A chatbot deployed in the Netherlands sits at the intersection of three bodies of law: copyright (the Auteurswet and the EU copyright directives), data protection (the GDPR) and the EU Artificial Intelligence Act, Regulation (EU) 2024/1689. Each of those regimes attaches duties to the organisation that puts the chatbot in front of users, not only to the developer that built it. Chatbots, copyright and compliance are therefore one subject rather than three, and the work starts with a written classification of what your chatbot does, on whose data it was trained, and what it is allowed to decide on its own.
Los tres regímenes legales que se aplican a todos los chatbots
No existe una única ley neerlandesa sobre IA. En su lugar, existe un conjunto de normas, la mayoría redactadas antes de que la IA generativa se popularizara, además de una regulación específica para ella. Para una empresa en los Países Bajos, esto implica que no puede determinar la legalidad de su chatbot con solo leer un texto. Debe someter el mismo sistema a tres pruebas distintas, y el resultado de una no garantiza la legalidad de las demás.
Los derechos de autor rigen el material que se incorporó al modelo y el material que se deriva de él. La Ley de Autores neerlandesa, enmendada para implementar la Directiva DSM, contiene una excepción específica para la minería de texto y datos, y esa excepción es el pilar sobre el que giran la mayoría de los argumentos sobre los datos de entrenamiento. La protección de datos rige todo lo que el chatbot aprende sobre la persona que escribe en él, y aquí el RGPD se aplica en su totalidad en el momento en que una conversación puede rastrearse hasta un individuo identificable. La Ley de IA rige el sistema en sí: para qué se puede usar, qué debe divulgarse, qué documentación debe existir y quién debe poder desactivarlo.
Estos tres regímenes cuentan con supervisores, sanciones y plazos distintos. Esto es más importante de lo que parece. Un chatbot que garantice una privacidad impecable aún puede ser ilegal si fue entrenado con material extraído de fuentes externas y con una opción de exclusión válida. Asimismo, un chatbot con un historial de datos limpio puede infringir la Ley de IA si nunca informa al usuario de que se trata de una máquina.
Lo que cada régimen realmente te pide
En esencia, cada una de las tres normativas plantea una pregunta diferente. La de derechos de autor pregunta si se contaba con permiso, o con una excepción legal, para cada acto de reproducción. La de protección de datos pregunta si se tiene una base legal según el artículo 6 del RGPD, si se informó al interesado sobre las acciones que se estaban realizando y si no se recopiló más información de la necesaria. La Ley de IA pregunta en qué nivel de riesgo se encuentra el sistema y si se han cumplido y documentado las obligaciones asociadas a dicho nivel.
Responder por escrito a esas tres preguntas, antes de la implementación, es lo que transforma un proyecto de IA de una situación sin control en uno manejable. Además, en la práctica, es el primer documento que un organismo regulador solicitará.
Principales desafíos legales para los chatbots de IA en los Países Bajos
| Área jurídica | Preocupación principal | Normas de gobierno |
|---|---|---|
| Protección de datos | Procesar datos de conversaciones sin una base legal o conservarlos durante más tiempo del necesario. | GDPR, supervisado por la Autoriteit Persoonsgegevens |
| Derechos de Autor | Reproducción de obras protegidas durante la formación y productos finales que reproduzcan una obra protegida de forma reconocible. | Auteurswet, en particular las excepciones de minería de texto y datos en los artículos 15n y 15o. |
| Transparencia | No se informa a los usuarios de que están tratando con una máquina, o la salida sintética no se marca como tal. | Artículo 50 de la Ley de IA, que ya se aplica |
| Responsabilidad por los resultados | ¿Quién responde a los consejos, declaraciones o decisiones que produce el chatbot? | Derecho civil general neerlandés: contratos, responsabilidad extracontractual según el artículo 6:162 del Código Civil neerlandés y responsabilidad por productos defectuosos. |
La cuarta fila merece una advertencia, ya que es la que con mayor frecuencia se describe erróneamente. La Comisión Europea retiró su propuesta de Directiva sobre responsabilidad por IA, por lo que no existe un régimen europeo armonizado de responsabilidad por daños causados por IA a la vista. Las reclamaciones por respuestas erróneas de chatbots se resolverán conforme al derecho civil neerlandés ordinario: el contrato con el cliente, el deber general de diligencia del artículo 6:162 del Código Civil neerlandés y las normas revisadas sobre responsabilidad por productos defectuosos. Explicamos cómo funciona esto en la práctica en nuestro artículo sobre responsabilidad por errores en el contenido generado por IA.
