exige además respetar una señal universal de exclusión en la página donde alojas tu widget, no en WhatsApp, Instagram ni Telegram; el Global Privacy Control está reconocido en California, Colorado y Connecticut, y la lista cambia, así que verifícala.

Encima se suman las normas sectoriales: HIPAA, la ley estadounidense de datos de salud, cuando tu cliente es una entidad cubierta y el chat lleva datos de salud —Meta y Telegram no firman business associate agreements (acuerdos de socio comercial) para la mensajería empresarial estándar, así que la información de salud protegida no puede pasar por esos canales—, más la Safeguards Rule de la GLBA, la ley de servicios financieros, para las firmas financieras no bancarias, y COPPA para los datos de menores de 13 años. Según la Sección 5 de la FTC Act, la ley de la agencia federal de comercio, las afirmaciones de privacidad y seguridad que publicas tienen que ser ciertas.

El marketing saliente va aparte. La TCPA, la ley estadounidense de llamadas y mensajes comerciales, exige consentimiento previo expreso y por escrito para las llamadas y los mensajes de marketing a números celulares de EE. UU. enviados con un marcador automático o voz pregrabada, y los daños legales son de $500 por cada llamada o mensaje infractor, hasta $1,500 si la infracción es intencional o consciente, por lo general por mensaje. La revocación puede llegar por cualquier medio razonable y hay que atenderla en un plazo de 10 días hábiles. Si la TCPA alcanza o no a los mensajes de WhatsApp enrutados por internet es una cuestión abierta, así que trata el opt-in por escrito como una base prudente y no como una regla resuelta; de todos modos, la Política de Mensajería Empresarial de WhatsApp de Meta exige opt-in.

El aviso de bot también es estatal. La ley de chatbots de Maine (10 M.R.S. §1500-DD), en vigor desde el 24 de septiembre de 2025, es la más amplia y alcanza a los bots corrientes de ventas y soporte; Utah exige el aviso cuando el consumidor lo pide, y de forma proactiva en interacciones de alto riesgo, como las que recogen datos de salud o financieros. La B.O.T. Act de California es más acotada: intención de engañar, plataformas de cara al público con 10 millones o más de visitantes únicos mensuales en EE. UU., y el aviso claro como puerto seguro.

Paso 1: Mapea los datos personales que recoge tu chatbot y por dónde circulan

Mapear datos significa listar cada dato personal que toca el bot, dónde se guarda y quién lo recibe. Para cada canal, anota:

Qué envían los clientes: nombres, números de teléfono, correos, direcciones, detalles del pedido, fotos y notas de voz.
Qué guardas tú: historial de conversaciones, perfiles de contacto y registros de los prompts de IA.
Qué conecta los sistemas: tokens de acceso de canal, claves API de proveedores de IA y secretos de webhook.
A dónde van los datos: la plataforma de mensajería, tu proveedor de bandeja de entrada, el proveedor del modelo de IA y cualquier CRM o herramienta de pago.

Anota también la retención de cada proveedor. Meta dice que actúa como encargado del tratamiento para la Cloud API de WhatsApp y que conserva los mensajes de Cloud API 30 días como máximo (documentación para desarrolladores de Meta). Mira nuestra comparación entre la Cloud API y la app Business.

Paso 2: Elige una base legal y recoge el consentimiento cuando haga falta

El artículo 6 del RGPD enumera las bases legales del tratamiento. Elige una por finalidad, no por herramienta:

Responder preguntas de pedidos o de soporte es una finalidad.
Los envíos masivos de marketing y los seguimientos son una finalidad distinta; revisa si necesitan un consentimiento aparte.
Reutilizar los chats para mejorar tu IA es otra finalidad; no la mezcles en silencio.

Escribe la base legal junto a cada finalidad en tu mapa de datos y guarda la prueba de cualquier consentimiento.

