Guía · Legalidad de la IA

¿Es legal usar inteligencia artificial en la atención al cliente en España?

Última actualización: 15 de septiembre de 2026 · por Olga Angélica Ortiz Revelo (OlgaDev), desarrolladora en Cantabria

Sí, es legal usar IA para atender clientes en España, con dos condiciones: la IA debe identificarse como IA (artículo 50.1 del Reglamento (UE) 2024/1689, exigible desde el 2 de agosto de 2026) y los datos deben tratarse conforme al RGPD (artículos 6, 13-14, 28 y 5.1.c). No hace falta permiso, registro ni autorización previa: un asistente que resuelve dudas, agenda citas o recoge datos de contacto no es un sistema de alto riesgo.

Preguntar a Ada por WhatsApp Escribir a Ada en la web

Sin formularios: le escribes y responde. +34 614 478 144

Esta guía cita el artículo, la fecha de aplicación y la fuente oficial de cada requisito, y explica cómo se cumple en la práctica con lo que hacemos en OlgaDev. No es asesoramiento jurídico: si tu caso trata datos de salud, menores o biometría, consulta con un abogado especializado.

¿Qué dice exactamente la norma, artículo por artículo?

Casi todo lo que se lee sobre «IA y legalidad» es opinión sin un solo número de artículo. Esta es la tabla con la norma, el precepto concreto, desde cuándo es exigible y el enlace a la fuente oficial para que lo compruebes tú. Hay once obligaciones que afectan a un asistente de atención al cliente, y solo tres vienen del Reglamento de IA.

Qué tienes que hacer	Norma y artículo	Exigible desde	Fuente oficial
Decir que quien responde es una IA Ley	Reglamento (UE) 2024/1689, art. 50.1 — el sistema destinado a interactuar con personas debe informar de que es IA, salvo que sea evidente. Art. 50.5: de forma clara y distinguible, a más tardar en la primera interacción.	2 ago 2026	EUR-Lex
Marcar el contenido generado por IA Ley	Reglamento (UE) 2024/1689, arts. 50.2 y 50.4 — textos, audios, imágenes o vídeos sintéticos marcados y, si se publican para informar al público, declarados como generados por IA.	2 ago 2026	EUR-Lex
No manipular ni explotar vulnerabilidades Ley	Reglamento (UE) 2024/1689, art. 5.1.a) y b) — prácticas prohibidas: técnicas subliminales, manipuladoras o engañosas, y explotación de vulnerabilidades por edad, discapacidad o situación social.	2 feb 2025	EUR-Lex
Tener una base legal para tratar los datos Ley	RGPD, art. 6 — normalmente interés legítimo o medidas precontractuales. Para enviar comercial después, consentimiento aparte (art. 6.1.a y art. 21 LSSI).	25 may 2018	EUR-Lex
Informar al pedir los datos Ley	RGPD, arts. 13 y 14 — quién trata, para qué, cuánto tiempo y qué derechos hay, en el momento de recoger el dato, con la política de privacidad accesible.	25 may 2018	EUR-Lex
Pedir solo lo necesario Ley	RGPD, art. 5.1.c) — minimización: datos adecuados, pertinentes y limitados a la finalidad.	25 may 2018	EUR-Lex
Atender derechos de acceso, rectificación y supresión Ley	RGPD, arts. 15, 16 y 17, con el plazo de respuesta del art. 12.3 (un mes, ampliable a tres).	25 may 2018	AEPD
Firmar contrato con quien monta y aloja el asistente Ley	RGPD, art. 28 — contrato de encargado del tratamiento, con objeto, finalidad, duración, medidas de seguridad y autorización de subencargados.	25 may 2018	EUR-Lex
Intervención humana en decisiones automatizadas Ley, pero casi nunca aplica	RGPD, art. 22 — solo si hay una decisión basada únicamente en tratamiento automatizado con efectos jurídicos o similares. Dar un precio o agendar una cita no lo es.	25 may 2018	EUR-Lex
Atención personal directa en el servicio de atención al cliente Ley de consumo	Texto refundido LGDCU (Real Decreto Legislativo 1/2007), art. 21.2 — los servicios de información y atención al cliente que usen atención telefónica o electrónica «deberán garantizar una atención personal directa, más allá de la posibilidad de utilizar complementariamente otros medios técnicos». El mismo artículo prohíbe usar ese canal para comunicaciones comerciales.	En vigor	BOE
Vía de escalado a una persona en WhatsApp Contrato, no ley	Política de mensajes de WhatsApp Business: toda automatización dentro de la ventana de atención de 24 h debe ofrecer una vía rápida, clara y directa de escalado a una persona. Los Términos de la Solución de WhatsApp Business (versión de 6 mar 2026, sección «AI Providers») restringen ofrecer asistentes de IA de propósito general como funcionalidad principal, pero exceptúan expresamente los números del Espacio Económico Europeo y de Brasil: en España no aplica. Es condición contractual de Meta, y se hace cumplir cortando el servicio, no con multa pública.	Vigente	Política de mensajes de WhatsApp Business