Derechos de autor y los datos con los que se entrenó su modelo.
El entrenamiento de un modelo lingüístico a gran escala implica la copia de obras protegidas a escala industrial. Según la legislación neerlandesa, dicha copia constituye una reproducción en el sentido de la Ley de Autor (Auteurswet) y es ilegal a menos que el titular de los derechos haya dado su autorización o se aplique alguna excepción legal. No existe un equivalente neerlandés ni europeo a la doctrina estadounidense del uso legítimo, y los argumentos extraídos de litigios estadounidenses no son aplicables a los tribunales neerlandeses.
La excepción relevante es la minería de texto y datos. El artículo 15n de la Ley de Autores permite a las organizaciones de investigación y a las instituciones de patrimonio cultural extraer datos de las obras a las que tienen acceso legal, con fines de investigación científica. El artículo 15o es más amplio: permite a cualquier persona realizar minería de texto y datos en obras de acceso legal, pero solo cuando el titular de los derechos no haya reservado expresamente dicho uso. Esta reserva, comúnmente denominada exclusión voluntaria de la minería de texto y datos, debe realizarse de forma adecuada y, en el caso de material publicado en línea, debe ser legible por máquina.
En la práctica, se trata de una prueba en dos etapas. ¿Tenía el instructor acceso legal al material y el titular de los derechos se había reservado su uso? Si la respuesta a la segunda pregunta es afirmativa y, aun así, se extrajo el material, la excepción se extingue y la reproducción constituye una infracción.
Donde el operador asume el riesgo
Las empresas suelen asumir que los problemas con los datos de entrenamiento son responsabilidad del desarrollador. Esto solo es parcialmente cierto. La organización que implementa un chatbot y publica su contenido realiza sus propios actos de reproducción y comunicación al público, y lo hace en su propio nombre. Tres puntos de fallo se repiten.
- Formación sin fundamento válido. El modelo se construyó sobre material protegido por una reserva TDM, o sobre material al que el desarrollador nunca tuvo acceso legal. La responsabilidad recae en el desarrollador, pero una reclamación puede seguir el resultado final.
- Salida que reproduce una obra protegida. Si el chatbot devuelve texto, código o una imagen que se reconoce como una copia de una obra protegida, su publicación constituye una nueva infracción por parte de quien la publique. El estilo no está protegido; lo que sí lo está una parte sustancial de una obra concreta.
- Contratos que no transfieren el riesgo. Muchas licencias de IA limitan la responsabilidad a la cuota anual y excluyen por completo las reclamaciones de terceros por propiedad intelectual. Lea la cláusula de indemnización antes de leer el material publicitario.
La propiedad intelectual del contenido generado por el chatbot es un tema aparte. La legislación neerlandesa protege las obras con un carácter propio y original, que llevan el sello personal de su creador y que requieren decisiones creativas humanas. Es improbable que el contenido generado exclusivamente por una máquina, a partir de una instrucción sin intervención humana, esté protegido por derechos de autor, lo que significa que ni usted ni nadie más puede impedir que un competidor lo reutilice. Nuestra guía sobre cuándo se considera que un contenido es público según la ley de derechos de autor explica los principios subyacentes.
