IA y RGPD en la web: qué datos se envían

Qué datos personales envía tu web WordPress cuando usas herramientas de IA, qué dice el RGPD al respecto y qué avisos legales necesitas actualizar.

IA y RGPD en la web: por qué debería importarte como dueño de negocio

El tema de la IA y RGPD en la web no es solo para abogados o grandes corporaciones. Si tienes una web WordPress con cualquier funcionalidad basada en inteligencia artificial —un chatbot, un buscador inteligente, recomendaciones de producto, formularios que responden automáticamente—, estás enviando datos fuera de tu servidor. Y ahí es donde entra la normativa de protección de datos.

No hace falta ser técnico para entender lo esencial: cada vez que un visitante interactúa con una herramienta de IA en tu web, información de esa persona viaja a un servidor externo. A veces viaja a Estados Unidos, a veces a otro país de la UE. Y el Reglamento General de Protección de Datos (RGPD) tiene cosas muy concretas que decir sobre eso.

Este artículo te explica, sin jerga legal innecesaria, qué datos se envían realmente, qué obligaciones tienes, y qué pasos prácticos dar para que tu web cumpla con la normativa sin renunciar a las ventajas de la IA.

Qué datos envía tu web cuando usa herramientas de IA

Lo primero es entender algo que mucha gente no tiene claro: las herramientas de IA que funcionan en tu web no procesan la información «dentro» de tu servidor de hosting. La mayoría utilizan APIs externas —servicios de empresas como OpenAI (ChatGPT), Anthropic (Claude) o Google (Gemini)— para funcionar. Tu web envía una petición con datos a esos servidores, ellos procesan la información y devuelven una respuesta.

¿Qué datos se envían exactamente? Depende de la herramienta, pero estos son los más comunes:

• Texto introducido por el usuario: Lo que el visitante escribe en un chatbot, un buscador o un formulario con respuesta automática. Si alguien escribe «quiero devolver el pedido 4523 a nombre de María López», el nombre, el número de pedido y la intención van directamente al servidor externo.
• Datos de contexto: Muchas implementaciones envían información adicional para que la IA responda mejor: el historial de conversación, la página donde está el usuario, datos del carrito de compra, o incluso el idioma del navegador.
• Metadatos técnicos: Dirección IP (que el RGPD considera dato personal), tipo de dispositivo, ubicación aproximada, identificadores de sesión.
• Datos de perfil: Si el usuario está logueado en tu tienda WooCommerce, algunas integraciones envían su email, nombre o historial de compras para personalizar la respuesta.

Si configuraste un chatbot con IA en tu WordPress, probablemente ya estás enviando al menos los tres primeros tipos de datos sin ser del todo consciente de ello.

El problema no es que envíes datos, sino a dónde van

Enviar datos a un servidor externo no es ilegal en sí mismo. Lo haces cada vez que usas Google Analytics, Mailchimp o cualquier herramienta SaaS. El problema surge cuando esos datos personales cruzan fronteras fuera del Espacio Económico Europeo (EEE) sin las garantías adecuadas.

OpenAI tiene servidores principalmente en Estados Unidos. Anthropic, también. Google tiene centros de datos en la UE, pero no siempre procesa las peticiones de API allí. Esto significa que, en muchos casos, los datos de tus visitantes españoles viajan fuera de la UE.

Desde la sentencia Schrems II del Tribunal de Justicia de la UE en 2020, las transferencias de datos a EE.UU. están bajo escrutinio constante. El Data Privacy Framework (DPF) de 2023 permite transferencias a empresas estadounidenses certificadas, pero no todas las proveedoras de IA están incluidas, y el marco podría ser impugnado judicialmente en el futuro.