Matiz que cambia quién responde: el artículo 50.1 obliga al proveedor del sistema de IA y el 50.3 y 50.4 al responsable del despliegue, que eres tú. Por eso el aviso «soy una IA» tiene que venir ya de fábrica en lo que te instalen, y tiene que estar escrito en el contrato, no ser un favor.

¿Qué exige el Reglamento europeo de IA y desde cuándo es obligatorio?

El Reglamento (UE) 2024/1689 —el AI Act— entró en vigor el 1 de agosto de 2024, pero no se aplicó de golpe. Su artículo 113 escalona las fechas —y el Reglamento (UE) 2026/1744 movió después las del alto riesgo—, y esa es la parte que casi nadie cuenta:

2 de febrero de 2025: capítulos I y II, es decir las prácticas prohibidas del artículo 5 y la alfabetización en IA.
2 de agosto de 2025: gobernanza, modelos de uso general y el régimen sancionador del capítulo XII.
2 de agosto de 2026: el grueso del Reglamento, incluido el artículo 50, el de la transparencia del chatbot. Es decir: cuando se actualizó esta guía, esa obligación llevaba 44 días siendo exigible. No es futura.
2 de diciembre de 2027: las obligaciones de los sistemas de alto riesgo del anexo III (artículo 6.2) —contratación de personal, crédito, servicios esenciales—, aplazadas por el Reglamento (UE) 2026/1744.
2 de agosto de 2028: las obligaciones del artículo 6.1, es decir los sistemas de alto riesgo del anexo I (los que van integrados en productos que ya tenían su propia normativa de seguridad), también aplazadas por el Reglamento (UE) 2026/1744.

Ojo con las guías antiguas: muchas siguen dando el «2 de agosto de 2027» del calendario original para el alto riesgo. El Reglamento (UE) 2026/1744, de 8 de julio de 2026 —el «Ómnibus digital sobre IA», publicado en el DOUE del 24 de julio de 2026 (PDF)— movió esas fechas al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (artículo 6.1 y anexo I). Lo que no tocó es el artículo 50.1: la transparencia del chatbot sigue exigible desde el 2 de agosto de 2026. Sí añadió un plazo nuevo para el marcado del contenido sintético: los proveedores de IA generativa comercializada antes del 2 de agosto de 2026 deben cumplir el artículo 50.2 a más tardar el 2 de diciembre de 2026.

Para un asistente de atención al cliente lo importante cabe en el artículo 50.1, que dice literalmente: «Los proveedores garantizarán que los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de utilización» (texto oficial en PDF). Traducido: la persona tiene derecho a saber que está hablando con una máquina. Es exigible desde el 2 de agosto de 2026 y el Ómnibus de 2026 no lo ha aplazado. El artículo 50.5 fija el cuándo: de forma clara y distinguible, a más tardar en la primera interacción.

Un asistente que responde dudas, agenda citas o recoge datos de contacto no es un sistema de alto riesgo: no decide sobre el acceso a un empleo, a un crédito ni a un servicio esencial, que es lo que lista el anexo III. Por eso no necesita autorización previa, marcado CE ni auditoría externa —y, aunque lo fuera, esas obligaciones no serían exigibles hasta el 2 de diciembre de 2027—. Lo que sí necesita es avisar, y eso se resuelve con una frase.