La mitigación realista es contractual y probatoria, más que técnica. Pregunte al proveedor, por escrito, qué conjuntos de datos se utilizaron, si se respetaron las reservas de TDM y qué indemnización se ofrece para reclamaciones de terceros. Conserve las respuestas. Un proveedor que no especifica el origen de sus datos en el contrato revela mucho sobre su propia confianza.
Cómo la Ley de IA clasifica un chatbot
La Ley de IA no regula la tecnología, sino su propósito. Un mismo modelo de lenguaje subyacente puede presentar un riesgo mínimo en una implementación y un riesgo alto en otra, y la clasificación depende completamente de su uso. Por eso, el primer paso para cumplir con la normativa es una clasificación por escrito, y copiar la clasificación de la ficha técnica de un proveedor no es suficiente.
La normativa clasifica los sistemas en cuatro niveles. Las prácticas del nivel inaceptable están totalmente prohibidas: el artículo 5 prohíbe, entre otras cosas, las técnicas manipuladoras que distorsionan sustancialmente el comportamiento y causan daños significativos, la explotación de vulnerabilidades relacionadas con la edad o la discapacidad, la puntuación social y el reconocimiento de emociones en el ámbito laboral y educativo. Estas prohibiciones están vigentes desde el 2 de febrero de 2025 y las analizamos por separado en nuestro artículo sobre prácticas prohibidas de IA.
El nivel de alto riesgo es el estrictamente regulado que aún está permitido. Un chatbot se incluye en este nivel cuando se utiliza en alguna de las áreas enumeradas en el Anexo III, que incluyen reclutamiento y selección, decisiones sobre el acceso a servicios públicos y privados esenciales como crédito o prestaciones, educación y aplicación de la ley, o cuando funciona como un componente de seguridad de un producto cubierto por la legislación de armonización del Anexo I. Las obligaciones que se detallan a continuación se establecen en nuestra guía sobre sistemas de IA de alto riesgo según la Ley de IA.
La categoría de riesgo limitado abarca la mayoría de los chatbots de atención al cliente. No requiere evaluación de conformidad, registro ni organismo notificado, pero sí un deber de transparencia, que es obligatorio. La categoría de riesgo mínimo cubre todo lo demás y no conlleva obligaciones específicas más allá de los códigos voluntarios.
Qué es lo que ya está en vigor y qué se ha pospuesto.
La Ley de IA entró en vigor el 1 de agosto de 2024 y su implementación se realizará gradualmente a lo largo de varios años. Esta implementación se modificó con el paquete ómnibus digital de la Comisión Europea. Tres hechos son ciertos hoy en día y con frecuencia se informan erróneamente.
En primer lugar, las prohibiciones del artículo 5 y la obligación de alfabetización en IA del artículo 4 están vigentes desde el 2 de febrero de 2025. En segundo lugar, las obligaciones para los modelos de IA de propósito general, la base sobre la que se construyen la mayoría de los chatbots comerciales, están vigentes desde el 2 de agosto de 2025. En tercer lugar, también se aplican las obligaciones de transparencia del artículo 50. Lo que la ley ómnibus pospuso fue el régimen de alto riesgo y nada más: las normas para los sistemas del Anexo III entran en vigor el 2 de diciembre de 2027, y las de los sistemas del Anexo I el 2 de agosto de 2028.
El aplazamiento solo afecta al régimen de alto riesgo. Si su chatbot está prohibido, se rige por las normas generales del modelo o simplemente necesita revelar que es una máquina, el plazo ya ha vencido.
La aplicación de la normativa se sustenta en límites máximos de multa expresados como porcentaje de la facturación anual mundial: el tramo más alto, reservado para las infracciones de las prohibiciones, y un tramo general inferior para la mayoría de las demás infracciones. Los organismos de supervisión nacionales fijan el importe exacto dentro de dichos límites.