Paso 3: Avisa a las personas de que hablan con una IA (artículo 50 de la Ley de IA de la UE)

Según el artículo 50(1) de la Ley de IA de la UE, un sistema de IA que interactúa con personas debe informarles de que están tratando con una IA, de forma clara y desde la primera interacción, salvo que ya resulte obvio. El deber se aplica desde el 2 de agosto de 2026, con multas de hasta 15 millones de euros o el 3 % de la facturación mundial, según las FAQ de la Comisión Europea sobre el artículo 50. El Digital Omnibus sobre IA, en vigor desde el 27 de julio de 2026, no lo retrasó. Pregunta a tu asesoría cómo te aplica el deber y comprueba que tu herramienta de chatbot muestre el aviso.

Pon un aviso de una línea en la primera respuesta del bot en cada conversación, por ejemplo "Hola, soy el asistente de IA de [Marca]".
Enlaza un aviso de privacidad con la información que exige el artículo 13 del RGPD cuando recoges datos directamente de las personas.
Algunos estados de EE. UU. piden lo mismo: Maine desde el 24 de septiembre de 2025, y Utah cuando el consumidor lo pide o en una interacción de alto riesgo.

Paso 4: Minimiza los datos que el bot recoge, guarda y envía a los modelos de IA

Minimizar datos significa recoger solo lo que la tarea necesita. Menos datos significa menos que proteger, borrar y reportar.

No pidas números de documento ni fechas de nacimiento para responder preguntas de entrega u horarios.
Diles a los clientes que nunca envíen números de tarjeta ni contraseñas por chat, y haz que el bot los rechace.
Envía al modelo de IA solo el contexto que necesita, no fichas completas de clientes.
Lee las condiciones de tu proveedor de IA sobre si los datos de la API se usan para entrenar.
Ofrece derivación a una persona para reclamos, reembolsos o cualquier decisión con un efecto real sobre el cliente.

Paso 5: Cifra credenciales, tokens y datos personales de clientes en tránsito y en reposo

El artículo 32(1)(a) del RGPD menciona la seudonimización y el cifrado como medidas de seguridad. Según el artículo 34(3)(a) del RGPD, no tienes que notificar a las personas si el cifrado hizo que los datos afectados fueran ininteligibles. Aun así puedes tener que notificar al regulador por el artículo 33.

Usa HTTPS/TLS en cada llamada a una API y en cada webhook.
Cifra los tokens de acceso de canal, las claves API de IA y los secretos de webhook a nivel de aplicación, con la clave guardada aparte de la base de datos, para que un volcado filtrado no entregue tu cuenta de WhatsApp o de Instagram.
Cifra los campos de contacto de más riesgo, como los números de teléfono y las direcciones.

Ten claro el límite: un servidor que escribe respuestas con IA tiene que leer el texto de los mensajes, así que los pasos 6 y 7 pesan tanto como el cifrado.

Paso 6: Aplica control de acceso por roles y conserva registros de auditoría

El control de acceso basado en roles (RBAC) da a cada persona solo los permisos que su trabajo necesita:

El personal de primera línea recibe conversaciones y contactos, no facturación, ajustes de IA ni claves API.
Los usuarios de solo lectura ven únicamente lo que necesitan y no pueden cambiarlo.
Retira el acceso el mismo día en que alguien se va y rota las claves que haya podido ver.
Registra quién cambió los ajustes sensibles.

La Regla 6 de la DPDP de India incluye conservar registros durante un año entre sus salvaguardas de seguridad. Pregunta a cada proveedor de tu stack qué controles de acceso aplica a su propio personal y cómo queda registrado ese acceso, y guarda las respuestas junto con tu mapa de datos.

Paso 7: Define periodos de retención y gestiona las solicitudes de eliminación y de acceso

El artículo 17 del RGPD da a las personas el derecho de supresión, así que necesitas una forma de encontrar y eliminar los datos de una persona en todos tus sistemas.

Define un periodo de retención por tipo de dato, por ejemplo conversaciones abiertas, conversaciones cerradas y contactos de marketing.
Borra o anonimiza los datos cuando ese periodo termina; automatizarlo es buena práctica.
Arma un flujo de solicitudes: verifica la identidad, busca en la bandeja de entrada, el CRM, los registros de IA y las exportaciones, y luego actúa y déjalo documentado.
Lleva el control del plazo de respuesta en cada ley que te aplique. En India, los Data Fiduciaries deben responder las solicitudes de derechos en 90 días una vez que rijan las Reglas sustantivas de la DPDP (alrededor de mayo de 2027). En California, las solicitudes verificables tienen 45 días, prorrogables una vez.