Se cumple así: «Hola, soy Ada, el asistente de IA de OlgaDev» en el primer mensaje. Nada más.
No se cumple así: darle a la IA un nombre de persona y dejar que el cliente crea que hay alguien al otro lado. Tampoco vale ponerlo solo en los términos legales: el artículo 50.5 dice «primera interacción».
Además: si generas textos o imágenes con IA para publicarlos, los artículos 50.2 y 50.4 piden que se pueda saber que son sintéticos.

¿Qué exige el RGPD a un asistente que atiende clientes?

En cuanto el asistente recibe un nombre, un teléfono o un correo, ya estás tratando datos personales y manda el RGPD (Reglamento UE 2016/679) junto con la LOPDGDD (Ley Orgánica 3/2018). Cinco obligaciones, cada una con su artículo:

Base legal (art. 6). Normalmente el interés legítimo de atender una consulta o las medidas precontractuales. Para enviar comunicaciones comerciales después hace falta consentimiento aparte, y además lo exige el artículo 21 de la LSSI (Ley 34/2002).
Información en el momento (arts. 13 y 14). Cuando el asistente pide datos, debe decir quién los trata y para qué, con enlace a la política de privacidad. No vale esconderlo en el pie de la web.
Minimización (art. 5.1.c). Solo lo adecuado y limitado a la finalidad. Si para dar un precio basta con el tipo de negocio, no se pide el DNI.
Derechos y plazos (arts. 15, 16, 17 y 12.3). Acceso, rectificación y supresión atendidos en un mes (ampliable a tres), y un plazo de conservación escrito para las conversaciones.
Contrato de encargado (art. 28). Con quien te monta y aloja el asistente, con la lista de subencargados y dónde se procesan los datos. Si el proveedor no te lo da, no hay acuerdo posible.

La AEPD lleva desde febrero de 2020 publicando cómo encaja la IA en el RGPD en su guía «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial». No es un tema nuevo ni un vacío legal: es el mismo reglamento de siempre aplicado a una herramienta nueva.

¿Obliga alguna ley a que un chatbot te pase con una persona?

Aquí es donde casi todas las guías se equivocan, y merece la pena ser exacta porque es lo que un cliente te va a discutir. El Reglamento de IA no impone ninguna salida humana a un chatbot de riesgo limitado: la supervisión humana del artículo 14 es una obligación de los sistemas de alto riesgo, y un asistente de atención al cliente no lo es. Y el artículo 22 del RGPD solo da derecho a intervención humana frente a decisiones tomadas únicamente por medios automatizados que produzcan efectos jurídicos o afecten de modo similarmente significativo: denegar un crédito sí, decirte el horario de la tienda no.

Lo que sí obliga en España, y viene del derecho de consumo, es el artículo 21.2 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007): los servicios de información y atención al cliente que usen atención telefónica o electrónica «deberán garantizar una atención personal directa, más allá de la posibilidad de utilizar complementariamente otros medios técnicos a su alcance». Traducido:

Si el canal atiende quejas y reclamaciones de consumidores: la persona es obligatoria, y la base es el artículo 21.2 del TRLGDCU, no el Reglamento de IA.
Si es un asistente previo a la venta que informa de precios, horarios o agenda citas: la salida humana no es una obligación legal. Es una buena práctica, y como tal hay que exigirla por contrato, con un tiempo de respuesta escrito.
Extra del mismo artículo 21.2: está prohibido usar el canal de atención al cliente para difundir comunicaciones comerciales. Ese chatbot de soporte que acaba colocándote una oferta tiene un problema, y no es de IA.

Por qué lo cuento así: si te venden «la ley te obliga a tener un humano detrás del chatbot» y llega un cliente que ha leído el Reglamento, se te cae el argumento entero. Es mejor prometer la salida humana en el contrato, donde sí es exigible, que apoyarla en un artículo que no existe.

¿Cuánto se puede multar y quién multa en España?