Niveles de riesgo de la Ley de IA para aplicaciones de chatbot
| Nivel de riesgo | Ejemplo de chatbot | Obligación clave |
|---|---|---|
| Minimo | Un bot que responde preguntas sobre horarios de apertura o categorías de artículos. | No existen obligaciones específicas; son códigos de conducta voluntarios. |
| Limitada | Un bot de atención al cliente que gestiona devoluciones y consultas sobre pedidos. | Indique que el usuario está interactuando con un sistema de IA y marque la salida como sintética. |
| Alto | Un bot que preselecciona a los solicitantes de empleo o evalúa su elegibilidad para obtener crédito. | Gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana y evaluación de la conformidad. |
| Inaceptable | Un bot que explota las vulnerabilidades de un grupo definido o que infiere las emociones de los empleados en el trabajo. | Prohibido; no puede comercializarse ni utilizarse en la UE. |
El deber de transparencia en el artículo 50
El artículo 50 de la Ley de IA exige que se informe a la persona que interactúa con un sistema de IA sobre este hecho, salvo que resulte obvio para un usuario razonablemente informado en las circunstancias. La información debe proporcionarse en el momento de la primera interacción, de forma clara y distinguible. Una línea en una declaración de privacidad a tres clics de distancia no cumple con este requisito.
El mismo artículo exige que los proveedores de sistemas que generan texto, audio, imágenes o vídeo sintéticos marquen dicho contenido de forma legible por máquina, y que quienes publiquen texto generado por IA sobre temas de interés público indiquen que fue generado artificialmente, a menos que haya sido revisado por un humano con responsabilidad editorial. Para una empresa que utiliza un chatbot en su propio sitio web, la lista de verificación práctica es breve: una declaración visible al inicio de la conversación, una vía clara para contactar con un humano y un diseño de interfaz que no sugiera que el usuario está hablando con un empleado identificado.
La transparencia también tiene una dimensión en el derecho del consumidor neerlandés. Presentar una máquina como si fuera una persona, o permitir que un chatbot haga afirmaciones que un vendedor no podría hacer legalmente, puede constituir una práctica comercial engañosa según las normas del Libro 6 del Código Civil neerlandés, independientemente de la Ley de IA.
Datos personales en la conversación: la capa del RGPD
El RGPD se aplica a un chatbot en cuanto procesa datos relativos a una persona identificable, y los registros de conversaciones casi siempre lo hacen. Lo primero que hay que determinar es la base jurídica: el consentimiento, según el artículo 6(1)(a), la ejecución de un contrato, según el artículo 6(1)(b), o los intereses legítimos, según el artículo 6(1)(f), cada una con diferentes consecuencias para el uso que se pueda hacer de la transcripción.
Tres puntos son la causa principal de los problemas en la práctica. Uno de ellos es la retención: las transcripciones se conservan con frecuencia de forma indefinida porque nadie establece un plazo, lo que infringe el principio de limitación de almacenamiento del artículo 5(1)(e). Otro es el uso secundario: utilizar conversaciones en directo para perfeccionar un modelo constituye una nueva finalidad que requiere su propia evaluación y, por lo general, su propia notificación informativa. El tercero son los datos de categoría especial. Un chatbot en el ámbito sanitario, de seguros o de recursos humanos recopilará datos de salud u otros datos sensibles, independientemente de si se diseñó para ello o no, y el artículo 9 prohíbe dicho tratamiento salvo que se aplique una excepción específica.
Cuando el chatbot se ejecuta en una plataforma de terceros, dicha plataforma suele ser un encargado del tratamiento de datos y, por lo tanto, es obligatorio un acuerdo de tratamiento de datos conforme al artículo 28. Definir correctamente las funciones no es una mera formalidad; determina quién debe responder a la solicitud del interesado y quién es responsable en caso de una infracción. Nuestros artículos sobre la distinción entre responsable y encargado del tratamiento de datos según el RGPD y sobre el uso de la IA en una empresa neerlandesa exponen este análisis.
