Cómo cumplir la Ley de IA en atención al cliente

La Ley de IA en atención al cliente no trata igual al chatbot, al sistema que decide qué tickets se atienden antes, a las respuestas sugeridas al agente o a los scorecards que puntúan al equipo: lo que clasifica cada sistema es su finalidad y su uso, no la herramienta, como recuerda la guía oficial de la Comisión Europea. Aquí tienes diez pasos para cumplirla, del inventario de la operativa al protocolo de incidentes, con las prácticas que prohíbe la normativa de inteligencia artificial como filtro previo a cualquier clasificación.

Plan de acción para adaptar el departamento de atención al cliente a la Ley de IA

Los diez pasos recorren el departamento de punta a punta: localizar toda la IA del servicio, descartar lo prohibido, separar la que solo tramita conversaciones de la que evalúa a personas, y dejar cada obligación con su responsable, su prueba y su protocolo de incidentes.

El método general está en la guía sobre cómo cumplir el Reglamento de Inteligencia Artificial.

Paso 1. Localiza toda la IA del departamento en cuatro capas

Un mismo contacto puede pasar por IA contratada por el departamento, embebida en el CRM, el helpdesk y la centralita, la de terceros que atienden por ti, cuando el contact center externalizado o el proveedor de soporte usan sus propias herramientas con tus datos y ante tus clientes, y shadow AI que los agentes usan sin que nadie la haya aprobado. Las cuatro entran en el inventario.

Paso 2. Abre una ficha por cada sistema

Cada sistema localizado entra en una ficha de ocho campos; los tres últimos se completan en los pasos siguientes:

• Herramienta, proveedor, modelo y versión.
• Finalidad y descripción del caso de uso.
• Departamento, propietario y responsable de aprobación.
• Datos recibidos, consultados o generados.
• Usuarios y personas afectadas, y si influye en una decisión sobre alguna de ellas.
• Contratos, integraciones y accesos autorizados (se completa en el paso 6).
• Papel de la empresa, riesgo y obligaciones aplicables (se completa en los pasos 5 y 6).
• Controles, evidencias y fecha de revisión (se completa en los pasos 7 y 9).

En este vídeo tienes el proceso de inventario y evaluación resuelto en menos de un minuto:

Paso 3. Recorre los cinco bloques del departamento

Con la ficha abierta, baja al detalle bloque a bloque. Cada instrucción indica dónde mirar y qué anotar.

Operativa y canales de comunicación

• Abre la configuración del helpdesk y de la centralita (Zendesk, Freshdesk, Salesforce Service Cloud). Si no tienes helpdesk, el equivalente es la bandeja compartida de correo y el panel de WhatsApp Business. Anota: funciones de IA activas (triaje, enrutamiento, resúmenes, copilot), versión y captura fechada.
• Prueba el chatbot y el voicebot de primera línea (Intercom, Tidio). Anota: qué consultas cierran solos, si avisan de que son IA y cómo escalan a un agente.
• Revisa la previsión de volumen y la planificación de turnos. Anota: qué datos usa el modelo y quién valida el cuadrante final.

Resolución y soporte

• Abre el módulo de agent assist o, si trabajas sin helpdesk, el asistente que redacta respuestas en el gestor de correo. Anota: si solo sugiere o llega a enviar, y quién decide antes de responder al cliente.
• Identifica los agentes autónomos que resuelven casos de extremo a extremo. Anota: tipos de caso que cubren, límite de actuación y punto de escalado.
• Revisa las alertas proactivas y la traducción automática. Anota: qué se envía sin intervención humana y con qué plantillas.
• Pregunta a los agentes qué asistentes usan por su cuenta. Anota: qué herramienta y qué datos de clientes pegan en ella.

Medición y análisis

• Entra en el módulo de analítica del helpdesk y en la plataforma de escucha contratada (en empresas pequeñas suele reducirse al panel de estadísticas del CRM). Anota: si analiza sentimiento, sobre quién (cliente o agente) y con qué técnica: solo texto o también voz y rasgos biométricos.
• Descarga un informe real de conversación analizada. Anota: qué puntúa, qué explicación lo acompaña y quién lo recibe.
• Revisa el modelo de predicción de bajas (churn). Anota: qué variables usa y qué acción dispara automáticamente.