Aquí hay dos normas distintas con dos regímenes de multa distintos, y mezclarlos es el error más común. El Reglamento de IA tiene tres tramos en su artículo 99; el RGPD tiene dos en su artículo 83:

Norma y artículo	Qué se sanciona	Tope
Reglamento de IA art. 99.3	Prácticas prohibidas del artículo 5 (manipulación, explotación de vulnerabilidades, puntuación social…).	35 M€ o 7 %
Reglamento de IA art. 99.4.g)	Incumplir la transparencia del artículo 50: el chatbot que no dice que es una IA cae aquí.	15 M€ o 3 %
Reglamento de IA art. 99.5	Dar información inexacta, incompleta o engañosa a la autoridad competente.	7,5 M€ o 1 %
RGPD art. 83.5	Tratar sin base legal, no informar (arts. 13-14), no atender derechos (arts. 15-22).	20 M€ o 4 %
RGPD art. 83.4	Falta de contrato de encargado (art. 28) o de medidas de seguridad (art. 32).	10 M€ o 2 %

Dos detalles que cambian la conversación con una pyme, y que casi nunca se cuentan:

El porcentaje es de la facturación mundial anual del ejercicio anterior, y en el RGPD y en los artículos 99.3 a 99.5 del Reglamento de IA se aplica la cifra mayor de las dos.
Salvo si eres pyme. El artículo 99.6 del Reglamento de IA dice que para pymes y empresas emergentes la multa es la cifra menor. Una peluquería con 90.000 € de facturación no se expone a 15 millones: se expone al 3 %, unos 2.700 €. Sigue doliendo, pero el titular de «multas millonarias» no es su realidad.

¿Y quién multa? En España son dos autoridades distintas:

AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023, de 22 de agosto, con sede institucional en A Coruña (edificio La Terraza). Es la autoridad de supervisión del Reglamento de IA. aesia.digital.gob.es
AEPD, la Agencia Española de Protección de Datos, que es la que sanciona por RGPD y la que, hoy por hoy, resuelve de verdad las reclamaciones de un cliente que se siente mal tratado por un chatbot. aepd.es

Honestidad sobre lo que no está cerrado: antes de citar multas del Reglamento de IA en España, comprueba en el BOE si el régimen sancionador español ya está publicado. La vía que hoy funciona con total seguridad es la del RGPD, ante la AEPD.

¿Qué NO se puede hacer con IA en la atención al cliente?

La lista de prohibiciones es corta, y cada una tiene su artículo:

Hacer pasar la IA por una persona (art. 50.1 del Reglamento de IA). Es lo que más se incumple y lo más fácil de arreglar.
Usar técnicas subliminales, manipuladoras o engañosas que distorsionen el comportamiento y causen un perjuicio, o explotar vulnerabilidades por edad, discapacidad o situación socioeconómica (art. 5.1.a y 5.1.b, prohibidas desde el 2 de febrero de 2025).
Pedir datos de más o reutilizarlos. Recoger un teléfono para una cita y usarlo luego para una campaña infringe los artículos 5.1.b y 5.1.c del RGPD. No es una idea de marketing.
Usar el canal de atención al cliente para vender (art. 21.2 del TRLGDCU, prohibición expresa).
Dejar a la persona atrapada con la máquina en WhatsApp. La Política de mensajes de WhatsApp Business exige que toda automatización dentro de la ventana de atención de 24 h ofrezca una vía rápida, clara y directa de escalado a una persona. Y un bulo que conviene deshacer: los Términos de la Solución de WhatsApp Business (versión de 6 de marzo de 2026, sección «AI Providers») sí restringen ofrecer modelos de lenguaje o asistentes de IA de propósito general como funcionalidad principal, pero exceptúan expresamente a los usuarios con números del Espacio Económico Europeo o de Brasil: en España esa prohibición no aplica.

Un matiz que casi todas las guías cuentan mal: inferir emociones no está prohibido en atención al cliente. El artículo 5.1.f solo lo prohíbe «en los ámbitos del lugar de trabajo y los centros educativos». En atención al cliente es un sistema de alto riesgo del anexo III —con obligaciones exigibles desde el 2 de diciembre de 2027, tras el aplazamiento del Reglamento (UE) 2026/1744— y obliga a informar a la persona (art. 50.3), que no es lo mismo que estar prohibido. En OlgaDev no hacemos reconocimiento de emociones, así que la cuestión ni se plantea.

¿Qué le tienes que pedir a tu proveedor de IA?