Se requiere una evaluación de impacto en la protección de datos según el artículo 35 cuando el tratamiento de datos pueda conllevar un alto riesgo, y la lista publicada por la Autoridad de Protección de Datos Personales (Autoriteit Persoonsgegevens) deja claro que la evaluación automatizada a gran escala de personas pertenece a esta categoría. Si su chatbot crea perfiles de usuarios, dé por sentado que necesita una. El incumplimiento del RGPD se sanciona con multas de hasta el cuatro por ciento de la facturación anual mundial según el artículo 83(5), y este límite máximo no ha cambiado.
La supervisión humana y el problema de los modelos opacos
El artículo 14 de la Ley de IA exige que los sistemas de alto riesgo se diseñen de forma que las personas físicas puedan supervisarlos eficazmente durante su uso. La palabra clave es «eficazmente». Supervisión significa que la persona puede comprender las capacidades y limitaciones del sistema, estar atenta a los sesgos de la automatización, interpretar correctamente los resultados, decidir no utilizarlo e intervenir o detenerlo.
Que una persona apruebe una recomendación sin poder evaluarla no constituye supervisión en el sentido del artículo 14 y no protegerá a la organización. El supervisor necesita la autoridad para revocar decisiones, la competencia para juzgar y la información necesaria para ambas. En la práctica, esto implica definir el rol, capacitar a quienes lo desempeñan, brindarles acceso al razonamiento detrás de cada decisión y registrar sus intervenciones.
El RGPD contempla una obligación paralela que se aplica independientemente del nivel de protección de datos. El artículo 22 otorga al interesado el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte de forma similar y significativa. Si un chatbot rechaza una solicitud, deniega un servicio o fija un precio de forma totalmente automatizada, se aplica el artículo 22 y la organización debe ofrecer intervención humana, una explicación y un mecanismo para impugnar el tratamiento.
La toma de decisiones automatizada y la supervisión humana efectiva son pruebas distintas que se rigen por instrumentos diferentes. Aprobar la Ley de IA no exime del cumplimiento del artículo 22 del RGPD, y viceversa.
El sesgo es el modo de fallo que convierte una laguna en la supervisión en una responsabilidad. Un modelo entrenado con datos históricos reproduce patrones históricos, y cuando esos patrones se corresponden con una característica protegida, las decisiones resultantes pueden constituir discriminación indirecta según la Ley General de Trato Equitativo (Algemene wet gelijke behandeling). La única defensa que funciona a posteriori es realizar pruebas antes de la implementación y documentar dichas pruebas. Abordamos las consecuencias en nuestro artículo sobre la responsabilidad por sesgo algorítmico.
Lo que están haciendo los supervisores holandeses
La supervisión de la Ley de IA en los Países Bajos aún está en desarrollo. El gobierno ha propuesto un modelo en el que los reguladores sectoriales existentes mantienen la supervisión de la IA dentro de sus respectivos ámbitos, la Autoridad de Protección de Datos Personales (Autoriteit Persoonsgegevens) gestiona las áreas donde no existe un supervisor claro y crea una unidad especializada en IA, y la Inspección Nacional de Infraestructura Digital (Rijksinspectie Digitale Infrastructuur) desempeña una función de coordinación. La ley de implementación, la Ley de Ordenamiento sobre IA (Uitvoeringswet AI-verordening), se sometió a consulta pública en abril de 2026 y aún no ha sido aprobada, por lo que la designación formal de competencias y sanciones no es definitiva.
Eso no significa que no haya medidas de control. El RGPD es plenamente aplicable y la Autoridad de Protección de Datos lo ha utilizado durante años contra las implementaciones de IA. Las prohibiciones del artículo 5 de la Ley de IA son de aplicación directa, independientemente de cuándo entre en vigor la ley de transposición neerlandesa.
Un ejemplo práctico: chatbots de asesoramiento electoral.