Si conectas Facebook o Instagram, revisa cómo gestiona tu proveedor de bandeja de entrada las solicitudes de eliminación de datos de Meta.

Paso 8: Firma un DPA con cada encargado del tratamiento y controla las transferencias internacionales

Un contrato de encargado del tratamiento (DPA) es el contrato vinculante que el artículo 28(3) del RGPD exige entre tú y cada encargado que trate datos personales por tu cuenta. Para un chatbot con IA, eso normalmente significa la plataforma de bandeja de entrada, el proveedor del modelo de IA y el proveedor de la API de mensajería. Revisa los subencargados, el uso de los datos para entrenar IA, la eliminación al terminar el contrato y con qué rapidez debe reportarte el proveedor una brecha. El derecho estadounidense convierte la misma idea en una condición: mira la regla de prestador de servicios de la CCPA §7051(c) de arriba.

Las transferencias también piden atención. Desde la Ley 7499 de Turquía, las transferencias al extranjero necesitan una decisión de adecuación, garantías apropiadas como un contrato tipo del Consejo, o una excepción acotada. El Consejo no ha publicado ninguna lista de adecuación, y las excepciones solo cubren transferencias incidentales y no recurrentes, así que no pueden sostener un flujo continuo de chatbot: cuenta con el contrato tipo del Consejo y revisa los pasos de notificación que exige. Alojar los datos fuera de Arabia Saudita no te saca del ámbito de la PDPL saudí si tratas datos de personas que se encuentran allí, y las transferencias saudíes necesitan una finalidad permitida más adecuación o una garantía con una evaluación de riesgos documentada. Brasil exige el texto de cláusulas de la ANPD sin modificar. Pregunta a tu proveedor de modelos en qué garantía de transferencia se apoya y confirma con tu asesoría que cumple cada ley que te aplica.

Paso 9: Prepara un plan de respuesta a brechas para el plazo de cada jurisdicción

Un plan de brechas es un manual breve que dice quién hace qué en las primeras 72 horas, porque la mayoría de los relojes arrancan cuando tienes conocimiento de la brecha.

Nombra un responsable del incidente y un suplente.
Lista cada regulador y cada plazo que te aplican (mira la tabla de abajo).
Prepara plantillas de aviso a clientes en todos los idiomas que atiendes, incluidos el árabe y el kurdo.
Documenta cómo revocar y rotar rápido los tokens de canal, las claves API de IA y los secretos de webhook.

Paso 10: Revisa tu checklist de cumplimiento del RGPD para chatbots con IA con periodicidad

Ahora: confirma que llegas al plazo de cumplimiento de Egipto, en torno a principios de noviembre de 2026.
Cada trimestre: revisa los accesos del equipo, los canales conectados y las claves API activas.
Cada seis meses: haz una prueba de solicitud de eliminación y un simulacro de brecha.
En cada cambio: actualiza tu mapa de datos y tu lista de proveedores al agregar un canal, un modelo de IA o un proveedor, y haz una revisión previa de riesgos de privacidad para cada nuevo uso de IA.
Cada año: vuelve a revisar cada país, en especial los Reglamentos Ejecutivos de los Emiratos Árabes Unidos, la fase de India desde alrededor de mayo de 2027 y el proyecto de ley de Irak.

