Si tu empresa usa un chatbot o agente de IA con datos de clientes, esta norma de la SPDP ya te aplica
La semana pasada la noticia fue que los asistentes de IA ya actúan solos: agentes que supervisan canales y completan tareas, asistentes que hacen llamadas y chatbots que atienden a clientes a cualquier hora. Lo que muchas empresas ecuatorianas no saben es que, desde este año, usar esas herramientas con datos de personas tiene reglas propias en el país: la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, expedida por la Superintendencia de Protección de Datos Personales (SPDP) mediante la resolución SPDP-SPD-2026-0009-R, firmada en Quito el 12 de febrero de 2026, según Lexis.
A quién aplica
La norma alcanza a quienes desarrollan, implementan, despliegan o distribuyen sistemas de IA que tratan datos personales de titulares ecuatorianos, sin importar dónde esté el proveedor o la infraestructura, según NMS Abogados y Lexis. Coronel & Pérez lo explica con cuatro figuras: el desarrollador que crea el sistema, el implementador que lo integra en sus procesos internos, el desplegador que presta un servicio mediante IA y el distribuidor que lo comercializa.
La consecuencia práctica: si tu empresa usa un chatbot, un agente de WhatsApp o una herramienta de IA que lee datos de clientes o colaboradores, es muy probable que la norma te alcance, aunque el software lo haya hecho otra empresa y funcione en servidores fuera del país.
Qué obliga a hacer
Según los análisis de Lexis, NMS y Coronel & Pérez, que coinciden en lo central, la norma exige:
- Informar al titular de forma clara y transparente que sus datos se tratan con IA.
- Evaluar el impacto y gestionar los riesgos del sistema antes y durante su uso.
- Medidas de seguridad administrativas, técnicas, físicas, organizativas y jurídicas, proporcionales a los datos que se tratan.
- Registrar esos tratamientos en el Registro de Actividades de Tratamiento (RAT) de la empresa.
- Auditar periódicamente el funcionamiento del sistema según su nivel de riesgo.
- Eliminar, bloquear o anonimizar los datos cuando se cumpla la finalidad, salvo excepciones legales.
Y garantiza a las personas el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas, además de sus derechos de información y oposición. La SPDP puede auditar sistemas de IA e imponer medidas correctivas o cautelares y sanciones conforme a la LOPDP. Las fuentes consultadas no mencionan un plazo de adecuación: la norma rige desde su publicación.
Qué significa para tu chatbot o agente de IA
Tomemos un caso común: un agente de WhatsApp que responde preguntas, agenda citas y toma los datos del cliente. Aplicada la norma, conviene revisar cinco cosas:
- Avísalo. El cliente debe saber que conversa con una IA y para qué se usan sus datos. Un mensaje inicial breve y un enlace a tu política de privacidad cumplen buena parte de esto.
- Una persona decide lo importante. Si el agente aprueba un crédito, rechaza una solicitud o fija un precio para un cliente, debe existir revisión humana y una vía para que el cliente la pida.
- Solo los datos necesarios. Si para agendar una cita basta el nombre y el teléfono, no pidas la cédula ni guardes la conversación completa para siempre.
- Anótalo en el RAT. Qué datos trata el agente, con qué finalidad, dónde se guardan, quién es el proveedor y cuánto tiempo se conservan.
- Pregunta a tu proveedor. Dónde se alojan los datos, si se usan para entrenar modelos, qué medidas de seguridad aplica y cómo se borran. Si no puede responder, es una señal de alerta.
Coronel & Pérez añade, para el caso de un chatbot de atención al cliente, obtener consentimiento informado cuando corresponda y facilitar el derecho de oposición. Como en cualquier tema legal, confirma la aplicación a tu caso con tu asesor o delegado de protección de datos.
Cómo lo abordamos en SimCodec
En SimCodec diseñamos los agentes de IA de voz, WhatsApp y Telegram de nuestros clientes con estas reglas desde el inicio: aviso de que se conversa con una IA, recolección mínima de datos, traspaso a una persona cuando la decisión lo requiere, registro de lo que hace el agente y datos alojados con medidas de seguridad claras. Así la automatización no se convierte en un problema de cumplimiento después.
Si ya usas un chatbot o estás por implementar uno y quieres revisarlo a la luz de esta norma, escríbenos o llama a nuestra asistente de IA Cyntia al +593 99 726 6838.