Esta es la tabla para llevar a la reunión. Seis requisitos, separando lo que exige la ley de lo que tienes que exigir por contrato, y cómo se resuelve en OlgaDev:

Requisito	Qué lo respalda	Cómo se resuelve en OlgaDev
1. La IA se identifica como IA	Ley Reglamento UE 2024/1689, art. 50.1 y 50.5 — en la primera interacción, de forma clara.	Ada se presenta como asistente de IA en el primer mensaje, en la web y en WhatsApp. Comprobable ahora mismo.
2. Información y base legal	Ley RGPD, arts. 6, 13 y 14 — quién trata los datos y para qué, en el momento de pedirlos.	Aviso en el propio chat y política de privacidad pública y enlazada desde todas las páginas.
3. Minimización de datos	Ley RGPD, art. 5.1.c) — adecuados, pertinentes y limitados a la finalidad.	Ada pide lo justo para responder o agendar: no hay formularios largos ni campos de relleno.
4. Contrato de encargado del tratamiento	Ley RGPD, art. 28 — con subencargados, medidas de seguridad y lugar de tratamiento.	Se firma con el proyecto, con la lista de piezas: n8n autoalojado, agentes con OpenClaw y la API oficial de Meta.
5. Salida a una persona	Contrato Obligatoria por art. 21.2 TRLGDCU solo si el canal atiende quejas y reclamaciones de consumidores; fuera de ahí no la impone ninguna norma de IA: se pacta por escrito.	Ada deriva a Olga todo lo que se sale del guion, en vez de improvisar una respuesta. Va escrito en el alcance del proyecto.
6. IA acotada al negocio y con traspaso a una persona	Contrato Acotar la IA es criterio de calidad, no una prohibición de Meta en España: sus Términos (6 mar 2026) exceptúan los números del EEE. Lo que sí exige la política de mensajes a toda automatización en la ventana de 24 h es una vía clara de escalado a una persona.	Ada solo atiende citas, dudas, leads y soporte, sobre la API oficial de Meta, sobre un portafolio de Meta verificado como proveedor tecnológico (Tech Provider).

Si el proveedor no te contesta con claridad a estos seis puntos —y sobre todo, si no sabe distinguir cuáles son ley y cuáles son contrato—, el problema no es legal: es de proveedor.

¿Por qué la «IA acotada al negocio» es lo correcto?

Una IA de propósito general responde a cualquier cosa: por eso inventa precios que no existen, promete plazos que no puedes cumplir y se sale del terreno donde tú respondes legalmente. Una IA acotada hace pocas cosas y las hace bien: informa de lo que ofreces, agenda, recoge datos y pasa el resto a una persona.

Acotar no es una limitación técnica: es la decisión que hace que el asistente sea defendible ante un cliente y ante la AEPD (y, en WhatsApp, la que hace fácil cumplir el escalado a una persona que pide la política de Meta). Y reduce la superficie de riesgo justo donde están las multas grandes: un asistente que no persuade, no perfila y no infiere emociones no puede caer en las prácticas prohibidas del artículo 5, que son las de 35 M€ o el 7 %. Esa es la filosofía de OlgaDev: IA sin humo, con la persona al mando.

¿Cómo se comprueba que un asistente cumple? (prueba con Ada)

La teoría legal la escribe cualquiera. Lo que casi nadie te deja hacer es comprobarlo. Aquí sí: Ada está vivo y atiende a cualquier hora, los 7 días, en el chat de olgadev.com y en el WhatsApp +34 614 478 144. Tres pruebas, dos minutos, y cada una corresponde a un artículo:

Pregúntale «¿eres una persona?» y mira si se identifica como IA sin rodeos. Art. 50.1 y 50.5 del Reglamento de IA.
Dale tu correo y mira qué te dice sobre el tratamiento de tus datos. Arts. 13 y 14 del RGPD.
Pídele algo fuera de su terreno y mira si deriva a Olga en vez de inventarse la respuesta. Buena práctica contractual, no obligación legal.