Qué exige el RGPD cuando integras IA en tu web

El RGPD no prohíbe usar inteligencia artificial. Lo que exige es que el tratamiento de datos personales cumpla una serie de principios. Vamos a ver los más relevantes para tu situación como dueño de un negocio con web WordPress:

1. Base legal para el tratamiento

Necesitas una razón legal válida para enviar los datos de tus visitantes a un servicio externo de IA. Las dos bases más habituales son:

• Consentimiento: El usuario acepta explícitamente que sus datos se envíen a un servicio de IA. Debe ser un consentimiento libre, informado y específico. No vale con un «aceptar cookies» genérico.
• Interés legítimo: Argumentas que el uso de IA es necesario para ofrecer un servicio que el usuario espera razonablemente. Esto funciona en algunos casos (un buscador inteligente en una tienda, por ejemplo), pero requiere documentar una evaluación de interés legítimo (LIA).

La base legal que elijas tiene consecuencias prácticas directas. Si optas por el consentimiento, necesitas un mecanismo para pedirlo antes de que la herramienta de IA se active. Si optas por interés legítimo, debes documentar por qué los derechos del usuario no prevalecen sobre tu interés comercial.

2. Deber de información y transparencia

Aquí es donde la relación entre IA y RGPD en la web se vuelve muy concreta para cualquier negocio. Tu política de privacidad debe explicar:

• Qué herramientas de IA usas (nombre del servicio y empresa proveedora).
• Qué datos se envían a esas herramientas.
• Con qué finalidad se envían.
• Dónde se procesan (país y si hay transferencia internacional).
• Durante cuánto tiempo se conservan los datos en el servicio externo.
• Si existe toma de decisiones automatizada que afecte al usuario.

Muchas webs que ya usan IA no han actualizado su política de privacidad para reflejar esto. Es un incumplimiento claro y fácilmente detectable por la Agencia Española de Protección de Datos (AEPD).

3. Minimización de datos

El RGPD exige que solo envíes los datos estrictamente necesarios para la finalidad que persigues. Si tu chatbot no necesita saber el email del usuario para responder una pregunta sobre horarios, no deberías enviar ese email a la API.

Esto tiene implicaciones técnicas directas: cómo se configura la integración con la API determina qué datos se transfieren. Un desarrollo bien hecho filtra y limita la información antes de enviarla. Una integración mal configurada puede enviar todo el contexto disponible «por si acaso», lo cual viola el principio de minimización.

Si estás valorando conectar una API de IA a tu WordPress, el checklist técnico para APIs de Claude u OpenAI incluye puntos específicos sobre qué datos filtrar antes del envío.

APIs empresariales vs APIs estándar: diferencias en privacidad

No todas las APIs de IA son iguales desde el punto de vista de protección de datos. Esta distinción es clave y rara vez se explica bien:

APIs estándar (para desarrolladores)

Son las que usas cuando te registras directamente en OpenAI, Anthropic o Google y obtienes una clave de API. Características habituales:

• Los datos que envías pueden ser usados para entrenar futuros modelos (depende del proveedor y la configuración).
• Los logs de las peticiones se almacenan durante un periodo variable (OpenAI retiene logs de API durante 30 días por defecto).
• No suelen incluir un contrato de encargado de tratamiento (DPA) adaptado al RGPD de forma automática.
• La ubicación del procesamiento no siempre está garantizada en la UE.

APIs empresariales (Enterprise)

Son planes específicos para empresas que incluyen garantías adicionales:

• Los datos no se usan para entrenar modelos.
• Ofrecen un DPA (Data Processing Agreement) firmado, que es el contrato que el RGPD exige entre responsable y encargado del tratamiento.
• Permiten elegir la región de procesamiento (UE en muchos casos).
• Los periodos de retención de datos suelen ser configurables o más cortos.
• Incluyen certificaciones de seguridad (SOC 2, ISO 27001).

Para una pequeña empresa, el coste de las APIs empresariales puede parecer elevado. Sin embargo, si manejas datos sensibles de clientes (datos de salud, datos financieros, datos de menores), usar una API estándar sin DPA es un riesgo legal real. Las multas del RGPD pueden llegar al 4% de la facturación anual o 20 millones de euros, lo que sea mayor.

Si quieres entender mejor los costes reales de integrar IA en una web, incluyendo la diferencia de precio entre APIs estándar y empresariales, hay un artículo específico sobre ello.