El ejemplo más claro de lo que puede salir mal en los Países Bajos provino de la propia Autoriteit Persoonsgegevens (AP). En su informe de febrero de 2025 sobre riesgos algorítmicos y de IA, el organismo supervisor analizó chatbots de IA generativa que se utilizaban para ofrecer asesoramiento electoral y concluyó que los resultados eran poco fiables y sesgados: los sistemas orientaban a los usuarios hacia un pequeño número de partidos e ignoraban en gran medida al resto, independientemente de las respuestas dadas. La AP recomendó al público no utilizar dichos chatbots para tomar decisiones electorales y señaló que la IA utilizada para influir en las elecciones entra dentro de la categoría de alto riesgo de la Ley de IA. Las conclusiones se recogen en el informe de la AP sobre riesgos algorítmicos y de IA.
Esta lección trasciende el ámbito político. Un modelo de propósito general con una interfaz amigable no se vuelve neutral solo porque su operador lo pretenda. Cuando el resultado influye en una decisión importante, la neutralidad debe ser comprobada y documentada, ya que, tras la implementación, la responsabilidad de demostrar que el sistema funcionó según lo previsto recae en la organización que lo implementó.
Construir un marco de gobernanza de IA que se sostenga
Un marco de gobernanza solo es útil si genera evidencia. Los reguladores, las contrapartes y los tribunales hacen la misma pregunta después de que algo sale mal: ¿qué sabías, cuándo lo evaluaste y qué documentaste? Cuatro elementos son fundamentales.
- Clasificación revisada. Registra la clasificación de cada sistema de IA según la Ley de IA y el motivo. Repite la evaluación cada vez que cambie el caso de uso, por ejemplo, si un bot de atención al cliente que empieza a filtrar solicitantes ha cambiado de nivel de la noche a la mañana.
- Dato de governancia. Documente la procedencia de los datos de formación y recuperación, las licencias que los respaldan y cómo se verificaron las reservas de TDM. En cuanto a los datos personales, registre la base legal, el período de retención y los acuerdos de procesamiento.
- Documentación y registro. Conserve la versión del modelo, el mensaje del sistema, los resultados de las pruebas y los registros de conversaciones, respetando los plazos de retención del RGPD. Sin registros, no podrá reconstruir lo que el sistema comunicó el día en cuestión.
- Protocolos de supervisión. Identifique a los responsables, defina cuándo deben intervenir y otórgueles la autoridad para detener el sistema. Registre las intervenciones.
Los contratos se encargan del resto. El acuerdo con su proveedor de IA debe abordar la obtención de datos, las indemnizaciones por propiedad intelectual, la asignación de funciones según la Ley de IA entre el proveedor y el implementador, la seguridad, los derechos de auditoría y la rescisión del contrato. Estos son puntos habituales de negociación comercial, y es mucho más fácil conseguirlos antes de la firma que después de un incidente. Nuestras guías de derecho informático cubren el panorama contractual en cuestión.
Chatbots, copyright and compliance are not a one-off exercise. The high-risk regime arrives in stages up to 2028, the Uitvoeringswet will add national procedure and penalties, and the case law on AI outputs is only beginning. A framework that is reviewed annually and updated when the law moves is the difference between a defensible position and an improvised one.
¿Eres el proveedor o el implementador?
La Ley de IA asigna casi todas sus obligaciones según el rol, y los dos roles relevantes para una empresa que adquiere un chatbot son proveedor e implementador. Un proveedor desarrolla un sistema de IA y lo comercializa o lo pone en servicio bajo su propio nombre; un implementador lo utiliza bajo su propia autoridad. Adquirir un chatbot ya fabricado lo convierte en implementador, lo cual implica, con diferencia, las obligaciones más sencillas.
