¿Cómo cumplir la Ley de IA en el comercio electrónico?

En esta guía explicamos cómo cumplir la Ley de IA en el comercio electrónico: qué usos de la inteligencia artificial hay detrás de una tienda online, en qué nivel de riesgo encaja cada uno y qué obligaciones concretas se activan. Recorremos la clasificación de riesgo, la gobernanza de datos, la documentación exigible, la transparencia frente al cliente y el marcado CE.

Cómo afecta la Ley de IA al sector del comercio electrónico

El Reglamento de Inteligencia Artificial es el marco legal europeo que regula el uso de sistemas de IA. Afecta de lleno al comercio electrónico porque casi ninguna tienda online funciona hoy sin recomendadores, chatbots o previsión de demanda. Su objetivo es que esa tecnología sea segura, transparente y respetuosa con los derechos fundamentales.

Lo primero que conviene fijar es tu papel, porque de él dependen las obligaciones:

• Proveedor: desarrollas el sistema de IA, o lo comercializas bajo tu marca.
• Responsable del despliegue: usas herramientas de terceros, como plugins de Shopify o WordPress y servicios externos.

La mayoría de los e-commerce son responsables del despliegue, no proveedores. Eso reduce mucho la carga: el grueso de las herramientas de una tienda queda en riesgo mínimo o limitado, así que no hacen falta auditorías complejas, pero sí informar con claridad al usuario. Las obligaciones de transparencia del artículo 50 se aplican de forma plena desde agosto de 2026, mientras que las prácticas prohibidas y la alfabetización en IA ya son exigibles.

Usos de la IA frecuentes en el comercio electrónico

Antes de clasificar riesgos hay que saber dónde está la IA. En una tienda online suele aparecer en:

• Recomendación de productos y venta cruzada.
• Atención al cliente mediante chatbots y asistentes virtuales.
• Análisis de comportamiento de navegación para personalizar ofertas.
• Precios dinámicos que se ajustan según demanda o perfil.
• Generación de fichas de producto, imágenes, vídeo y voz.
• Búsqueda interna inteligente y ordenación de resultados.
• Gestión automatizada de stock, previsión de demanda y logística.
• Scoring para aprobar pagos aplazados, financiación o detectar fraude.

Sistemas y herramientas empleadas

Casi todos esos usos llegan en forma de módulo contratado, no de desarrollo propio. Las herramientas habituales son:

• Motores de recomendación integrados en el CMS o en la plataforma de comercio.
• Plataformas de chatbot y asistentes conversacionales.
• Modelos generativos de texto, imagen, vídeo y audio para catálogo y publicidad.
• Optimizadores de stock y sistemas de previsión de demanda.
• Buscadores internos con procesamiento de lenguaje natural.
• Motores de scoring de solvencia y antifraude, propios del proveedor de pago.
• Creadores automáticos de anuncios y de audiencias publicitarias.

Conviene levantar un inventario de todos los módulos activos, incluidos los que vienen dentro de otra herramienta y pasan desapercibidos. Sin ese inventario no se puede clasificar el riesgo ni acreditar cumplimiento.

Riesgos que conllevan

Los riesgos no son solo técnicos: afectan a derechos de los clientes y a la exposición sancionadora de la tienda.

• Falta de transparencia: el cliente no sabe que habla con un sistema automatizado o que una imagen es sintética.
• Sesgos y discriminación: recomendaciones o precios que perjudican a determinados perfiles.
• Decisiones sin supervisión: denegar una financiación o una devolución sin revisión humana.
• Uso indebido de datos: rastreo de comportamiento sin base legal ni consentimiento válido.
• Precios sesgados: algoritmos que emplean datos sensibles, como origen étnico, salud u orientación.

Hay además usos que el Reglamento considera de riesgo inaceptable y que están directamente prohibidos: manipular la conducta del comprador sin su conocimiento, explotar vulnerabilidades de grupos protegidos, aplicar puntuación social a clientes, la identificación biométrica remota no autorizada o crear bases biométricas extrayendo imágenes sin permiso. Ajustar el precio según el perfil emocional detectado del cliente entra en este grupo.

El riesgo económico también es relevante. Las sanciones se gradúan según la gravedad:

• Prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocio global.
• Resto de incumplimientos: hasta 15 millones o el 3 % del volumen global.
• Información incorrecta a las autoridades: importes menores, con apercibimiento.