Gestión del equipo

• Abre el módulo de quality y sus scorecards. Si no tienes módulo de calidad, el equivalente es la hoja donde se puntúan las llamadas escuchadas cada mes. Anota: qué métricas puntúan a cada agente, con qué peso y quién las consulta.
• Descarga el informe de permisos. Anota: qué perfiles ven la puntuación individual y quién puede modificarla.
• Saca cinco evaluaciones recientes. Anota: si alguna tuvo consecuencia laboral y quién firmó esa decisión.
• Comprueba si hay métricas de “estado emocional” o “tono anímico”. Anota: nombre exacto del módulo y respuesta escrita del proveedor sobre qué infiere y a partir de qué datos.

Mejora y fidelización

• Revisa la generación de la base de conocimiento. Anota: quién revisa y firma los artículos antes de publicarlos.
• Comprueba la segmentación y la personalización de ofertas. Anota: qué fuentes de datos alimentan al modelo, sobre todo las externas al historial del cliente.
• Mira el análisis masivo de reseñas. Anota: si sus conclusiones llegan a la priorización de casos.

El punto de partida cambia con el tamaño y con el sector: según el INE, la IA está presente en el 13,4% de las empresas de menos de 10 empleados y en el 21,1% de las de 10 o más, con los servicios a la cabeza (25,7%).

Paso 4. Descarta los usos prohibidos de IA en atención al cliente

Antes de clasificar nada, pasa cada ficha por el veto: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y pueden costar hasta 35 millones de euros o el 7% del volumen de negocio mundial, según el artículo 99. La Comisión publicó directrices sobre las prácticas prohibidas y la AESIA mantiene un resumen en español. Tres afectan al departamento:

• Inferir emociones de los agentes. Deducir emociones o intenciones de una persona en su puesto a partir de datos biométricos, salvo por motivos médicos o de seguridad. Ejemplo: un módulo que estima el estado de ánimo del agente por su voz y lo lleva al scorecard. No es el análisis de sentimiento sobre clientes, que sigue permitido: si infiere emociones desde datos biométricos hay que informar a las personas expuestas (artículo 50.3) y cumplir el RGPD, pero la prohibición solo opera en el trabajo y en centros educativos. Control interno: pide la descripción técnica al proveedor y desactiva cualquier inferencia biométrica de emociones sobre el equipo.
• Manipular con técnicas subliminales o engañosas. Alterar sustancialmente el comportamiento reduciendo de forma apreciable la capacidad de decidir con información y causando o pudiendo causar un perjuicio importante. Ejemplo: un flujo de retención que explota el cansancio del cliente para impedirle cancelar. No es la persuasión comercial ni una contraoferta clara. Control interno: revisión legal de los flujos automatizados de retención y venta, incluidos los que exploten edad, discapacidad o situación económica.
• Puntuar socialmente a los clientes. Clasificar a personas por su conducta social o por rasgos personales cuando eso provoque un trato perjudicial en un contexto distinto de aquel en que se obtuvieron los datos, o desproporcionado. Ejemplo: degradar la atención de un cliente por sus opiniones en redes sociales. No es segmentar por historial de incidencias, siempre que sea lícito y proporcionado. Control interno: verifica qué fuentes alimentan la priorización, para qué y con qué consecuencias.

Si un sistema encaja en alguna de estas prácticas, no se clasifica: se desactiva y se documenta la retirada con fecha y responsable.

Paso 5. Clasifica el riesgo de cada sistema

Superado el veto, pasa las fichas del inventario por el artículo 6 del Reglamento con tres preguntas:

• ¿Para qué está previsto el sistema? La finalidad manda sobre el nombre comercial del módulo.
• ¿Qué papel tiene en la decisión? Tramitar tickets, generar respuestas o resumir conversaciones no entra por sí solo en el Anexo III, la lista de usos de alto riesgo del Reglamento. Un sistema destinado a monitorizar o evaluar el trabajo de una persona, sí puede entrar.
• ¿A quién afecta y en qué contexto? Puntuar a un agente para medir su rendimiento apunta al Anexo III. Priorizar o segmentar clientes no es alto riesgo por defecto, pero pide un análisis extra si condiciona el acceso a un servicio esencial o tiene efectos jurídicos sobre esa persona.