El problema radica en que un implementador puede convertirse en proveedor sin pretenderlo. El artículo 25 del reglamento establece que un implementador asume las obligaciones de proveedor para un sistema de alto riesgo si le asigna su propio nombre o marca comercial, realiza una modificación sustancial o cambia su propósito original de manera que lo convierta en un sistema de alto riesgo. Basta con usar una marca blanca para un chatbot de terceros o reutilizar un bot de atención al cliente para filtrar solicitudes de empleo para que se produzca este cambio.
Esa reasignación tiene consecuencias reales. El proveedor se hace cargo de la evaluación de la conformidad, la documentación técnica, el sistema de gestión de la calidad, el registro en la base de datos de la UE y la vigilancia posterior a la comercialización. Nada de esto puede obviarse mediante una cláusula contractual, ya que las obligaciones son deberes de derecho público para con el supervisor, no deberes privados para con la contraparte. Un contrato puede transferir el coste de un incumplimiento, pero no la obligación.
Quienes implementan sistemas de alto riesgo tienen su propia lista de requisitos: usar el sistema según las instrucciones, asignar supervisión humana competente, garantizar que los datos de entrada sean relevantes, monitorear su funcionamiento, mantener registros y informar a los trabajadores y sus representantes antes de que un sistema de alto riesgo se ponga en marcha en el lugar de trabajo. Este último punto es fácil de pasar por alto y es precisamente el tipo de omisión que un comité de empresa señalará.
Confidencialidad, secretos comerciales y deberes profesionales
Un riesgo que escapa al control de los tres marcos regulatorios, y que causa daños más concretos que cualquiera de ellos, es que el personal introduzca material confidencial en un chatbot público. Los datos de los clientes, los borradores de contratos, el código fuente y las cifras financieras no publicadas que se introducen en un servicio de IA para consumidores salen del control de la organización y, según las condiciones del servicio, pueden conservarse o utilizarse para formación adicional.
Según la legislación neerlandesa, esto puede constituir una violación de la cláusula de confidencialidad de un contrato comercial, infringir la obligación de tomar las medidas razonables para proteger la información como secreto comercial conforme a la Ley de Protección de Datos Personales (Wet bescherming bedrijfsgeheimen) y, en profesiones reguladas, incumplir el deber legal de confidencialidad. También puede tratarse de una violación de datos personales que requiere notificación a la Autoridad de Protección de Datos Personales (Autoriteit Persoonsgegevens) en un plazo de setenta y dos horas desde que se tenga conocimiento de ella, según el artículo 33 del RGPD.
La solución es sencilla pero eficaz: una política escrita sobre el uso de la IA que especifique las herramientas aprobadas, indique claramente qué información no debe introducirse en una herramienta no autorizada y que esté integrada en la relación laboral para que su incumplimiento tenga consecuencias. Si a esto se le suma un acuerdo empresarial que excluya contractualmente la formación sobre los datos de entrada, el riesgo prácticamente desaparece.
Qué hacer antes del lanzamiento
El trabajo de cumplimiento normativo en un chatbot es secuencial, y realizarlo en el orden correcto permite ahorrar la mayor parte de los costes. Clasifique el sistema según la Ley de IA y documente dicha clasificación, junto con su justificación. Identifique los datos personales que procesará, defina la base jurídica y el período de retención, y realice una evaluación de impacto relativa a la protección de datos si el tratamiento lo requiere. Implemente el acuerdo de tratamiento de datos del artículo 28 con la plataforma.
Luego, analice los datos que respaldan el modelo: pregunte al proveedor sobre qué se entrenó, si se respetaron las reservas de TDM y qué indemnización se ofrece, y registre las respuestas. Integre la información sobre transparencia en la propia interfaz, en lugar de en el pie de página. Designe a la persona responsable de la supervisión y defina cuándo interviene. Finalmente, pruebe el sistema con los casos que más le preocupan, guarde los resultados y fije una fecha para revisar todo el expediente.
