Automatiza tu negocio con IA, sin necesidad de ser experto

Bot de WhatsApp: ¿es legal usarlo con clientes en 2026?

Sí, usar un bot de WhatsApp con clientes es legal en España. Sin embargo, hay cuatro conjuntos de reglas distintos que se aplican a la vez, y uno de ellos entró en vigor hace dos semanas. La buena noticia: solo dos te afectan de verdad si tienes un negocio pequeño. Vamos a separarlos, porque hay bastante ruido y algún susto innecesario circulando.

Resumen en cuatro líneas
Reglas de Meta: te afectan siempre. Es lo que más gente incumple sin saberlo.
Reglamento europeo de IA: te afecta desde el 2 de agosto de 2026 si tu bot usa IA.
RGPD: te afecta siempre.
Ley de Atención a la Clientela: casi con seguridad, no te afecta.

Las cuatro normas, y a quién obliga cada una

Norma	¿Te afecta?	Qué te exige
Condiciones de Meta	Siempre	Usar la API oficial, plantillas aprobadas y consentimiento para marketing
Reglamento de IA (art. 50)	Si usas IA, desde el 2-8-2026	Avisar de que el cliente habla con una IA
RGPD	Siempre	Informar, tener base jurídica y firmar contrato con el proveedor
Ley 10/2025 de Atención a la Clientela	Solo grandes empresas y sectores básicos	Atención humana bajo demanda, plazos y auditorías

1. Las reglas de Meta: lo que más se incumple

Antes que cualquier ley, están las condiciones de uso de la plataforma. Y aquí es donde la mayoría de negocios se mete en problemas sin enterarse.

La regla principal: para automatizar respuestas necesitas la API oficial de WhatsApp Business a través de un proveedor autorizado. Las aplicaciones y extensiones que automatizan simulando que eres tú desde WhatsApp Web o desde tu móvil operan fuera de las condiciones de uso. Meta detecta ese comportamiento y bloquea el número, primero de forma temporal y después de forma permanente.

No es una infracción legal, es un incumplimiento contractual. Pero la consecuencia práctica es peor que muchas multas: pierdes el número por el que te escriben todos tus clientes.

Las otras reglas de Meta que debes cumplir:

• Plantillas aprobadas para escribir a alguien que no te ha escrito en las últimas 24 horas.
• Categoría correcta en cada plantilla. Colar promoción como utilidad suele acabar en rechazo o reclasificación.
• Consentimiento previo antes de enviar mensajes de marketing.
• Política de comercio si vendes con catálogo.

2. El Reglamento de IA: avisar de que es un bot

Esta es la novedad. Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 del Reglamento Europeo de Inteligencia Artificial.

Qué exige exactamente. Los sistemas de IA destinados a interactuar directamente con personas deben diseñarse de forma que el usuario sepa que está tratando con una IA, salvo que resulte obvio para una persona razonablemente informada y observadora.

Y esto te afecta a ti. El reglamento distingue entre proveedores, que crean el sistema, y responsables del despliegue, que lo usan bajo su propia autoridad. Si has contratado un bot y lo has puesto a atender a tus clientes, eres responsable del despliegue: el deber de informar al usuario es tuyo, no de la plataforma que te lo vendió.

Qué está en juego. Según las directrices de la Comisión Europea sobre el artículo 50, el incumplimiento puede sancionarse con multas de hasta 15.000.000 € o, tratándose de empresas, hasta el 3 % del volumen de negocio anual. En España supervisa la AESIA.

Un matiz de calendario. El llamado Reglamento Ómnibus aplazó los requisitos de los sistemas de alto riesgo, pero las obligaciones de transparencia mantuvieron sus fechas. Es decir, esto está vigente.

Cómo cumplirlo sin estropear la conversación. Basta una línea en el primer mensaje:

«Hola, soy el asistente virtual de [negocio]. Puedo darte horarios, precios y citas al momento. Si prefieres hablar con una persona, escribe «persona».»