Agravan la sanción la reincidencia, la afectación a derechos fundamentales, la ausencia de supervisión humana y no comunicar incidentes graves.

Cómo cumplir el AI Act en el comercio electrónico

El cumplimiento no consiste en dejar de usar IA, sino en ordenarla. Para una tienda online el esfuerzo se concentra en tres frentes: saber qué sistemas tienes y con qué riesgo, informar bien al cliente y poder demostrar lo que haces. Los pasos siguientes recorren ese camino.

Clasificar el nivel de riesgo según los usos de la IA

El Reglamento no regula la tecnología en abstracto, sino la finalidad con la que se usa. Un mismo modelo puede ser inocuo o de alto riesgo según la decisión que tome. Las categorías son cuatro:

• Riesgo inaceptable: sistemas prohibidos, como los que manipulan la conducta sin consentimiento.
• Alto riesgo: IA que decide sobre derechos, como el scoring para conceder financiación.
• Riesgo limitado: chatbots y contenido generado, sujetos a obligaciones de transparencia.
• Riesgo mínimo: usos sin impacto legal, como filtros o recomendaciones básicas.

Esta es la correspondencia habitual en un e-commerce:

Definir las obligaciones específicas de tu tienda online según el nivel de riesgo

Con el riesgo clasificado, las obligaciones dejan de ser genéricas. Para la mayoría de tiendas, que actúan como responsables del despliegue, el paquete básico es:

• Evaluar y documentar el nivel de riesgo de cada sistema.
• Informar al usuario cuando interactúa con un sistema automatizado.
• Mantener supervisión humana en las decisiones que afecten al cliente.
• Registrar las incidencias graves y comunicarlas a las autoridades.
• Conservar la documentación técnica del funcionamiento del sistema.
• Revisar los contratos con proveedores y exigirles la declaración de conformidad con el AI Act.

Si un chatbot puede rechazar una devolución, esa decisión necesita revisión humana. Y si incorporas un sistema de alto riesgo, como el scoring de solvencia, se añaden la gestión de riesgos, la calidad de los datos y el seguimiento posterior a la comercialización.

Obligaciones legales de los e-commerces según la Ley IA

Establecer un sistema de gobernanza de datos

La IA de una tienda se alimenta de datos de clientes, así que el AI Act y el RGPD se aplican a la vez y desde enfoques distintos. El RGPD regula el tratamiento de datos personales y protege derechos como el acceso, la rectificación o la oposición. El AI Act regula el sistema en sí: lo clasifica por riesgo y exige garantías técnicas. Un recomendador debe cumplir el primero por usar datos personales y el segundo por influir en decisiones comerciales.

En la práctica, la gobernanza de datos de un e-commerce se concreta en:

• Detallar en la política de privacidad qué datos recoge cada algoritmo y con qué finalidad.
• Vincular el rastreo avanzado de comportamiento al consentimiento de cookies analíticas y de personalización.
• Excluir los datos sensibles de cualquier lógica de precios o segmentación.
• Definir quién es responsable de cada sistema y quién autoriza cambios.
• Controlar la calidad, el origen y la trazabilidad de los datos que entrenan o alimentan los modelos.

Crear documentación técnica y registros

Cumplir sin poder demostrarlo no sirve ante una inspección. La documentación mínima que conviene mantener es:

• Inventario de sistemas de IA, con proveedor, versión y finalidad.
• Ficha de clasificación de riesgo de cada sistema y su justificación.
• Documentación técnica e instrucciones de uso facilitadas por el proveedor.
• Registro de incidencias, reclamaciones y decisiones revisadas por una persona.
• Metadatos y marcas que identifican el contenido generado con IA.
• Declaraciones de conformidad y contratos de los proveedores de tecnología.

Cada registro debe indicar su fecha y su responsable. Un cambio de versión del proveedor puede alterar el comportamiento del sistema, y esa trazabilidad es lo que permite explicar qué se decidió y cuándo.

Garantizar la transparencia y supervisión humana

Es el bloque donde se concentra el cumplimiento de la mayoría de tiendas. Se traduce en obligaciones muy concretas según la herramienta.

