El art. 22 RGPD prohíbe por defecto las decisiones exclusivamente automatizadas con efecto jurídico o significativo sobre el interesado. Para una empresa boutique, conocer cuándo un chatbot cruza esta línea evita errores caros.
La regla por defecto · prohibición con tres excepciones tasadas
El art. 22.1 RGPD establece como regla general que el interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. Esta regla por defecto es prohibitiva: no se necesita activarla, está activa siempre. Solo tres excepciones permiten ese tipo de decisión: ejecución de contrato (cuando es necesario), autorización por Derecho de la UE o nacional, y consentimiento explícito del interesado. En todas las excepciones, el responsable debe garantizar el derecho a obtener intervención humana, expresar punto de vista e impugnar la decisión. Las dos últimas garantías son las que la AEPD examina con más detalle en inspección porque son las más fáciles de saltarse en la implementación técnica.
Cuándo un chatbot IA activa el art. 22
La activación del art. 22 requiere dos condiciones acumulativas: decisión exclusivamente automatizada (sin intervención humana significativa) y efecto jurídico o significativo sobre el interesado. Tres ejemplos por vertical:
| Caso | ¿Activa art. 22? | Por qué |
|---|---|---|
| Bot dental que asigna cita disponible | No | Decisión objetiva basada en agenda · sin filtrado del paciente |
| Bot dental que rechaza cita por criterios de paciente | Sí | Filtrado significativo sin revisión humana |
| Bot legal que descarta consulta por criterio del despacho | Sí | Efecto significativo (cliente no atendido) |
| Bot legal que cualifica consulta y la dirige a abogado especialista | No | Decisión instrumental · revisión humana garantizada en siguiente paso |
| Bot hotel que ajusta precio según historial del cliente | Sí | Perfilado con efecto económico significativo |
| Bot hotel que muestra precio público sin variación | No | Sin perfilado |
| Bot que detecta y bloquea cliente conflictivo | Sí | Efecto significativo · puede activar derechos del interesado |
La regla operativa: cualquier decisión que el bot tome y que tenga consecuencia comercial o jurídica para el interesado activa el art. 22 si no hay intervención humana real entre el output del bot y la consecuencia.
Qué se considera "intervención humana significativa"
La AEPD y el Comité Europeo de Protección de Datos (EDPB) han fijado en doctrina que la intervención humana significativa requiere capacidad real de revisión y modificación. Tres elementos:
- Acceso al input completo. La persona revisora ve todos los datos que ha visto el sistema automatizado.
- Capacidad de cambiar la decisión. La persona puede revertir o modificar la salida del modelo.
- Tiempo razonable. La revisión no se reduce a "rubber-stamping" instantáneo.
Si la implementación tiene una persona revisando 500 decisiones automáticas en 30 segundos, no es intervención significativa: es teatro. Las inspecciones de la AEPD detectan estos patrones por logs y por entrevistas al equipo del responsable.
Cómo cumplir el art. 22 cuando la decisión automatizada es necesaria
Cuatro pasos operativos:
1. Base legal específica. Documentar cuál de las tres excepciones aplica:
- Ejecución de contrato (la decisión automatizada es necesaria para celebrar o ejecutar el contrato).
- Autorización por Derecho UE o nacional.
- Consentimiento explícito (separado del consentimiento general).
2. Información previa al interesado. Antes de la primera interacción, el interesado tiene que saber:
- Que existe decisión automatizada.
- Lógica aplicada de forma comprensible (no técnica).
- Consecuencias previstas.
3. Derecho a intervención humana. Habilitar canal explícito para que el interesado pida revisión por persona, dentro de un plazo razonable.
4. Derecho a impugnación. Habilitar canal para discutir la decisión, con respuesta documentada en plazo razonable.
Documentación contractual: estos cuatro elementos figuran en la política de privacidad del cliente y en la EIPD si aplica.
Casos donde la AEPD ha sancionado por art. 22
Resoluciones públicas de 2024-2025 con relevancia para IA conversacional:
- Empresa de telecomunicaciones que automatizó alta y baja de cuentas con scoring crediticio sin información previa al interesado: sanción 60 000 €.
