- El RGPD se aplica a cualquier chatbot que recopile o procese datos personales de usuarios de la UE, y exige transparencia, derechos de los usuarios y estrictas salvaguardias de los datos.
- Debe informar claramente a los usuarios por adelantado sobre qué datos recopila su chatbot, por qué, cómo se almacenan o comparten y los derechos de los usuarios a acceder a sus datos o eliminarlos.
- Los datos sólo pueden tratarse para los fines específicos declarados, con una base jurídica como el consentimiento, el cumplimiento de un contrato o intereses legítimos.
- Los usuarios deben poder ejercer los derechos que les otorga el GDPR -como acceder a sus datos, corregirlos o eliminarlos-, preferiblemente directamente a través de los flujos de chatbot.
Si estás pensando en implantar un chatbot para una empresa, este artículo es para ti.
A medida que el GDPR(Reglamento General de Protección de Datos) proyecta su sombra sobre las empresas que manejan datos de clientes, crece la sensación de urgencia por abordar los aspectos tecnológicos de las empresas.
Una pregunta que nos hacen a menudo nuestros clientes es: ¿cómo puedo hacer que mi chatbot de Botpress cumpla el GDPR? Aunque el cumplimiento del GDPR puede ser complicado, estamos aquí para ayudarte.
Si el GDPR se aplica a su empresa, aquí hay algunos consejos y trucos para garantizar el cumplimiento continuo de su chatbot.
Curso acelerado sobre el GDPR
¿Qué es el GDPR?
El RGPD es un reglamento de la UE centrado en la protección de datos y la privacidad. Afecta a particulares y empresas de la UE y el Espacio Económico Europeo (EEE), incluida la transferencia de datos fuera de la UE y el EEE.
Su objetivo es dar a las personas el control sobre sus datos personales y establecer una normativa unificada en toda la UE. Si su empresa opera en estos ámbitos, debe cumplir el RGPD.
No cumplir el GDPR tiene un coste. Podría acarrear sanciones sustanciales, de hasta 20 millones de euros o el 4 % de su facturación mundial del ejercicio anterior, la cantidad que sea mayor.
El objetivo es poder demostrar a sus usuarios que procesará sus datos exactamente como prometió. De este modo, crea ganará definitivamente la confianza de sus clientes en chatbots, lo que, en última instancia, podría aumentar la rentabilidad y el éxito de su empresa.
¿Qué se consideran datos personales?
Según el GDPR, los datos personales se definen como "cualquier información que se refiera a una persona viva identificada o identificable." Esto incluye:
- Números de teléfono
- Números de tarjeta de crédito
- Cifras de personal
- Datos de la cuenta
- Matrículas
- Apariencia
- Números de cliente
- Direcciones
Sin embargo, la definición del RGPD es amplia: si no está seguro de si la información debe considerarse datos personales, es mejor que asuma que debe tratarse como tal.
1. Ser transparente
Si está recopilando datos de clientes a través de su chatbot -y estos datos se consideran datos personales en virtud del GDPR-, debe ser transparente con los usuarios del chatbot. Debe explicar quién, qué, dónde, cuándo y por qué recopila sus datos.
Esto significa informar a sus usuarios sobre qué datos de clientes recopila, cómo los utiliza y con quién los comparte. Estos elementos deben presentarse siempre al usuario antes de recopilar sus datos.
Informar al usuario antes de la recogida
Debe proporcionar un aviso claro y fácilmente comprensible antes de gestionar cualquier dato del cliente a través de su chatbot.
Suelen ser ventanas emergentes que explican a los usuarios qué datos se van a recopilar de ellos, por qué se recopilan y cuáles son sus derechos en relación con la recopilación de datos personales.
Publicar una declaración de confidencialidad
También debe detallar sus prácticas de tratamiento de datos en una política o declaración de privacidad en línea y actualizarla cuando sea necesario. Puede consultar Botpress' Privacy Statement como ejemplo.