Si quieres ver cómo se monta esto por dentro, el curso público y gratuito en GitHub —«IA y creación de aplicaciones para emprendedores y autónomos», 5 módulos y 21 clases, código MIT y material CC BY-NC— lo enseña paso a paso. Y si lo que quieres es tenerlo montado, los packs empiezan en 600 € (asistente en web y WhatsApp, instalación en 1 semana), 1.200 € (con agenda de citas, recordatorios y CRM) y 2.500 € (web optimizada, IA con voz, informes y multi-sede). El detalle de la parte de WhatsApp está en la guía de cómo poner un asistente de IA en WhatsApp.

Escribir a Ada por WhatsApp Probar a Ada en la web

Pregúntale si es una IA. Te lo dirá. +34 614 478 144

¿Dónde puedes leer las fuentes oficiales?

Todo lo que dice esta guía se comprueba en estos nueve sitios. Si algún proveedor te cuenta otra cosa, contrástalo aquí antes de firmar:

Reglamento (UE) 2024/1689 — Reglamento de Inteligencia Artificial EUR-Lex · arts. 5 (prohibiciones), 50 (transparencia), 99 (multas), 113 (fechas) · PDF oficial en el BOE
Reglamento (UE) 2026/1744, de 8 de julio de 2026 — Ómnibus digital sobre IA DOUE de 24-7-2026 · aplaza el alto riesgo: anexo III al 2-dic-2027 y art. 6.1/anexo I al 2-ago-2028 · PDF oficial en el BOE
Reglamento (UE) 2016/679 — RGPD EUR-Lex · arts. 5, 6, 12-14, 15-17, 22, 28, 83
Ley Orgánica 3/2018 (LOPDGDD) BOE · desarrollo español del RGPD
Real Decreto Legislativo 1/2007 (TRLGDCU) BOE · art. 21.2, atención personal directa en atención al cliente
Real Decreto 729/2023 — Estatuto de la AESIA BOE · autoridad española de supervisión de la IA, sede en A Coruña
AEPD — «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial» aepd.es · guía de febrero de 2020
Política de mensajes de WhatsApp Business Meta · vía de escalado a una persona para la automatización dentro de la ventana de 24 h
Términos de la Solución de WhatsApp Business Meta, versión de 6 de marzo de 2026 · sección «AI Providers»: la restricción de IA de propósito general exceptúa los números del EEE y de Brasil

Preguntas frecuentes

¿Es legal usar inteligencia artificial en la atención al cliente en España?

Sí. Es legal atender clientes con IA en España con dos condiciones: la IA debe identificarse como IA ante la persona (artículo 50.1 del Reglamento UE 2024/1689, el Reglamento europeo de IA) y los datos personales deben tratarse conforme al RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018). No hace falta ningún permiso, registro ni autorización previa para un asistente que resuelve dudas, agenda citas o recoge datos de contacto: ese uso no es un sistema de alto riesgo del Reglamento de IA.

¿Desde cuándo es obligatorio avisar de que quien responde es una IA?

Desde el 2 de agosto de 2026. El Reglamento UE 2024/1689 entró en vigor el 1 de agosto de 2024, pero su artículo 113 escalona la aplicación: las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025 y el grueso del Reglamento —incluido el artículo 50 de transparencia, que es el que obliga a identificar al chatbot— desde el 2 de agosto de 2026. Las obligaciones de los sistemas de alto riesgo se aplazaron después por el Reglamento (UE) 2026/1744, de 8 de julio de 2026 (el «Ómnibus digital sobre IA»): los sistemas del anexo III (artículo 6.2) pasan al 2 de diciembre de 2027 y los del artículo 6.1 y el anexo I, al 2 de agosto de 2028. Ese aplazamiento no toca el artículo 50.1: la obligación de decir que eres una IA ya es exigible hoy, no es futura.

¿Qué artículo del Reglamento de IA obliga a identificar el chatbot?

El artículo 50.1 del Reglamento UE 2024/1689: los sistemas de IA destinados a interactuar directamente con personas físicas deben diseñarse de forma que la persona esté informada de que está interactuando con un sistema de IA, salvo que resulte evidente para una persona normalmente informada y razonablemente atenta. El artículo 50.5 añade cuándo hay que decirlo: de forma clara y distinguible, a más tardar en el momento de la primera interacción. Por eso el aviso va en el primer mensaje del chat, no en el pie de la web. El artículo 50.2 y el 50.4 añaden el marcado del contenido generado por IA, y el 50.3 obliga a informar si el sistema infiere emociones.