Las organizaciones que realizan este tipo de ejercicios descubren que son limitados. La incertidumbre en la legislación sobre IA es real, pero se concentra en unas pocas cuestiones, principalmente sobre los datos de entrenamiento y la responsabilidad por los resultados, y el resto es trabajo de cumplimiento normativo habitual que se puede completar y presentar.
Preguntas frecuentes
Las siguientes preguntas surgen prácticamente en la primera conversación sobre la implementación de un chatbot. Aquí se responden desde una perspectiva básica; el análisis de un sistema específico siempre depende de su función y de a quién se dirige.
¿Quién es responsable si un chatbot infringe los derechos de autor?
La cuestión de la responsabilidad por infracción de derechos de autor por parte de un chatbot es compleja, y la respuesta es que suele ser una responsabilidad compartida. Normalmente, la culpa recae tanto en el desarrollador de IA que creó la herramienta como en la organización que la utiliza. Según la legislación de la UE y la neerlandesa, los desarrolladores pueden verse en aprietos legales por utilizar material protegido por derechos de autor para entrenar sus modelos sin obtener previamente los permisos correspondientes.
Al mismo tiempo, la empresa que utiliza el chatbot puede ser considerada responsable de cualquier contenido infractor que la IA genere y distribuya. Para evitar este riesgo, es fundamental que las empresas exijan transparencia a sus proveedores de IA respecto a las fuentes de datos de entrenamiento. Otra medida de protección crucial es asegurar cláusulas de indemnización sólidas en los contratos con los proveedores.
¿Se aplica el RGPD a los datos procesados por chatbots?
Sí, sin duda. Si tu chatbot maneja datos personales de personas en la UE (nombres, direcciones de correo electrónico o incluso datos de conversaciones que podrían identificar a alguien), el RGPD se aplica en su totalidad.
Esto pone inmediatamente en juego varias funciones esenciales:
- Debe existir una razón clara y legal para el tratamiento de los datos.
- Debes informar a los usuarios exactamente cómo se utilizan sus datos.
- Solo debes recopilar los datos que sean absolutamente necesarios (minimización de datos).
- Usted está obligado a respetar los derechos de los usuarios, incluido su derecho a ver o eliminar sus datos.
Ignorar estas responsabilidades no es una opción. El incumplimiento puede acarrear multas cuantiosas —de hasta el 4 % de la facturación global anual de su empresa— y dañar gravemente su reputación.
¿Cuál es el primer paso para garantizar que nuestro chatbot cumpla con la normativa?
El primer paso fundamental es realizar una evaluación de riesgos exhaustiva conforme al marco de la Ley de Inteligencia Artificial de la UE. Es necesario determinar la categoría de riesgo de su chatbot según su funcionalidad y el daño potencial que podría causar. Este proceso lo clasificará en una categoría, como riesgo mínimo, limitado o alto.
Por ejemplo, un chatbot sencillo de preguntas frecuentes que solo responde preguntas básicas probablemente se considere una herramienta de bajo riesgo con muy pocas obligaciones. Sin embargo, un chatbot utilizado para evaluar a candidatos a un puesto de trabajo, proporcionar información médica u ofrecer asesoramiento financiero casi con seguridad se clasificaría como de alto riesgo. Esta clasificación es la que determina sus obligaciones legales específicas en materia de transparencia, gobernanza de datos y supervisión humana, lo que le proporciona una hoja de ruta clara para toda su estrategia de cumplimiento.
Law & More Asesoramos a empresas en los Países Bajos sobre los aspectos legales de la implementación de IA: clasificación según la Ley de IA, derechos de autor y origen de datos, cumplimiento del RGPD y acuerdos de procesamiento de datos, documentación de gobernanza y negociación de contratos con proveedores de IA. Si está preparando el lanzamiento de un chatbot o desea que uno existente sea evaluado según la normativa vigente, estaremos encantados de analizarlo con usted. Contáctenos para hablar sobre su situación.