No hace falta repetirlo en cada mensaje. Y si tu bot es de menú, sin IA generativa, avisarlo igualmente es buena práctica aunque el reglamento se dirija a los sistemas de inteligencia artificial.

3. RGPD: qué debes tener resuelto

Un bot procesa datos personales: teléfonos, nombres, consultas. Cinco puntos:

• Informa en el primer contacto de quién trata los datos y para qué, con enlace a tu política de privacidad.
• Ten clara tu base jurídica. Para atender una consulta que el cliente inicia, la relación precontractual o el interés legítimo suelen bastar. Para publicidad, necesitas consentimiento.
• Firma el contrato de encargado del tratamiento con tu proveedor y comprueba dónde se alojan las conversaciones.
• Pide lo mínimo. Para dar una cita necesitas nombre, teléfono y servicio. No el motivo clínico ni el DNI.
• Define plazos de conservación. Las conversaciones no se guardan para siempre.

Cuidado especial con datos de salud, que el RGPD considera categoría especial. Un bot de una clínica no debe recoger síntomas ni diagnósticos.

4. La Ley de Atención a la Clientela: probablemente no te afecta

Aquí está el ruido que conviene despejar. Habrás leído que la nueva ley española prohíbe atender solo con bots. Es cierto, pero casi seguro que no se aplica a tu negocio.

Qué dice la Ley 10/2025. Prohíbe basar el servicio de atención exclusivamente en contestadores automáticos o inteligencia artificial: el cliente debe poder hablar con una persona si lo solicita. Además, fija que el 95 % de las llamadas con petición de atención personalizada se atiendan de media en menos de 3 minutos, reduce los plazos de resolución de reclamaciones a 15 días hábiles, y obliga a auditorías externas periódicas. Los chatbots se pueden usar, pero sin impedir ni dilatar el acceso a un agente cuando el cliente lo pida.

A quién obliga. Solo a dos grupos:

1. Empresas de servicios básicos de interés general, con independencia de su tamaño: agua, gas, electricidad, transporte de pasajeros, servicios postales, comunicaciones electrónicas y servicios financieros.
2. Grandes empresas de cualquier sector: al menos 250 trabajadores, más de 50 millones de euros de facturación o más de 43 millones de balance anual.

Traducción: si eres una clínica, una peluquería, un taller o una asesoría, quedas fuera del ámbito de aplicación. La propia norma excluye expresamente a las pymes según la definición europea, aunque a estas les siguen aplicando las obligaciones generales de la Ley General para la Defensa de los Consumidores y Usuarios.

Las empresas que sí están dentro tienen plazo hasta el 28 de diciembre de 2026 para adaptarse.

Entonces, ¿por qué contártelo? Por dos razones. Primera, para que no pagues por una adaptación que no necesitas: hay proveedores vendiendo cumplimiento de esta ley a negocios que no están obligados. Segunda, porque marca la dirección del mercado: la salida humana bajo demanda va a ser el estándar esperado por los clientes, te obligue la ley o no.

5. Publicidad por WhatsApp: consentimiento previo

Un último bloque que genera confusión. Responder a quien te escribe es servicio. Enviar ofertas es publicidad, y la publicidad por vía electrónica requiere el consentimiento previo del destinatario, con la excepción habitual de clientes con relación contractual previa a los que se ofrecen productos similares.

En la práctica: recoge el consentimiento en el formulario de reserva o de alta, guárdalo, y ofrece siempre una vía de baja sencilla en los mensajes promocionales.

Checklist: 10 puntos para que tu bot sea legal

1. Usas la API oficial a través de un proveedor autorizado.
2. No usas extensiones ni apps que automaticen WhatsApp de forma no autorizada.
3. El primer mensaje avisa de que es un asistente automático.
4. Existe una vía clara y rápida para hablar con una persona.
5. Informas del tratamiento de datos y enlazas tu política de privacidad.
6. Tienes firmado el contrato de encargado del tratamiento con el proveedor.
7. No recoges datos sensibles por el chat.
8. Tienes consentimiento antes de enviar cualquier mensaje promocional.
9. Tus plantillas están bien categorizadas y aprobadas.
10. Tienes definidos plazos de conservación de las conversaciones.