Referencia rápida por país: estado y plazos de notificación de brechas (septiembre de 2026)

Jurisdicción	Ley principal	Estado (sept. 2026)	Notificación de brecha al regulador
UE/EEE	RGPD + art. 50 de la Ley de IA	En vigor	72 horas (art. 33 del RGPD)
Estados Unidos (federal)	Sin ley general de privacidad; Sección 5 de la FTC Act, TCPA, normas sectoriales	Sin ley general; normas sectoriales en vigor	Sin deber federal general; solo normas sectoriales (HIPAA: a las personas dentro de los 60 días del descubrimiento, y al HHS dentro de los 60 días en brechas de 500 o más personas y, en los demás casos, dentro de los 60 días del cierre del año calendario; Safeguards Rule de la GLBA: a la FTC dentro de los 30 días de descubrir un evento que afecte información de clientes sin cifrar de 500 o más consumidores)
California (CCPA/CPRA)	Cal. Civ. Code §1798.100 y ss.	En vigor; el reglamento de la CPPA rige desde el 1 de ene. de 2026	No lo fija la CCPA; la ley aparte §1798.82 (modificada por la SB 446, vigente desde el 1 de ene. de 2026) da 30 días naturales desde el descubrimiento para avisar a los residentes afectados, más un aviso al fiscal general (AG) de California dentro de los 15 días de haber avisado a los consumidores cuando hay más de 500 residentes de California afectados. Los plazos varían de un estado a otro
Arabia Saudita	PDPL (M/19, modificada por M/148)	Exigible desde el 14 de sept. de 2024	72 horas a la SDAIA (art. 24 del Reglamento)
Emiratos Árabes Unidos (federal)	Decreto-Ley n.º 45 de 2021	En vigor; Reglamentos Ejecutivos sin publicar	"De inmediato"; sin plazo en horas
DIFC	Ley DIFC n.º 5 de 2020	En vigor; modificada en 2022 y 2025	Tan pronto como sea posible (art. 41); sin regla de 72 horas
ADGM	Reglamento de Protección de Datos de 2021	En vigor y aplicado	Sin dilación indebida; cuando sea posible, 72 horas
Catar	Ley n.º 13 de 2016 (PDPPL)	En vigor; la NCSA publicó guías	Ninguno en la ley; la guía de la NCSA espera 72 horas
Baréin	Ley n.º 30 de 2018	En vigor; la PDPA opera desde 2022	72 horas desde el descubrimiento, a la PDPA
Kuwait	Reglamento de la CITRA, modificado en 2024	Obliga solo a los proveedores licenciados por la CITRA	24 horas, solo licenciatarios
Omán	Decreto Real n.º 6/2022	Plenamente exigible el 5 de feb. de 2026	72 horas al MTCIT
Jordania	Ley n.º 24 de 2023	El periodo de gracia terminó el 17 de marzo de 2025	72 horas; a los titulares, en 24 horas
Egipto	Ley 151/2020	El periodo de cumplimiento termina a principios de nov. de 2026, aprox.	72 horas al PDPC
Marruecos	Ley n.º 09-08	En vigor; régimen de declaración	Ninguno: la Ley n.º 09-08 no fija un deber general de notificar brechas
Turquía	KVKK (Ley n.º 6698)	En vigor, modificada en junio de 2024	72 horas al Consejo de la KVKK
India	Ley DPDP de 2023	La mayoría de los deberes desde alrededor de mayo de 2027	Informe detallado en 72 horas (Regla 7)
Brasil	LGPD	En vigor, sanciones desde ago. de 2021	3 días hábiles a la ANPD, el doble para agentes pequeños
Irak	Sin ley integral para el sector privado	Existe un proyecto de ley	Sin deber legal; confírmalo con asesoría local
Región del Kurdistán	Sin ley integral; Ley n.º 6 de 2008	—	Sin deber legal; confírmalo con asesoría local

Irak y la Región del Kurdistán: según DataGuidance, la privacidad en Irak se apoya en la Constitución de 2005 y no en una ley específica. La norma más cercana de la Región del Kurdistán es la Ley n.º 6 de 2008 sobre uso indebido de dispositivos de telecomunicación.

Cómo Raabt acompaña tu trabajo de cumplimiento en Arabia Saudita, el Golfo y más allá

Esto es un mapa de funciones, no una certificación de cumplimiento. Ninguna herramienta te hace cumplir la ley por sí sola: tu base legal, tus avisos, tus periodos de retención y tus contratos son los que deciden eso. Lo que sí puede hacer una plataforma es darte los controles que cada ley espera que tengas.