Su declaración de privacidad debe incluir:
- Qué información se recoge del usuario
- Por qué se tratan sus datos personales (es decir, la finalidad de la recogida de datos)
- Cómo almacena y transfiere datos personales
- Cómo protege y trata sus datos personales
- Derecho a la intimidad de los usuarios
La transparencia en el uso y tratamiento de los datos de los clientes fomenta la confianza y la buena voluntad, lo que conduce a relaciones más sólidas y duraderas con los clientes y, en última instancia, a una empresa más sostenible y reputada.
2. Ser veraz
Sólo debe tratar los datos para los fines declarados. Esto incluye vigilar que su empresa y sus empleados solo traten los datos de los clientes para los fines indicados.
Por ejemplo, si afirma que utilizará los datos de los clientes para el envío de comunicaciones comerciales, algoritmos de entrenamiento, análisis de datos para la mejora de productos, soporte técnico, atención al cliente o personalización de servicios, sólo podrá utilizar los datos para tales fines, y nada más.
3. Ser inteligente
Sólo debe tratar los datos con la debida justificación legal.
Dé un paso atrás y evalúe internamente su base jurídica para el tratamiento de los datos de los clientes. Este análisis es obligatorio según el GDPR.
Sólo podrá gestionar datos de clientes si se cumplen una o varias de las siguientes condiciones:
- Se basa en el consentimiento explícito del usuario del chatbot
- Forma parte de un contrato con el usuario y su tratamiento es indispensable
- Es el cumplimiento de una obligación legal
- Es para salvaguardar los intereses vitales del usuario (léase: ¡situación de vida o muerte!).
- Realiza una tarea de interés público
- Forma parte de su autoridad oficial
- Para perseguir intereses legítimos (a menos que dichos intereses se vean superados por los intereses de los usuarios o sus derechos y libertades fundamentales).
Las razones más comunes para tratar los datos de los clientes son el consentimiento, la ejecución de un contrato o los intereses legítimos.
4. Oriéntese al cliente
Debe permitir a los usuarios ejercer sus derechos de privacidad de datos.
Uno de los puntos de la lista de control del GDPR para chatbots en línea se refiere a garantizar que los usuarios de chatbot puedan ejercer uno o más de los diversos derechos de privacidad de datos que les otorga el GDPR.
Los usuarios de chatbot deben poder acceder a los datos de los clientes que el chatbot haya recopilado sobre ellos, corregirlos, restringir el tratamiento y oponerse a él, solicitar la supresión de sus datos u obtenerlos en un formato portátil.
Lo ideal sería que los usuarios pudieran ejercer estos derechos directamente a través del flujo de conversación de chatbots , mediante un proceso interactivo de preguntas y respuestas. Afortunadamente, Botpress ofrece esta posibilidad.
5. Ser humano
Intente demostrar que las decisiones automatizadas tienen participación humana.
Los chatbots de Botpress utilizan tecnología de IA. En concreto, son agentes de IA impulsados por LLMs.
A menos que se cumplan ciertas condiciones, no puede estructurar su chatbot de forma que la IA tome decisiones críticas sobre un usuario solo: las decisiones tomadas sobre los usuarios no pueden producir efectos legales ni afectar significativamente al usuario.
Esto significa que la supervisión humana debe estar presente en cualquier fase del despliegue de un chatbot que utilice IA agéntica para garantizar el cumplimiento del GDPR. Es esencial que pueda demostrar a los usuarios que la participación humana ha desempeñado un papel en la toma de estas decisiones.
6. Ser reacio a los troncos
Evalúe qué tipo de registros está manteniendo a través de su chatbot. ¿Tiene registros de errores? ¿Registros de acceso? ¿Registros de auditoría de seguridad?
Si lo hace, determine si estos registros contienen datos de clientes, como direcciones IP, información identificativa o nombres completos. Si la respuesta es afirmativa, es posible que tenga que poner en marcha un proceso para eliminar estos datos de clientes. El GDPR le prohíbe conservar y retener estos datos sin una justificación adecuada.