Alto riesgo: monitorización y evaluación de agentes

El Anexo III incluye los sistemas destinados a monitorizar y evaluar el rendimiento y el comportamiento de personas en el trabajo. En este departamento:

• Qué entra: scorecards automáticos, monitorización de calidad por IA, evaluación del desempeño de agentes y el análisis de conversaciones cuando puntúa al agente que las atendió. Las plataformas de helpdesk los venden como función estándar de su módulo de calidad; ser estándar en el mercado no cambia la clasificación.
• Dónde está el riesgo: este riesgo no depende del tamaño, sino de si existen métricas individuales: en una empresa de cinco personas puede no haber nada que clasificar, y en cuanto se activa la primera puntuación por agente aparece el mismo riesgo que en un contact center. Aquí la IA ya no mide tickets, mide a tu equipo, y esa nota puede acabar decidiendo un turno, un incentivo o una salida. Además, la misma herramienta que analiza conversaciones tiene dos usos muy distintos: si mide cómo se sintió el cliente, es analítica de negocio; si con esos mismos datos puntúa al agente que atendió la llamada, está evaluando a un trabajador y entra en otro terreno legal, el del empleo.
• Qué verificar antes de confirmar: el artículo 6.3 deja fuera del alto riesgo determinados sistemas del Anexo III cuando no plantean un riesgo importante, pero nunca los que elaboran perfiles. Un scorecard individual puede serlo si trata datos automatizados para evaluar el rendimiento u otros rasgos personales. Documenta cómo funciona en realidad y pide al proveedor su evaluación si sostiene que queda fuera.
• Cuándo es exigible: el 2 de diciembre de 2027, según el calendario publicado por la Comisión tras el Ómnibus de IA. Hasta entonces ya aplican el RGPD y las reglas laborales: el artículo 64 del Estatuto de los Trabajadores reconoce el derecho de la representación legal de los trabajadores (RLT) a conocer los algoritmos que afectan a decisiones laborales.

Riesgo limitado: chatbots y contenido generado

Es el nivel de los sistemas que interactúan directamente con personas o generan contenido hacia ellas:

• Qué entra: chatbots y voicebots de primera línea con clientes y el contenido que la IA genera hacia ellos: respuestas del agent assist, plantillas y comunicaciones redactadas por agentes autónomos.
• Dónde está el riesgo: el agent assist propone y una persona decide antes de enviar, pero el agente autónomo responde y cierra el caso él solo: si se equivoca en una devolución, una garantía o una baja, el cliente ya ha recibido esa respuesta como si fuera de la empresa.
• Qué verificar antes de confirmar: que el aviso de IA aparece de forma clara al inicio del chat o de la llamada y no se ha desactivado. Como responsable del despliegue solo tienes obligación de divulgar en tres supuestos: reconocimiento de emociones o categorización biométrica, deepfakes y ciertos textos de interés público; la guía oficial de la Comisión sobre transparencia los delimita. Etiquetar cada respuesta comercial no es obligatorio.
• Cuándo es exigible: desde el 2 de agosto de 2026, el artículo 50 obliga al proveedor a diseñar el bot para que el cliente sepa que habla con una IA, salvo que resulte evidente, y a marcar técnicamente el contenido sintético que genera.

Riesgo mínimo: el resto de la operativa

Es el nivel del resto de la operativa del departamento:

• Qué entra: triaje, resúmenes en el CRM, traducción, previsión de volumen, base de conocimiento, segmentación de clientes y predicción de bajas. No son de alto riesgo por defecto, aunque siguen sujetos a protección de datos, confidencialidad, consumo y alfabetización en IA.
• Dónde está el riesgo: el triaje clasifica solo los tickets que entran y decide en qué orden se atienden: a un cliente se le responde en minutos y a otro le toca esperar, sin que nadie revise ese criterio. En mejora y fidelización, generar artículos de ayuda o agrupar clientes por lo que compran no decide nada sobre nadie: la línea se cruza cuando el modelo se alimenta de lo que el cliente hace fuera de su relación contigo, como sus publicaciones en redes, y eso empeora el trato que recibe. Ahí ya no es marketing: es la puntuación social que prohíbe el Reglamento.
• Qué verificar antes de confirmar: los dos motivos por los que estos sistemas se quedan en el inventario: que el triaje no condicione el acceso a un servicio esencial, porque cambiaría el análisis, y que una actualización no les añada funciones que evalúen a los agentes.
• Cuándo es exigible: no hay fecha nueva que esperar: el RGPD, la confidencialidad y la normativa de consumo ya están en vigor, y la alfabetización en IA es exigible desde el 2 de febrero de 2025.

Paso 6. Exige la documentación a tus proveedores

Monta un dossier por proveedor, empezando por los sistemas que la ficha marcó como decisorios. La guía de la Comisión citada al inicio separa qué toca al proveedor y qué a la empresa que usa el sistema:

• Chatbot y voicebot. Pide: instrucciones de uso, finalidad prevista y cómo implementa el aviso del artículo 50. Después comprueba en tu configuración que ese aviso no ha quedado oculto ni desactivado.
• Módulo de calidad y scorecards. Pide: la clasificación de riesgo y su justificación. Si es de alto riesgo, la declaración de conformidad y la información del artículo 13 (capacidades, limitaciones, precisión y medidas de supervisión). Si invoca la excepción del artículo 6.3, su evaluación documentada.
• CRM y helpdesk. Pide: qué funciones con IA trae tu versión, cuáles se activan solas en las actualizaciones y con cuánta antelación avisan de los cambios.
• Todos, incluido el contact center externalizado. Pide: el contrato de encargado si tratan datos por cuenta de tu empresa, y comprueba dónde se procesan las conversaciones, qué subencargados o modelos de terceros intervienen y qué medidas de seguridad aplican. Regula por contrato el uso de datos de clientes para entrenamiento y el acceso a los registros: no son fórmulas de la Ley de IA, sino controles que conviene negociar.

Si tu empresa es pequeña y contrata en condiciones estándar, sin margen para negociar cláusulas, guarda al menos la documentación pública del proveedor (instrucciones, ficha del producto y política de datos) y la respuesta por escrito a tus preguntas: ese es tu expediente.

Un aviso: según el artículo 25, tu empresa asume obligaciones de proveedor si pone su marca en un sistema de alto riesgo ya comercializado, lo modifica sustancialmente o cambia su finalidad hasta convertirlo en alto riesgo. Personalizarlo de forma ordinaria no produce ese efecto; documenta los cambios y consulta con legal antes de una integración profunda.

Paso 7. Asigna una regla de supervisión por sistema

Tu empresa no desarrolla el chatbot, pero responde del servicio que presta ante el cliente, la normativa de consumo y la de protección de datos. El caso de referencia: en el asunto Moffatt contra Air Canada, la aerolínea fue condenada a indemnizar al cliente al que su chatbot informó mal sobre una tarifa. Una regla por sistema:

• Chatbot y voicebot: aviso de IA en el primer mensaje o la locución inicial, verificado en tu implantación. Prueba: captura de la conversación con el aviso visible.
• Contenido generado hacia el cliente: el marcado técnico es del proveedor; tu control es revisar plantillas y respuestas antes de publicarlas, sobre todo su exactitud. Responsable: calidad. Prueba: verificación periódica.
• Escalado: mantén visible la vía para hablar con una persona cuando el caso afecte a derechos del cliente o el bot no pueda resolverlo. Es una salvaguarda recomendable, no una obligación literal del artículo 50.
• Supervisor de turno: con acceso al panel del bot, criterios de intervención definidos, autoridad para pausarlo y registro de cada intervención. Aprobar en bloque lo que la IA sugiere no es supervisión. En una empresa pequeña puede ser la misma persona que atiende: lo que no puede faltar es que esté designada y sepa cuándo parar el sistema.
• Scorecards: ninguna consecuencia laboral sale de una puntuación automática sin que una persona competente revise el caso, pueda apartarse de la nota y documente la decisión.
• Antes de activar la monitorización: si es un sistema de alto riesgo en el lugar de trabajo, informa antes a las personas afectadas y a sus representantes (artículo 26.7), explicando qué se mide y para qué. Prueba: escrito fechado con acuse.

Paso 8. Forma a tu equipo: la alfabetización en IA del artículo 4

Organiza sesiones cortas por perfil: esta obligación ya está en vigor. El artículo 4 obliga a que quien usa estos sistemas sepa lo que hace, con formación ajustada a su puesto, su experiencia y a quién afecta el sistema; no exige que cada persona alcance un nivel concreto, como aclara la página de la Comisión sobre alfabetización en IA. Contenido por perfil:

• Agentes: límites del bot, cuándo escalar, cómo documentar su intervención y qué datos de clientes no deben introducirse en herramientas no aprobadas.
• Supervisores: lectura del panel, errores previsibles del bot, criterios para pausarlo y qué incidentes comunicar.
• Calidad: qué mide realmente el scorecard, sus limitaciones y cómo revisar una puntuación antes de aplicarla.

En una empresa pequeña estos tres perfiles suelen ser la misma persona: una sola sesión que cubra los tres contenidos cumple igual. Anota de cada sesión el contenido, la fecha, los asistentes y los sistemas cubiertos: no lo exige literalmente el artículo 4, pero es lo que te permitirá demostrar que cumpliste. Tienes ejemplos en el repositorio de prácticas de la Comisión y en la guía de formación en inteligencia artificial para trabajadores.

Paso 9. Mantén el expediente vivo y revísalo

• Expediente vivo: fichas del inventario con su clasificación fechada, dossier de cada proveedor, evaluaciones de agentes firmadas, comunicaciones a la RLT y formación registrada. Si no tienes sistemas de alto riesgo, con las fichas, el dossier y la formación registrada tienes el expediente completo: los registros y la evaluación de impacto llegan con ellos.
• Registros del sistema: conserva al menos seis meses los que generan automáticamente los sistemas de alto riesgo bajo tu control, salvo que otra norma marque otro plazo (artículo 26.6).
• Evaluación de impacto: decide caso por caso si la monitorización de agentes exige una EIPD (evaluación de impacto en protección de datos) del artículo 35 del RGPD. Será lo habitual cuando el seguimiento sea sistemático y tenga efectos en su situación laboral; puedes apoyarte en la documentación del proveedor.
• Política interna de uso de IA: qué herramientas están aprobadas, qué datos de clientes no salen del sistema y por dónde se declara una herramienta nueva sin sanción.
• Control de desviaciones: revisa periódicamente respuestas del bot, reclamaciones asociadas y resultados del scorecard por perfil de agente; suspende el sistema si aparece un patrón injustificado.
• Cuándo revisar: por calendario y, además, ante una nueva función del CRM, cambio de versión o de finalidad, incidente con impacto en clientes o agentes y reclamación recibida.

Paso 10. Si algo sale mal: retirada, aviso y notificación

El orden del incidente importa tanto como el incidente:

• Contén: corrige la respuesta, valora pausar el sistema y atiende la reclamación por la vía de consumo o contractual que corresponda, documentando la actuación con fecha y responsable.
• Comunica al proveedor según lo pactado en el contrato, adjuntando el registro del incidente.
• Notifica a la autoridad solo cuando toca: ante riesgo o incidente grave en un sistema de alto riesgo, como prevé el artículo 26.5. Un error del chatbot no activa por sí solo esa comunicación. En España ese papel corresponderá a la AESIA, designada como organismo central en la ley española de gobernanza de la IA, aún en tramitación.

Conclusión

Cumplir la Ley de IA en atención al cliente exige saber qué sistemas usas, para qué, qué obligaciones activan y cómo demostrarlo. El chatbot visible pide transparencia y exactitud, y ese es el foco mientras no midas a nadie; en cuanto aparecen puntuaciones por agente, el centro de gravedad se desplaza al régimen de alto riesgo. La prioridad es una supervisión humana real: personas que entienden el sistema, pueden apartarse de su resultado y tienen autoridad para pararlo. El inventario, el filtro de prohibidos, la clasificación razonada y el dossier de cada proveedor son lo que sostiene ese control ante una inspección o una reclamación.