Qué pide la ley	Qué te da Raabt hoy	Qué sigue siendo tarea tuya
Medidas de seguridad (art. 32 del RGPD, PDPL saudí, Baréin, Omán, Jordania, KVKK)	Tokens de acceso de canal, claves de proveedores de IA, secretos de webhook y números de teléfono, correos y direcciones de pedido de los clientes cifrados con AES-256-GCM; contraseñas hasheadas con Argon2id; códigos de un solo uso guardados únicamente como hashes HMAC-SHA256	Los periodos de retención, el cifrado de los dispositivos y la seguridad de todo lo que exportes
Control de acceso y mínimo privilegio	Cuatro roles (owner, admin, agent, viewer) con permisos por sección, facturación reservada a los owners, un código de un solo uso por correo al entrar con contraseña y revocación de la sesión al cerrarla	Revisar quién tiene acceso y dar de baja el mismo día a quien se va
Avisar a las personas de que hablan con una IA (art. 50 de la Ley de IA de la UE, Maine, Utah)	Los ajustes de IA son una sección con permisos, así que solo los roles que elijas pueden cambiar cómo responde el bot	Redactar la línea del aviso, ponerla en el primer mensaje del bot y comprobar que se muestra en cada canal
Mantener separados los datos de cada cliente	Los endpoints de empresa confirman que quien llama es miembro activo de esa empresa antes de devolver nada	Elegir a quién invitas al espacio de trabajo
Solicitudes de eliminación (art. 17 del RGPD y equivalentes)	El callback de eliminación de datos de Meta, con código de confirmación y enlace de estado en la página de eliminación de datos; eliminar la cuenta pide tu contraseña más un código enviado por correo, y luego desactiva la cuenta y anonimiza su correo	Las solicitudes de supresión de clientes concretos, y tu propia política de retención y eliminación
Integraciones verificadas y a prueba de manipulación	Los webhooks de Meta se rechazan sin una firma X-Hub-Signature-256 válida, los de Telegram exigen un token secreto y los archivos adjuntos se sirven solo por enlaces firmados con HMAC que caducan	Rotar los tokens de canal y las claves API cuando alguien del equipo se va
Respuesta a brechas (72 horas en la UE, Arabia Saudita, Baréin, Omán, Jordania y Turquía; 24 horas para los licenciatarios kuwaitíes; reglas por estado en EE. UU.)	Las acciones del propio personal de plataforma de Raabt se escriben en un registro de solo anexado (quién, qué, cuándo, IP) con los secretos ocultos	Tu manual de incidentes, los avisos al regulador y los avisos a clientes
Enviar datos al extranjero	Las claves API de proveedores de IA y el JSON de cuenta de servicio se cifran a nivel de aplicación (AES-256-GCM)	Elegir qué proveedor de IA procesa tu texto, tu evaluación de transferencias, los contratos tipo y cualquier trámite local

Qué hace Raabt hoy para proteger los datos de tu empresa

Ninguna herramienta te hace cumplir la ley; el resultado depende de cómo la configures y la uses. Si ejecutas tu chatbot con IA en Raabt, estos controles están en marcha hoy:

Credenciales y ciertos datos de contacto cifrados: los tokens de acceso de canal (Facebook, Instagram, WhatsApp, Telegram), las claves API de proveedores de IA, los secretos de webhook y los números de teléfono, correos y direcciones de pedido de los clientes se cifran a nivel de aplicación con AES-256-GCM.
Contraseñas y códigos de acceso: las contraseñas se hashean con Argon2id. Los accesos con correo y contraseña exigen un código de un solo uso enviado por correo antes de abrir la sesión; el acceso con Google no usa ese código.
Acceso del equipo por roles: cuatro roles (owner, admin, agent, viewer) con permisos por sección; el acceso a facturación no se puede delegar a quien no sea owner.
Aislamiento entre empresas: los endpoints de empresa confirman que quien llama es miembro activo de esa empresa y, si no, devuelven "not found".
Webhooks verificados: los webhooks de Meta sin una firma X-Hub-Signature-256 válida se rechazan, y los webhooks de Telegram exigen un token secreto.
Revocación de sesiones: al cerrar sesión, esta se revoca mediante una lista de bloqueo que se comprueba en cada solicitud autenticada.
Solicitudes de eliminación de Meta: Raabt admite el callback de eliminación de datos de Meta, con un enlace de estado en la página de eliminación de datos.
Eliminación de cuenta: pide una contraseña más un código de un solo uso enviado por correo. La cuenta queda desactivada de inmediato y su correo anonimizado, pero esto no borra los datos de conversaciones ni de contactos.