¿Qué exige el RGPD a un asistente de IA que atiende clientes?

Cinco cosas con artículo concreto: una base legal para tratar los datos (artículo 6), información clara en el momento de recogerlos con enlace a la política de privacidad (artículos 13 y 14), minimización, es decir pedir solo lo adecuado y limitado a la finalidad (artículo 5.1.c), atender los derechos de acceso, rectificación y supresión (artículos 15, 16 y 17) y firmar un contrato de encargado del tratamiento con quien monta y aloja el asistente, con la lista de subencargados (artículo 28). Incumplir la información o los derechos se sanciona por la vía del artículo 83.5, con hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cifra que sea mayor.

¿Obliga la ley a que un chatbot me pase con una persona?

Depende de para qué se use el chatbot, y conviene decirlo con precisión porque casi todo el mundo lo cuenta mal. El Reglamento de IA no impone ninguna salida humana a un chatbot de riesgo limitado, y el artículo 22 del RGPD solo da derecho a intervención humana frente a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar: responder precios, horarios o agendar una cita no entra ahí. Lo que sí obliga en España es el artículo 21.2 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007): los servicios de información y atención al cliente que usen atención telefónica o electrónica deben garantizar una atención personal directa, más allá de los medios técnicos complementarios. O sea: si el canal atiende quejas y reclamaciones de consumidores, la persona es obligatoria por derecho de consumo; si es un asistente previo a la venta, la salida humana es buena práctica y debe exigirse por contrato, no por el Reglamento de IA.

¿Cuánto se puede multar por incumplir y quién multa en España?

El Reglamento de IA tiene tres tramos en su artículo 99: hasta 35 millones de euros o el 7 % de la facturación mundial por las prácticas prohibidas del artículo 5 (artículo 99.3), hasta 15 millones o el 3 % por el resto de incumplimientos, incluida la transparencia del artículo 50 (artículo 99.4.g), y hasta 7,5 millones o el 1 % por dar información inexacta o engañosa a la autoridad (artículo 99.5). Para pymes y empresas emergentes el artículo 99.6 aplica la cifra menor de las dos, no la mayor. El RGPD es una norma distinta y suma lo suyo: hasta 20 millones o el 4 % (artículo 83.5) y hasta 10 millones o el 2 % (artículo 83.4). En España la autoridad de supervisión de IA es la AESIA, creada por el Real Decreto 729/2023 y con sede en A Coruña, y la autoridad de protección de datos es la AEPD, que es la que hoy sanciona de verdad en materia de datos.

¿Qué no se puede hacer con IA en la atención al cliente?

No se puede hacer pasar la IA por una persona (artículo 50.1 del Reglamento de IA). No se pueden usar técnicas subliminales, manipuladoras o engañosas que distorsionen el comportamiento y causen un perjuicio, ni explotar vulnerabilidades por edad, discapacidad o situación social (artículo 5.1.a y 5.1.b, prohibidas desde el 2 de febrero de 2025). No se pueden pedir datos que no hacen falta para la consulta ni reutilizarlos para otro fin sin base legal (artículos 5.1.b y 5.1.c del RGPD). Y en WhatsApp no se puede dejar a la persona atrapada con la máquina: la Política de mensajes de WhatsApp Business exige que toda automatización dentro de la ventana de atención de 24 horas ofrezca una vía rápida, clara y directa de escalado a una persona. Conviene deshacer un bulo muy repetido: los Términos de la Solución de WhatsApp Business (versión de 6 de marzo de 2026, sección «AI Providers») sí restringen ofrecer modelos de lenguaje o asistentes de IA de propósito general como funcionalidad principal, pero exceptúan expresamente a los usuarios con números del Espacio Económico Europeo o de Brasil, así que en España esa prohibición no se aplica. En OlgaDev la IA va acotada a los procesos del negocio y con traspaso claro a una persona porque es el criterio de la casa, no porque Meta lo imponga en España. Matiz importante: inferir emociones solo está prohibido en el trabajo y en centros educativos (artículo 5.1.f); en atención al cliente no está prohibido, pero es alto riesgo del anexo III —cuyas obligaciones no serán exigibles hasta el 2 de diciembre de 2027 por el Reglamento (UE) 2026/1744— y obliga a informar a la persona (artículo 50.3).