En chatbots y asistentes virtuales:

• El primer mensaje debe identificar al sistema, del tipo «Hola, soy el asistente virtual de la tienda».
• El aviso ha de ser visible de inmediato; no vale esconderlo en los términos y condiciones.
• Debe ofrecerse un canal para hablar con una persona.

En contenido generado con IA:

• Etiquetar las imágenes y los vídeos sintéticos, con marca de agua o un texto visible en la ficha.
• Conservar en los archivos exportados los metadatos estándar que identifican el origen sintético.
• Advertir al inicio de la reproducción cuando se use voz clonada o audio sintético.

En recomendaciones y decisiones automatizadas:

• Explicar cómo se personalizan las recomendaciones de producto.
• Informar cuando una decisión automatizada afecte a los derechos del cliente, como aceptar o rechazar un pago.
• Permitir la intervención humana y ofrecer una vía sencilla de reclamación o revisión.

Un motor de recomendación no puede manipular de forma encubierta ni discriminar. Y si la tienda usa IA para fijar el precio mostrado, debe advertirlo.

Alfabetización en IA de los empleados

El Reglamento exige que las personas que operan estos sistemas tengan formación suficiente para entenderlos, y esta obligación ya es aplicable. En un e-commerce afecta sobre todo a quienes generan contenido y atienden al cliente.

• Redactores y diseñadores: cuándo y cómo etiquetar los recursos generados con IA.
• Equipo de marketing: qué datos puede usar la segmentación y cuáles quedan excluidos.
• Atención al cliente: cómo asumir una conversación derivada del chatbot y cómo revisar una decisión automatizada.
• Perfiles técnicos: límites de las herramientas contratadas y señales de un funcionamiento anómalo.

La formación debe registrarse, con fecha, contenido y asistentes: es la evidencia de que la obligación se ha cumplido.

Evaluar la ciberseguridad y precisión

El Reglamento pide que los sistemas sean robustos, precisos y seguros durante toda su vida útil. Para una tienda online eso implica:

• Comprobar periódicamente que los resultados siguen siendo correctos y no se han degradado.
• Revisar posibles sesgos por edad, género u origen en recomendaciones, precios y scoring.
• Proteger el acceso a los modelos, a las claves de API y a los datos que los alimentan.
• Vigilar la manipulación de entradas y el envenenamiento de datos en sistemas expuestos al público.
• Definir un procedimiento de respuesta y comunicación ante incidentes graves.

Conviene fijar umbrales de error aceptables y quién los revisa. Un recomendador que empieza a proponer productos descatalogados es un fallo comercial; un scoring que se desvía es un problema de cumplimiento.

Obtener la conformidad y marcado CE

El marcado CE solo se aplica a los sistemas de alto riesgo, y corresponde al proveedor. Si desarrollas IA propia o comercializas un sistema bajo tu marca, asumes ese papel y con él la evaluación de conformidad, la declaración UE de conformidad, el marcado CE y el registro en la base de datos europea.

Si eres responsable del despliegue, que es lo habitual, tu trabajo es distinto:

• Exigir a cada proveedor su declaración de conformidad y su documentación técnica.
• Comprobar que el marcado CE existe cuando el sistema es de alto riesgo.
• Usar el sistema conforme a las instrucciones, sin alterar su finalidad prevista.
• Vigilar que una modificación sustancial no te convierta en proveedor sin darte cuenta.

Personalizar demasiado una herramienta o presentarla como propia puede cambiar tu rol y, con él, todas tus obligaciones. Merece la pena revisarlo antes de lanzar.

En resumen, aplicar la Ley de IA en el comercio electrónico consiste en inventariar lo que ya usas, clasificar su riesgo, informar con claridad al cliente y guardar las pruebas de todo ello. Bien planteado no frena el negocio: reduce la exposición sancionadora y refuerza la confianza en la tienda.

La solución de Atico34 AI Governance

Atico34 AI Governance es un software de gobernanza de IA que permite centralizar todos los sistemas de inteligencia artificial utilizados en la empresa, identificar qué personas o departamentos los emplean y registrar la finalidad de cada uso.

A partir de esta información, la plataforma ayuda a detectar los riesgos asociados a cada herramienta y a conocer las medidas de cumplimiento que deben aplicarse en cada caso. Además, adapta los itinerarios formativos a las soluciones de IA que utiliza realmente cada empleado o área de la organización.