Un límite con el que hay que contar: las conversaciones no están cifradas de extremo a extremo, porque los servidores de Raabt tienen que leer los mensajes para generar respuestas con IA. Un servidor que compone la respuesta tiene que leer antes el mensaje.

Planifica la retención, los accesos y los avisos a clientes teniendo eso en cuenta, y consulta nuestra política de privacidad.

Preguntas frecuentes

Información general, no asesoramiento legal.

¿Mi chatbot con IA cumple el RGPD?

Solo una revisión de tu propio montaje puede responderlo. Comprueba que haya una base legal por finalidad, un aviso de privacidad claro, un DPA con cada encargado del tratamiento, medidas de seguridad apropiadas como el cifrado y solicitudes de supresión que funcionen.

¿Es obligatorio avisar al cliente que habla con una IA?

En la UE, por regla general sí. Desde el 2 de agosto de 2026, el artículo 50(1) de la Ley de IA exige que los sistemas de IA que interactúan con personas lo dejen claro desde la primera interacción, salvo que sea obvio. En EE. UU., Maine exige el aviso cuando un chatbot comercial podría hacer creer al consumidor que habla con una persona; Utah exige el aviso cuando el consumidor lo pide, y de forma proactiva en interacciones de alto riesgo, como las que recogen datos de salud o financieros.

¿La Ley de IA de la UE aplica a los chatbots de atención al cliente?

Sí, por los deberes de transparencia del artículo 50 para los sistemas de IA que interactúan con personas. El Digital Omnibus movió los plazos de los sistemas de alto riesgo autónomos (Anexo III) al 2 de diciembre de 2027 y los del Anexo I al 2 de agosto de 2028. Consulta con tu asesoría si tu caso de uso es de alto riesgo.

¿Las leyes de privacidad de EE. UU. aplican a mi chatbot de WhatsApp o Instagram?

A menudo sí, estado por estado y no a través de una sola ley federal. Las transcripciones de chat vinculadas a un número de teléfono o a un usuario de Instagram son información personal bajo esas leyes, y encima se suman los deberes de aviso de bot y el consentimiento de la TCPA para el marketing saliente. Mira la sección sobre EE. UU. de arriba para los umbrales y la cuestión abierta de la TCPA.

¿Necesito un contrato de encargado del tratamiento con el proveedor del chatbot?

Bajo el RGPD, sí, si el proveedor trata datos personales por tu cuenta, porque el artículo 28(3) exige un contrato vinculante con cada encargado. Revisa los subencargados, las condiciones de entrenamiento de IA y la eliminación al terminar el contrato.

¿Cuánto tiempo se pueden guardar las conversaciones del chatbot bajo el RGPD?

No hay una cifra única que copiar. Un enfoque habitual es conservar las conversaciones solo el tiempo que necesite la finalidad que declaraste, informar ese periodo a los clientes en tu aviso de privacidad y borrar o anonimizar los datos después. Confirma el periodo con tu asesoría.

¿Irak tiene una ley de protección de datos?

No una integral para el sector privado, aunque existe un proyecto de ley. El artículo 17 de la Constitución de 2005 protege la privacidad personal y el artículo 40 protege las comunicaciones. La Región del Kurdistán tampoco tiene una ley integral, así que trabajar al nivel del RGPD es por ahora una base razonable.

¿Listo para poner en marcha respuestas automáticas con IA con credenciales de canal cifradas y acceso del equipo por roles? Empieza gratis.