Avisos legales que necesitas actualizar en tu web

Si ya tienes IA funcionando en tu web —o estás a punto de implementarla—, estos son los documentos legales que debes revisar:

Política de privacidad

Es el cambio más importante. Tu política debe incluir una sección específica sobre el uso de inteligencia artificial. Debe contener:

• Identidad del encargado de tratamiento: Nombre de la empresa proveedora de IA (ej: «OpenAI, L.L.C., con sede en San Francisco, EE.UU.»).
• Datos tratados: Lista concreta de qué información se envía.
• Finalidad: Para qué se usan esos datos (ej: «responder consultas automatizadas en el chat de atención al cliente»).
• Base legal: Consentimiento o interés legítimo, según corresponda.
• Transferencias internacionales: Si los datos salen de la UE, explicar al amparo de qué mecanismo (DPF, cláusulas contractuales tipo, etc.).
• Derechos del interesado: Recordar que el usuario puede ejercer sus derechos de acceso, rectificación, supresión y oposición también respecto a estos tratamientos.

Aviso de cookies y consentimiento

Si tu herramienta de IA establece cookies o utiliza almacenamiento local del navegador (localStorage, sessionStorage) para mantener el contexto de la conversación, debes incluirlo en tu banner de cookies. Muchas implementaciones de chatbot usan cookies de sesión que técnicamente requieren consentimiento previo si no son estrictamente necesarias para el funcionamiento del sitio.

Términos y condiciones o aviso legal

Si las respuestas generadas por IA influyen en decisiones del usuario (recomendaciones de producto, información sobre servicios, asesoramiento automatizado), conviene incluir una cláusula de exención de responsabilidad. Algo como: «Las respuestas generadas por inteligencia artificial tienen carácter orientativo y no sustituyen el asesoramiento profesional».

Contrato de encargado de tratamiento (DPA)

Este no es un documento público en tu web, pero es obligatorio internamente. Debes tener firmado un DPA con cada proveedor de IA que procese datos personales de tus usuarios. La mayoría de proveedores grandes ofrecen un DPA estándar que puedes aceptar desde su panel de administración, pero debes verificar que cubra los puntos que exige el artículo 28 del RGPD.

IA y RGPD en la web: errores frecuentes que veo en webs reales

Después de trabajar con distintas webs que integran IA, estos son los errores de cumplimiento más comunes:

Enviar datos personales sin filtrar

El error más habitual. Se conecta la API y se envía todo el contexto disponible: nombre del usuario, email, historial de pedidos, dirección de envío. La API solo necesitaba el texto de la consulta para responder, pero nadie filtró la información antes del envío. Esto viola el principio de minimización de datos.

No informar al usuario de que habla con una IA

El Reglamento europeo de IA (AI Act), que complementa al RGPD, exige que los usuarios sepan cuando están interactuando con un sistema de IA. Si tu chatbot no avisa de que es una IA, incumples esta obligación. Un aviso claro al inicio de la conversación es suficiente.

Usar la API estándar para datos sensibles

Si tu negocio trata datos de salud, datos financieros o datos de menores, usar una API estándar sin DPA ni garantías de procesamiento en la UE es arriesgado. Para estos casos, necesitas la versión empresarial o una solución de IA que funcione en servidores europeos.

Copiar la política de privacidad de otra web

Cada implementación de IA es diferente. Los datos que envías, la API que usas, el país de procesamiento: todo varía. Una política de privacidad genérica copiada de internet no refleja tu situación real y, en caso de inspección, no te protege.

No revisar los términos del proveedor

Los proveedores de IA actualizan sus términos de servicio con frecuencia. OpenAI ha cambiado su política de uso de datos de API varias veces desde 2023. Lo que era cierto hace seis meses puede haber cambiado. Conviene revisar los términos al menos cada trimestre.

Checklist práctico: cumplimiento de IA y RGPD en la web

Para que puedas actuar de forma concreta, aquí tienes una lista de verificación que puedes usar como punto de partida:

1. Identifica todas las herramientas de IA que funcionan en tu web (chatbots, buscadores, recomendadores, formularios inteligentes, generadores de contenido).
2. Documenta qué datos envía cada una al servicio externo. Si no lo sabes, pide a tu desarrollador que revise las llamadas a la API.
3. Verifica dónde se procesan los datos (país del servidor). Consulta la documentación del proveedor o contacta con su soporte.
4. Comprueba si tienes un DPA firmado con cada proveedor. Si no lo tienes, acéptalo desde el panel del proveedor o solicítalo formalmente.
5. Actualiza tu política de privacidad con una sección específica sobre IA, incluyendo todos los puntos mencionados arriba.
6. Configura el consentimiento si es tu base legal: el chatbot no debe activarse hasta que el usuario acepte.
7. Añade un aviso visible de que el usuario interactúa con una IA.
8. Implementa filtrado de datos en las llamadas a la API: solo envía lo estrictamente necesario.
9. Revisa los términos del proveedor al menos cada tres meses.
10. Documenta todo en tu registro de actividades de tratamiento (obligatorio si tratas datos de forma no ocasional).

Preguntas frecuentes sobre IA, RGPD y tu web

¿Puedo usar ChatGPT o Claude en mi web sin avisar al usuario?

No. Tanto el RGPD (por el deber de información) como el Reglamento europeo de IA (por la obligación de transparencia) exigen que informes al usuario de que está interactuando con un sistema de inteligencia artificial y de que sus datos se envían a un servicio externo.

¿Las APIs de IA usan los datos de mis clientes para entrenar sus modelos?

Depende del proveedor y del plan. OpenAI, por ejemplo, no usa datos enviados a través de su API para entrenar modelos desde marzo de 2023, pero sí retiene los logs durante 30 días para detectar abusos. En los planes empresariales, la retención es mínima o nula. Anthropic tiene políticas similares. Siempre verifica la política vigente del proveedor que uses.

¿Necesito hacer una Evaluación de Impacto (EIPD)?

Si el tratamiento de datos mediante IA es susceptible de generar un alto riesgo para los derechos de las personas (por ejemplo, toma de decisiones automatizadas, tratamiento a gran escala de datos sensibles), sí. Para la mayoría de pequeños negocios con un chatbot básico o un buscador inteligente, no suele ser obligatoria, pero sí recomendable como ejercicio de diligencia.

¿Qué pasa si mi proveedor de IA está en Estados Unidos?

Si la empresa está certificada bajo el Data Privacy Framework (DPF) UE-EE.UU., la transferencia es legal. OpenAI, Google y Microsoft están certificadas actualmente. Si el proveedor no está certificado, necesitas cláusulas contractuales tipo (SCCs) u otro mecanismo válido. Si no tienes ninguno de los dos, la transferencia es ilegal según el RGPD.

¿Un plugin de WordPress con IA ya cumple automáticamente con el RGPD?

No. Un plugin es una herramienta técnica, no un mecanismo de cumplimiento legal. El plugin puede facilitar la integración, pero la responsabilidad de informar al usuario, obtener consentimiento si procede, firmar el DPA y configurar la minimización de datos es tuya como responsable del tratamiento.

La parte técnica importa más de lo que parece

Cumplir con la normativa de IA y RGPD en la web no es solo cuestión de textos legales. La forma en que se implementa técnicamente la integración con la API determina qué datos se envían, cómo se filtran y si realmente cumples con el principio de minimización.

Un desarrollo bien hecho incluye una capa intermedia entre tu web y la API: un punto donde se limpian los datos, se eliminan los campos innecesarios y se anonimiza lo que sea posible antes del envío. Esta capa no viene «de serie» en ningún plugin. Requiere desarrollo personalizado.

Si ya usas IA en tu web o estás valorando hacerlo, la cuestión legal debería ser parte del proyecto desde el primer día, no algo que se resuelve después de lanzar. En la guía sobre automatización de atención al cliente con IA se aborda este tema desde el ángulo de la implementación práctica.

Si quieres revisar tu situación concreta o planificar una integración que cumpla con la normativa desde el inicio, puedes consultar los servicios de integración de IA para entender cómo se aborda técnicamente.

// Sobre el autor

fernandodomecq

Desarrollador WordPress freelance especializado en WooCommerce, integraciones e IA. Escribo sobre proyectos web, agencias y buenas prácticas técnicas.

Ver todos los artículos →