Cuando la conservación no esté justificada, elimine los datos personales obtenidos mediante registros.
En Botpress, eliminamos automáticamente los datos personales obtenidos a través de registros tras un período de tiempo definido explícitamente.
7. Estar seguro
Además de todos los demás elementos, también debe asegurarse de aplicar medidas técnicas, organizativas, físicas y administrativas para proteger la información que se procesa a través de su chatbot.
Esto podría significar asegurarse de que usted:
- Cifrar los datos del cliente en reposo y en tránsito
- Anonimizar o seudonimizar los datos de los clientes
- Gestione adecuadamente el acceso de sus empleados a los datos de los clientes en función de la necesidad de conocerlos.
- Disponer de copias de seguridad adecuadas, entre otras consideraciones
Todas estas son medidas apropiadas para proteger los datos que se le confían; variarán en función de la finalidad de su chatbot y de los datos que recopile.
Para otros ejemplos, puede echar un vistazo al Anexo 2 del Acuerdo de Procesamiento de Datos de Botpress' para ver una lista de las medidas de seguridad que ponemos en marcha cuando usted crea un chatbot con nuestra ayuda.
Chatbots compatibles con Crea
Garantizar que tu chatbot cumple con el GDPR no solo es importante por motivos legales o financieros. Establecer confianza y transparencia con sus usuarios es esencial para la imagen pública de su empresa y las relaciones individuales con sus clientes. En caso de duda, asegúrese de que sus productos y servicios siguen una lista de comprobación del GDPR para garantizar el cumplimiento.
Estaremos encantados de ayudarle a garantizar que su chatbot de IA cumple con la normativa necesaria. Muchas de las funciones de cumplimiento del GDPR están integradas directamente en Botpress para que puedas centrarte en la creación de bots.
Para cualquier pregunta, puede ponerse en contacto con legal@botpress.com.
Preguntas frecuentes
1. Es obligatorio el cumplimiento del GDPR para las empresas de fuera de la UE que utilizan chatbots?
Sí, el cumplimiento del GDPR es obligatorio si su chatbot interactúa con usuarios de la UE o procesa datos de residentes de la UE, independientemente de dónde tenga su sede su empresa.
2. ¿Cómo puedo realizar una evaluación de impacto sobre la protección de datos (EIPD) para mi chatbot?
Para llevar a cabo una Evaluación del Impacto sobre la Protección de Datos (EIPD) para su chatbot, empiece por identificar qué datos personales procesa su chatbot, los riesgos que implica y las medidas que tomará para mitigarlos. Es una forma estructurada de demostrar que has pensado en el impacto sobre la privacidad y en cómo gestionarlo.
3. ¿Cómo me aseguro de que mi chatbot no registre datos confidenciales durante la depuración o el análisis?
Para asegurarse de que su chatbot no registra datos confidenciales durante la depuración o el análisis, desactive el registro del contenido de la conversación, anonimice los registros que conserve y asegúrese de que las herramientas de depuración excluyen o redactan los datos personales. Revise siempre lo que capturan sus registros y aplique estrictos controles de acceso.
4. ¿Necesito localizar mi chatbot para diferentes regiones con diferentes leyes de datos?
Sí, necesitas localizar tu chatbot para diferentes regiones. Mientras que el GDPR es estricto, otras regiones como California o Brasil tienen sus propias reglas, por lo que adaptar las prácticas de datos de tu chatbot a cada región te ayuda a mantener el cumplimiento global.
5. La elaboración de perfiles de usuario en tiempo real a través LLMs , ¿se considera conforme con el GDPR?
Cuando se trata de si la elaboración de perfiles de usuario en tiempo real a través LLMs se considera o no conforme con el GDPR, depende. La elaboración de perfiles está permitida, pero si afecta significativamente a los usuarios o toma decisiones automatizadas sin intervención humana, se necesita una justificación sólida y un consentimiento explícito. La transparencia y la supervisión humana son fundamentales.
.png)