- Empresa de retail online con personalización dinámica de precios por perfil sin consentimiento explícito: sanción 25 000 € + obligación de cesar la práctica.
- Plataforma de empleo que filtraba candidaturas con IA sin opción humana de revisión: sanción 90 000 € + medidas correctoras.
El patrón común: ausencia de información previa al interesado y ausencia de canal real de revisión humana.
Plantilla de información al interesado · cómo redactarla
Vexakon entrega plantilla validada por Passas Abogados para incorporar a política de privacidad y a primer mensaje del chatbot cuando el sistema toma decisiones automatizadas:
Tu solicitud puede ser objeto de decisión automatizada por nuestro sistema de inteligencia artificial. La decisión se basa en los siguientes factores principales: [lista comprensible · 3 a 6 elementos]. Si no estás de acuerdo con la decisión, puedes solicitar revisión por una persona del equipo escribiendo a [email de contacto]. Tienes derecho a expresar tu punto de vista, obtener intervención humana e impugnar la decisión.
Este wording cumple el art. 13.2.f, art. 22 y art. 21 conjuntamente.
Relación con AI Act · sistemas de alto riesgo del Anexo III
El AI Act introduce su propio régimen sobre decisiones automatizadas en el Anexo III, con foco en sistemas de alto riesgo: empleo, educación, servicios esenciales, evaluación crediticia, control fronterizo. Si el chatbot del cliente cae en alguna de estas categorías, las obligaciones se acumulan: art. 22 RGPD por un lado, requisitos de gestión de riesgos del AI Act por otro. Para una empresa boutique con clínica, despacho u hotel, ninguna de las categorías de alto riesgo aplica directamente, pero conviene tener el mapa porque los criterios cambian si la empresa expande a sectores como recursos humanos (ATS automatizado), educación (filtrado de candidatos a curso) o financiero (scoring de prospectos).
Documentación que la AEPD pide en inspección sobre art. 22
Cuando una inspección activa el examen del art. 22, la AEPD pide específicamente cuatro elementos:
- Documentación de la lógica aplicada al interesado en formato comprensible (no pesos del modelo).
- Registros de las solicitudes de revisión humana recibidas y su resolución, con plazos.
- Plantilla de información previa entregada al interesado y prueba de su entrega (timestamp).
- Política interna que delimita qué decisiones se automatizan totalmente, cuáles parcialmente y cuáles requieren intervención humana significativa.
Una empresa que no puede entregar estos cuatro elementos en menos de cinco días laborables ante un requerimiento queda expuesta. Vexakon mantiene los cuatro elementos en el SOW de cada cliente y los actualiza ante cualquier cambio del sistema.
Cómo evitar caer en el art. 22 cuando se puede
Para muchas empresas boutique, la solución pragmática es no activar el art. 22 en absoluto: garantizar siempre intervención humana significativa antes de cualquier decisión con efecto material sobre el interesado. El bot recoge, cualifica, prioriza, pero la decisión final la toma una persona en un plazo razonable. Esta arquitectura es la que Vexakon implementa por defecto en VEXA-VOICE, VEXA-CHAT y VEXA-DOCS salvo petición expresa del cliente.
Cuando el cliente quiere automatizar la decisión completa (rechazo automático, asignación automática con consecuencias jurídicas), Vexakon ejecuta los cuatro pasos del cumplimiento art. 22 y deja documentación firmada por abogado tech del cliente.
Preguntas frecuentes
(Generadas como FAQPage schema desde el frontmatter de este artículo.)
Aviso legal: este artículo describe la práctica habitual a fecha de mayo de 2026. No constituye asesoramiento legal. Para análisis particular, consulta a abogada o abogado tecnológico colegiado.
Lecturas relacionadas:
Implantación VEXA-CHAT en despachos jurídicos boutique:
- Despachos en Valencia — ICAV, mercantil portuario y fiscal PYMES.
- Despachos en Alicante — ICALI, multilingüe internacional.
- Despachos en Castellón — ICACS, clúster cerámico (servicio remoto).