Errores frecuentes

Automatizar con una extensión «porque es más barato». Es el error con peor consecuencia posible: perder el número.

Ocultar que es un bot. Además de estar ahora prohibido cuando hay IA de por medio, el cliente lo nota y se siente engañado.

No dejar salida humana. Aunque la Ley 10/2025 no te obligue, un cliente atrapado en un bucle es una reseña negativa asegurada.

Mezclar servicio y promoción. Cambia la naturaleza del mensaje, encarece la plantilla y puede vulnerar la normativa de comunicaciones comerciales.

Pagar por adaptarte a una ley que no te aplica. Comprueba los umbrales antes de contratar nada.

Preguntas frecuentes

¿Es legal usar un bot de WhatsApp con clientes?
Sí, siempre que uses la vía oficial, avises de que es un sistema automático cuando emplea IA y cumplas el RGPD.

¿Tengo que ofrecer atención humana por ley?
La obligación específica de la Ley 10/2025 alcanza a grandes empresas y a sectores básicos de interés general. Si eres un negocio pequeño, no estás en su ámbito, aunque ofrecerla sigue siendo muy recomendable.

¿Puedo usar mi número de siempre?
Al vincularlo a la API dejarás de poder usarlo en la app de WhatsApp Business. Muchos negocios optan por un número nuevo.

¿Qué pasa si no aviso de que es una IA?
Desde el 2 de agosto de 2026 incumples las obligaciones de transparencia del Reglamento europeo de IA, con un régimen sancionador que puede llegar a cifras muy elevadas.

¿Puedo enviar promociones a mis clientes por WhatsApp?
Solo con consentimiento previo, salvo la excepción de clientes con relación contractual previa y productos similares. Incluye siempre una vía de baja.

¿Y si mi bot da una información equivocada?
La responsabilidad frente al cliente es tuya. Por eso conviene limitarlo a información verificada y que sepa decir que no lo sabe.

Fuentes consultadas

Normativa (fuentes primarias)

• Reglamento (UE) 2024/1689, Ley de Inteligencia Artificial, artículo 50, aplicable desde el 2 de agosto de 2026.
• Ley 10/2025, de 26 de diciembre, de servicios de atención a la clientela (BOE-A-2025-26698), artículo 2 sobre ámbito de aplicación.
• Política de comercio y política de mensajes de WhatsApp Business.

Análisis jurídicos

• PwC: directrices de la Comisión Europea sobre el artículo 50, régimen sancionador y distinción entre proveedores y responsables del despliegue.
• Fieldfisher (abril de 2026): obligaciones de la Ley 10/2025 y tratamiento de los chatbots.
• KPMG, Plana Ventura Garcés, Legal Compliance Spain, Notarios y Registradores y Spain Compliance: ámbito de aplicación y umbrales de la Ley 10/2025.
• Confecomerç (marzo de 2026): confirmación de que la mayoría de pequeños comercios queda fuera del ámbito.
• Economist & Jurist y Rossellimac: vigencia de las obligaciones de transparencia tras el Reglamento Ómnibus.

Fuentes con interés comercial señalado. Varios de los análisis consultados sobre la Ley 10/2025 proceden de empresas que venden servicios de atención al cliente o soluciones de IA, y tienden a presentar la norma como aplicable de forma amplia. Hemos contrastado el ámbito de aplicación con el texto de la ley en el BOE y con análisis de despachos, que coinciden en los umbrales.

Última revisión: agosto de 2026. Contenido informativo, no asesoramiento jurídico. Para tu caso concreto, consulta con un profesional.