Si un despacho pequeño pone en su web un formulario o asistente de captación con ayuda de IA, pasa a ser responsable de un flujo de datos personales que antes no manejaba: nombres, datos de contacto, descripciones libres de la situación de una persona y, en algunas profesiones, información más delicada de lo que quien la da se imagina. El RGPD no lo prohíbe. Le pide que sepa qué recoge, que informe con claridad, que lo conserve solo el tiempo necesario y que pueda demostrar cómo lo protege.

Esta es una lista de diez preguntas para responder antes de poner en marcha un sistema de captación con IA, ya sea que lo construya, lo contrate o lo gestione alguien como nosotros. Es información general para despachos de España y del resto de la UE, no asesoramiento jurídico. Cuando un punto dependa de sus circunstancias, la respuesta corresponde a su propio asesor de protección de datos.

1. ¿Qué recoge realmente el flujo?

Haga la lista de todos los campos, incluidos los que nadie planificó. Los cuadros de texto libre y las conversaciones abiertas captan cosas que usted no preguntó: salud, circunstancias familiares, antecedentes penales, nacionalidad o religión. Parte de eso puede entrar en las categorías especiales del artículo 9 del RGPD, que exigen condiciones más estrictas. Deje la lista por escrito: también será la base de su registro de actividades de tratamiento (artículo 30). Después pregúntese si necesita cada dato en el primer contacto, o solo más tarde, cuando ya lo lleve una persona.

2. ¿Cuál es su base jurídica y es la adecuada para cada finalidad?

El artículo 6 del RGPD exige una base jurídica para cada finalidad. La aplicación de medidas precontractuales a petición de la persona (responder a una consulta que ella envió) y el interés legítimo (llevar registros, prevenir abusos) son las que suelen discutirse para la captación, y el consentimiento suele ser lo que se discute para los seguimientos comerciales. Qué base encaja con cada finalidad en su despacho lo decide su asesor; lo que pide esta lista es que pueda nombrar una por cada finalidad, y no una sola frase al pie de la página que lo cubra todo.

3. ¿Ven las personas un aviso adecuado antes de enviar el formulario?

El artículo 13 le obliga a dar cierta información cuando recoge los datos: quién es usted, las finalidades y bases jurídicas, quién recibe los datos, si salen del EEE, cuánto tiempo los conserva, los derechos de la persona y su derecho a reclamar ante la autoridad de control (en España, la AEPD). En un formulario, la respuesta práctica es una capa breve en pantalla más un enlace al aviso completo, mostrada antes de pulsar «enviar» y no después. Compruebe que el aviso describe con palabras claras las partes automatizadas de su flujo.

4. ¿Queda claro para las personas que tratan con una IA?

Las normas de transparencia del artículo 50 del Reglamento de IA se aplican desde el 2 de agosto de 2026, incluido el deber de que los sistemas diseñados para interactuar directamente con personas dejen claro que son una IA, salvo que resulte evidente por el contexto. Un resumen de despacho de abogados sitúa ese deber para los chatbots en el proveedor del sistema; si usted tiene además obligaciones como empresa que lo despliega depende de cómo esté montado. Pregunte a su proveedor por escrito cómo se resuelve el aviso y pida la opinión de su asesor sobre su posición. Sea cual sea el reparto legal, avisar desde el principio es además, simplemente, mejor práctica.

5. ¿Tiene un contrato de encargado por escrito y una lista de subencargados?

Si un proveedor trata datos personales por cuenta de usted, el artículo 28 del RGPD exige un contrato escrito que recoja qué puede hacer con ellos, la seguridad, la ayuda con las solicitudes de las personas, la supresión o devolución al terminar y las condiciones para contratar subencargados. Pida el contrato, una lista con nombre de los subencargados (incluidos los proveedores de modelos de IA) y cuánto preaviso recibirá de los cambios. Pregunte dónde se tratan los datos y, si salen del EEE, qué mecanismo de transferencia se aplica. No acepte un «cumplimos» en lugar de los documentos.

6. ¿Cuánto tiempo se conservan los datos y qué los borra de verdad?