¿Qué le tengo que pedir a la empresa que me monta el asistente de IA?

Seis cosas por escrito, distinguiendo lo que exige la ley de lo que exige el contrato. Por ley: que la IA se identifique como IA en el primer mensaje (artículo 50.1 y 50.5 del Reglamento de IA), el aviso de tratamiento con enlace a la política de privacidad en el momento de pedir datos (artículos 13 y 14 del RGPD), minimización real (artículo 5.1.c del RGPD) y contrato de encargado del tratamiento con la lista de subencargados y el lugar de tratamiento (artículo 28 del RGPD). Por contrato: la salida a una persona con su tiempo de respuesta —que en WhatsApp la Política de mensajes de Meta exige a toda automatización dentro de la ventana de 24 horas— y que el asistente vaya acotado a los procesos del negocio, que es criterio de calidad, no una prohibición que Meta aplique en España. En OlgaDev todo eso viene de serie en los packs, que empiezan en 600 euros.

¿Puedo comprobar que un asistente de IA cumple antes de contratarlo?

Sí, y es la mejor prueba: escríbele y mira si se presenta como IA en el primer mensaje, si te enlaza la política de privacidad cuando te pide datos y si te deriva a una persona cuando lo pides. Ada, el asistente de OlgaDev, está vivo y atiende los 7 días a cualquier hora en el chat de olgadev.com y en el WhatsApp +34 614 478 144. Y si quieres ver cómo se construye por dentro, el curso público y gratuito de OlgaDev está en GitHub, con 5 módulos y 21 clases.

En resumen

Sí es legal atender clientes con IA en España, sin permiso ni registro previo, si se cumplen dos condiciones.
Condición 1: la IA se identifica como IA en la primera interacción — art. 50.1 y 50.5 del Reglamento (UE) 2024/1689, exigible desde el 2 de agosto de 2026.
Condición 2: los datos se tratan conforme al RGPD — base legal (art. 6), información (arts. 13-14), minimización (art. 5.1.c), derechos (arts. 15-17) y contrato de encargado (art. 28).
Multas, sin mezclar normas: Reglamento de IA 35 M€ o 7 % (art. 99.3), 15 M€ o 3 % (art. 99.4, aquí cae el chatbot que no se identifica) y 7,5 M€ o 1 % (art. 99.5); RGPD 20 M€ o 4 % (art. 83.5) y 10 M€ o 2 % (art. 83.4). Si eres pyme, el art. 99.6 aplica la cifra menor.
Quién vigila: AESIA (Real Decreto 729/2023, sede en A Coruña) para el Reglamento de IA y la AEPD para el RGPD.
La salida humana no la impone el Reglamento de IA: es obligatoria por el art. 21.2 del TRLGDCU cuando el canal atiende quejas y reclamaciones de consumidores, y fuera de ahí se exige por contrato.
El alto riesgo se aplazó: el Reglamento (UE) 2026/1744 (8 de julio de 2026, PDF) lleva el anexo III al 2 de diciembre de 2027 y el art. 6.1 / anexo I al 2 de agosto de 2028. El art. 50.1 no se aplazó.
En WhatsApp, lo que exige la política de Meta es una vía clara de escalado a una persona en la ventana de 24 h. La restricción de IA de propósito general de sus Términos exceptúa los números del EEE: en España no aplica. Acotar la IA al negocio es criterio de OlgaDev.
Compruébalo tú: Ada está vivo en olgadev.com y en el +34 614 478 144. Pregúntale si es una IA.

Relacionado

Lo que suele leerse justo después de esta guía:

Cómo poner un asistente de IA en WhatsApp la API oficial de Meta, la ventana de 24 h y el escalado a una persona
Cuánto cuesta un asistente de IA precios reales, packs y coste por mensaje de WhatsApp
Chatbot de IA para tu web dónde se pone el aviso «soy una IA» del art. 50.1
Agentes de IA para pymes qué procesos se acotan y qué se deja a una persona
Automatización con n8n para empresas la pieza autoalojada que figura en el contrato de encargado del art. 28