Agentes de IA. ¿Qué riesgos legales asume su empresa al contratarlos o al comercializarlos?.
Este artículo trata de ordenar dos puntos de vista diferentes. ¿Qué asume usted si contrata un agente?, y ¿Qué asume si lo comercializa a terceros?.
1.¿Qué papel jurídico tiene?
Antes de hablar de obligaciones concretas hay que resolver quién es quién. El Reglamento (UE) 2024/1689 no impone lo mismo a todos los intervinientes, y en una implantación de agentes suele haber tres o cuatro empresas distintas, la que desarrolla el modelo, la que construye el agente sobre ese modelo, la que lo integra y la que lo explota con sus clientes.
Las dos posiciones que más se confunden y más se producen son estas:
Responsable del despliegue (deployer, el que usa la IA). Su empresa utiliza un agente desarrollado por un tercero, bajo su propia autoridad y con su marca de cara al cliente.
Proveedor. Su empresa desarrolla el agente, o lo comercializa bajo su nombre o marca, o modifica sustancialmente uno existente hasta el punto de cambiar su finalidad.
La distinción determina qué obligaciones le corresponden, qué documentación tiene que conservar y quién responde ante la autoridad. Y tiene una consecuencia directa una empresa que contrata un agente "llave en mano" y lo pone en el mercado con su propia marca puede acabar siendo proveedor, aunque no haya escrito una línea de código.
2. El cliente tiene que saber que está hablando con una máquina
Es la obligación más inmediata y la que más se incumple.
Las obligaciones de transparencia del artículo 50.1 del Reglamento son exigibles desde el 2 de agosto de 2026. Un sistema de IA destinado a interactuar directamente con personas físicas debe diseñarse de modo que esas personas sepan que están interactuando con un sistema de IA, salvo que resulte evidente para una persona razonablemente atenta.
En la práctica, esto excluye tres cosas que se ven a diario:
Voces sintéticas presentadas como si fueran una persona con nombre propio, sin aclaración.
Guiones que esquivan la pregunta directa del cliente ("¿eres una persona?").
Avisos enterrados en unas condiciones generales que nadie lee, en lugar de un aviso al inicio de la interacción.
El aviso debe ser verificable después: grabable, auditable y consistente en todas las campañas. Si mañana llega una reclamación, lo que va a pesar es si usted puede demostrar que el aviso se dio, no si figuraba en la documentación interna.
A esto se suma el marcado del contenido generado o manipulado por IA, obligación también impuesta por el Reglamento de IA.
3. Las prácticas que están directamente prohibidas
Un agente conversacional bien entrenado es persuasivo por diseño. Ese es justamente el problema.
El Reglamento prohíbe determinadas prácticas de IA, entre ellas las técnicas subliminales o deliberadamente manipuladoras que mermen sustancialmente la capacidad de decisión de una persona, y la explotación de vulnerabilidades derivadas de la edad, la discapacidad o una situación social o económica específica.
Trasladado a un agente de venta, esto puede afectar a decisiones de producto muy concretas, la presión temporal artificial, la insistencia tras una negativa, la detección de duda para intensificar el argumentario, o la adaptación del guion al perfil socioeconómico del interlocutor.
El régimen sancionador acompaña esa gravedad. Las prácticas prohibidas se sitúan en el tramo más alto, con multas de hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial, la cuantía que sea mayor. El incumplimiento de otras obligaciones, entre ellas las de transparencia, se sanciona con hasta 15 millones o el 3 %.
Ahora bien, si su empresa es una pyme o una startup, el Reglamento prevé un régimen de proporcionalidad conforme al cual, para estas empresas, se aplica la cuantía menor entre el importe fijo y el porcentaje del volumen de negocios.
4. Si el agente llama, entra el régimen de comunicaciones comerciales
Este es el foco de riesgo más alto y el peor entendido, porque no depende del Reglamento de IA sino de normativa española que ya existía.
Las llamadas comerciales no solicitadas exigen una habilitación válida: consentimiento u otra base admitida, gestión de las oposiciones, respeto a los sistemas de exclusión publicitaria y trazabilidad de todo ello.
Y hay un matiz que afecta de lleno a los agentes: cuando la llamada se realiza mediante sistemas automatizados sin intervención humana, el estándar de consentimiento es más exigente que en una llamada realizada por una persona.
Hay un listado de preguntas que siempre les paso a mis clientes y que conviene responder antes de lanzar la primera campaña con un agente, esto es muy importante porque nos ayuda a determinar el riesgo.
5. Protección de datos.
Si su proveedor trata datos personales únicamente siguiendo sus instrucciones, normalmente actuará como encargado del tratamiento.
Pero esa posición cambia en cuanto el proveedor decide algo por su cuenta. Si reutiliza las conversaciones para entrenar o mejorar su modelo, si define segmentos o campañas, o si persigue finalidades propias, puede pasar a ser responsable o corresponsable. Y eso altera el reparto de obligaciones, de información a los interesados y de responsabilidad frente a la autoridad.
Además, habría que revisar entre otros temas, la finalidad exacta para la que se pueden usar las conversaciones, los plazos de conservación, etc.
6. Si el agente vende, entra normativa de consumo
Cuando la interacción puede terminar en una contratación, el guion deja de ser una cuestión comercial y pasa a ser una cuestión jurídica.
El agente debe identificar al empresario y la finalidad comercial de la llamada desde el inicio, informar con claridad sobre el producto, el precio total y las condiciones, y dejar constancia suficiente de la aceptación del consumidor, entre otros temas.
7. Atención al cliente.
Prestar el servicio mediante un agente no libera a la empresa de sus obligaciones frente al consumidor.
Tres fuentes habituales de reclamación:
Ausencia de escalado a una persona. Un cliente atrapado en un bucle conversacional sin salida a un humano.
Barreras de accesibilidad. Sistemas de voz que no funcionan para personas con determinadas discapacidades.
Fallos de calidad con efecto contractual. El agente confirma un pedido que no existe, aplica un descuento que no procede o cancela un servicio por error.
Tened en cuenta que la empresa responde frente a su cliente. Si después puede repercutir contra el proveedor, y en qué medida, depende exclusivamente de lo que diga el contrato.
8. El contrato.
Casi todo lo anterior se ordena en un único documento. En nuestra experiencia, los contratos de estos servicios suelen ser buenos describiendo la funcionalidad y muy pobres asignando la responsabilidad, para empezar porque muchos proveedores las desconocen.
9. Si lo que usted hace es vender estos servicios a terceros
El análisis se invierte, y conviene tenerlo claro antes de firmar el primer cliente.
Si comercializa agentes bajo su marca, es probable que asuma posición de proveedor con las obligaciones que eso conlleva. Si además opera las campañas, decide guiones o gestiona las bases de datos, su exposición aumenta.
Cómo lo trabajamos
Este artículo es información jurídica general y no sustituye el análisis del caso concreto. Antes de contratar o de comercializar un agente de IA conviene revisar tres cosas: el flujo real de datos, los guiones, y el contrato de servicios.
Si está en esa situación y necesita asesoramiento legal al respecto no lo dude y contáctenos, en una sesión le podemos orientar.