El principio de limitación del plazo de conservación (artículo 5.1.e) significa elegir un plazo y actuar en consecuencia. Fije el plazo con su asesor y después compruebe los sitios donde viven los datos: la base de datos de captación, su CRM, el correo, las herramientas de chat o de avisos, los registros y las copias de seguridad. Pregunte si el borrado es automático, cómo se prueba y qué queda después. Un compromiso habitual es conservar solo un registro mínimo de quien pidió que no se le vuelva a contactar, para poder respetar esa petición; pregunte a su asesor si encaja en su caso.

7. ¿Puede el sistema decidir algo por sí solo?

El artículo 22 restringe las decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a la persona. Un sistema de captación que puntúa consultas y las encamina no está automáticamente en ese terreno, pero un rechazo automático, o una decisión que afecte al acceso de alguien a sus servicios, podría estarlo. Decida qué resultados debe revisar una persona y asegúrese de que la configuración del proveedor le permite imponerlo. Deje constancia de la decisión y de su razonamiento.

8. ¿Cómo atenderá las solicitudes de las personas?

Los artículos 15 a 21 reconocen derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y el artículo 12 fija un plazo general de un mes para responder. Siga sobre el papel una solicitud imaginaria por su sistema: ¿dónde buscaría los datos de la persona (base de datos, CRM, buzón, registros, el proveedor)? ¿Quién hace la búsqueda, quién aprueba la respuesta y cómo se detienen ese mismo día los mensajes de seguimiento? Si no puede trazarlo en el papel, no lo logrará con prisa.

9. ¿Quién puede ver las transcripciones y qué pasa si algo sale mal?

El artículo 32 exige medidas de seguridad adecuadas al riesgo. En la práctica: usuarios con nombre, autenticación robusta, acceso con el mínimo privilegio, un registro de quién consulta qué y cifrado en tránsito. El artículo 33 exige notificar una violación de la seguridad de los datos personales a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que se tiene constancia, salvo que sea improbable que entrañe un riesgo para las personas; los encargados deben avisarle sin dilación indebida. Pregunte al proveedor con qué rapidez se lo diría y deje escrito quién en su despacho decidiría qué hacer.

10. ¿Ha hecho un cribado para ver si necesita una evaluación de impacto?

El artículo 35 exige una evaluación de impacto relativa a la protección de datos cuando es probable que el tratamiento entrañe un alto riesgo para las personas, y las autoridades de control publican listas de tipos de tratamiento para los que se requiere. Si su captación la necesita depende de lo que recoge y de cómo se usa, así que deje registrada una decisión de cribado en un sentido u otro, con la opinión de su asesor. Conserve el resultado junto a su registro de actividades de tratamiento.

Guarde una carpeta de evidencias

Cuando un cliente, un regulador o un posible cliente pregunte cómo trata su captación los datos personales, la mejor respuesta es una carpeta que pueda abrir. Un mínimo útil: la lista de datos recogidos, el texto del aviso con su fecha, el contrato de encargado y la lista de subencargados, la regla de conservación y el registro de una prueba de borrado, su decisión sobre el artículo 22, la nota de cribado de la pregunta 10 y un registro de las solicitudes recibidas y de cómo se respondieron. Para elegir el sistema en sí, consulte qué evaluar antes de contratar un chatbot y nuestra lista de comprobación de compra.

En resumen

Ninguna de estas preguntas exige ser jurista para formularla. La mayoría necesita una respuesta escrita de un proveedor, una decisión suya y una nota en una carpeta. Los despachos que lo hacen antes del lanzamiento están en mejor posición que los que intentan reconstruirlo después de una reclamación. Esta lista es un punto de partida para su asesor, no un sustituto.

Si desea una segunda opinión sobre si tiene sentido automatizar parte de su captación, una breve evaluación gratuita en la web de Altamira puede ayudarle. Altamira es un negocio nuevo con sede en Málaga (fundado en 2026), así que este artículo no cita resultados de clientes y tampoco afirma que ninguna configuración concreta cumpla la normativa en su despacho.