RGPD y protección de datos en Argentina: qué debe cumplir tu chatbot

Es común buscar "chatbot RGPD Argentina" —pero conviene aclarar algo primero: el RGPD (Reglamento General de Protección de Datos) es una norma de la Unión Europea. En Argentina, la protección de datos personales está regulada por la Ley N.° 25.326 (Ley de Protección de Datos Personales), con la AAIP (Agencia de Acceso a la Información Pública) como autoridad de control.

No son el mismo marco legal, aunque comparten varios principios. Y hay un dato relevante: Argentina fue uno de los pocos países fuera de la Unión Europea en obtener el estatus de "adecuación" ante la UE, lo que facilita las transferencias de datos entre ambos territorios. Esto importa si tu chatbot va a atender también a clientes o usuarios europeos.

Qué exige la Ley 25.326 a un chatbot empresarial

En términos prácticos, si tu chatbot recolecta datos personales (nombre, DNI, teléfono, email, datos de salud o financieros), tenés que:

• Contar con consentimiento previo, libre e informado del usuario para tratar sus datos.
• Informar con qué finalidad se van a usar esos datos, sin poder usarlos para algo distinto de lo informado.
• Garantizar el derecho de acceso, rectificación y supresión (hábeas data).
• Si corresponde, registrar la base de datos ante la AAIP.

Por qué esto importa más en un chatbot con IA

Un chatbot con inteligencia artificial generativa introduce una variable extra: si el modelo de IA "recuerda" o usa las conversaciones de un cliente para entrenar el sistema, ese dato podría terminar filtrándose, indirectamente, en la respuesta a otro usuario. Es uno de los riesgos que mencionamos en chatbot con IA para empresas: cómo funciona y qué evaluar.

Por eso, al evaluar un proveedor de chatbots conviene preguntar puntualmente:

• ¿Los datos de mis conversaciones se usan para entrenar el modelo de IA del proveedor?
• ¿Dónde se almacenan las conversaciones y por cuánto tiempo?
• ¿En qué momento del flujo se piden datos personales?

Buenas prácticas para que tu chatbot cumpla

1. Minimizar lo que la IA pide. La inteligencia artificial debería poder responder consultas generales sin necesitar datos personales.
2. Derivar antes de pedir datos sensibles. Los datos personales se piden recién cuando la conversación se deriva a un agente humano, nunca antes.
3. Informar la política de privacidad de forma visible dentro del propio chat.
4. No reutilizar los datos para fines distintos a los informados, por ejemplo marketing no consentido.

Cómo lo resolvemos en Suárez Consultores

Diseñamos nuestros chatbots con arquitectura RAG —la IA responde con una base de conocimiento propia del cliente, sin depender de un modelo genérico entrenado con datos de terceros— y con una regla fija: los datos personales del usuario recién se solicitan cuando la conversación se deriva a un agente humano, nunca por la IA. Es el mismo principio que describimos en chatbot privado vs. chatbot genérico.

Preguntas frecuentes

¿Mi empresa necesita cumplir con el RGPD si opera solo en Argentina?
No directamente: el RGPD aplica a residentes de la Unión Europea. Lo que te aplica en Argentina es la Ley 25.326. Si además atendés usuarios europeos, ahí sí puede ser relevante el RGPD.

¿Está cambiando la normativa argentina de protección de datos?
Sí, hay un proceso de modernización en marcha desde hace varios años, con anteproyectos que buscan acercar la ley argentina a estándares más actuales como los del RGPD. Conviene elegir un proveedor que ya diseñe pensando en ese estándar, no solo en el mínimo legal vigente.

¿Un chatbot en WhatsApp tiene reglas distintas?
Las reglas de protección de datos son las mismas, pero se suman las políticas propias de Meta para WhatsApp Business API, que vemos en detalle en chatbot para WhatsApp Business API en Argentina.