Cumplir el Artículo 50 del Reglamento (UE) 2024/1689 sin haber hecho la Evaluación de Impacto del RGPD es una omisión frecuente que la AEPD detecta en inspección.
Cuándo es obligatoria la EIPD
El art. 35 RGPD obliga a hacer Evaluación de Impacto en Protección de Datos cuando un tratamiento "es probable que entrañe alto riesgo para los derechos y libertades de las personas físicas". La AEPD publicó en 2021 una lista de casos que se consideran de alto riesgo por defecto y la actualizó en 2025 para incluir explícitamente sistemas de IA conversacional con tratamiento de datos sensibles. Para una empresa boutique que implanta un chatbot, los tres umbrales operativos son:
- Tratamiento de datos sanitarios, judiciales o financieros a través del chatbot. Activación automática.
- Volumen alto (>5.000 conversaciones/mes con datos personales). Recomendada aunque la AEPD no fija umbral exacto.
- Decisiones automatizadas con efecto jurídico sobre el usuario (art. 22 RGPD). Activación automática y exige además consentimiento explícito.
Si ninguno de los tres se activa, la EIPD no es obligatoria, pero Vexakon la recomienda como buena práctica para clientes con clientela internacional o con auditoría externa anual.
Umbral por vertical · regla práctica
Umbrales orientativos basados en el análisis del sector y en la práctica de evaluación de impacto (EIPD), no en datos de clientes.
| Vertical | EIPD obligatoria | Razón principal |
|---|---|---|
| Clínica dental con bot solo de citas | No (recomendada) | Datos básicos · sin sintomatología |
| Clínica dental con bot que recoge motivo de consulta | Sí | Datos de salud · art. 9 RGPD |
| Despacho legal con bot de contacto inicial | No (recomendada) | Datos de contacto sin consulta jurídica |
| Despacho legal con bot que recoge consulta sustantiva | Sí | Asuntos pendientes confidenciales · art. 9 RGPD por extensión |
| Despacho fiscal con bot que pide datos económicos | Sí | Datos financieros · alto riesgo |
| Hotel boutique con bot de reservas y consultas | No (recomendada) | Datos de contacto + estancia |
| Hotel boutique con bot que recoge alergias o necesidades médicas | Sí | Datos de salud encubiertos |
La regla operativa: si tu chatbot puede llegar a tocar art. 9 RGPD (categorías especiales de datos), haz EIPD aunque sea fina; el coste de oportunidad de no hacerla es asimétrico.
Las nueve secciones que la AEPD espera ver
Una EIPD aceptable contiene nueve apartados. Vexakon entrega un borrador técnico en cada SOW que cubre apartados 1 a 6 y deja a abogada o abogado del cliente la redacción de los apartados 7 a 9 con su criterio profesional.
- Descripción del tratamiento (qué hace el chatbot, qué datos toca, base legal).
- Necesidad y proporcionalidad (¿se podría hacer sin IA conversacional?).
- Categorías de interesados (clientes, prospectos, empleados internos).
- Categorías de datos (identificativos, contacto, salud si aplica, conducta).
- Destinatarios (subprocesadores: OpenAI, Meta, Retell, ElevenLabs, Deepgram, Vexakon).
- Plazo de conservación (12 meses por defecto · ajustable a 6 con consentimiento).
- Identificación de riesgos (acceso indebido, pérdida, alteración, transferencias).
- Evaluación de probabilidad e impacto (matriz típica 5x5).
- Medidas de mitigación adoptadas y residuales (cifrado, control accesos, DPA firmados, audit log SHA-256).
Plantilla operativa Vexakon · resumen ejecutable
Para una clínica dental que implanta VEXA-VOICE + VEXA-CHAT con motivo de consulta opcional:
- Tratamiento: agente IA telefónico y chat web para gestión de citas, con captura opcional de motivo médico para priorización.
- Datos: nombre, teléfono, motivo de consulta libre (puede contener salud), historial de citas previas en la clínica.
- Base legal: ejecución de contrato (cita) + consentimiento explícito (motivo médico, opt-in).
- Subprocesadores: Retell AI (US, SCC firmadas), OpenAI (US, SCC), Deepgram (US, SCC, MIPP opt-out activo), ElevenLabs (UK adecuación).
- Conservación: 12 meses para citas, 6 meses para motivo de consulta no convertido en cita.
- Riesgo principal: filtración de datos médicos por compromiso de la cuenta del canal o de prompt LLM. Mitigado con cifrado en tránsito TLS 1.3, en reposo en Postgres con
pgcrypto, auditoría trimestral SHA-256 y rotación de API keys ante sospecha de compromiso. - Riesgo residual: bajo. La clínica acepta y firma.
Una EIPD así ocupa entre cinco y ocho páginas y cubre lo que la AEPD pediría en inspección. Plantilla aplicada y firmada en clínicas dentales en Valencia y Gandía, donde la captura de motivo médico opcional activa art. 9 RGPD.
Cuándo activar consulta previa AEPD (art. 36)
La consulta previa al art. 36 RGPD es necesaria solo cuando la EIPD identifica riesgo residual alto que la empresa no puede o no quiere mitigar y aun así pretende seguir con el tratamiento. En la práctica boutique no suele activarse porque las medidas de mitigación habituales (cifrado, dpa, retención corta, audit log) bajan el riesgo a residual medio o bajo. Si activarla:
- Plazo de respuesta AEPD: hasta ocho semanas, prorrogables seis más si el caso es complejo.
- Mientras la AEPD no responde, el tratamiento no puede iniciarse. Esto bloquea proyectos.
- La consulta puede llevar a observaciones vinculantes que cambien el alcance.
La forma habitual de evitar la consulta previa es ajustar el tratamiento (no recoger motivo médico libre, hacer el motivo opcional con consentimiento separado) hasta que el riesgo residual quede en zona aceptable.
Plazo realista para hacer la EIPD
| Fase | Tiempo |
|---|---|
| Kickoff con cliente · alcance del tratamiento | 1 día |
| Borrador técnico Vexakon | 2 días |
| Revisión legal cliente | 2-5 días |
| Validación final Vexakon + cliente | 1 día |
| Total | 6-9 días laborables |
Si la clínica quiere acelerar, el operador puede correr revisión legal en paralelo con la implementación técnica del chatbot, asumiendo el riesgo de retoque al final si el abogado pide cambios al borrador. Vexakon prefiere serial: primero EIPD firmada, luego implantación. Reduce reproceso y coste.
Errores comunes que descalifican la EIPD ante la AEPD
- Identificar el tratamiento de manera abstracta ("uso de IA generativa") sin describir el flujo real.
- Omitir subprocesadores reales (todos los proveedores LLM y voz cuentan).
- Marcar riesgo residual "bajo" sin medidas de mitigación verificables.
- Plazos de conservación copiados de plantillas genéricas sin justificación.
- Falta de revisión legal: la EIPD firmada solo por el técnico no tiene fuerza ante la AEPD.
- No incluir el AI Act art. 50 cuando aplica: la EIPD debe contemplar simultáneamente RGPD y AI Act desde 2026.
Preguntas frecuentes
(Generadas como FAQPage schema desde el frontmatter de este artículo.)
Aviso legal: este artículo describe la práctica de la AEPD a fecha de mayo de 2026. No constituye asesoramiento legal. Para análisis particular, consulta a abogada o abogado tecnológico colegiado.
Lecturas relacionadas: