Cuánto tiempo puede guardar tu chatbot las conversaciones con clientes: lo que exige el RGPD

Muchas tiendas que acaban de estrenar un chatbot con IA en su web se preguntan cuánto tiempo pueden guardar las conversaciones con clientes antes de que el RGPD lo considere un problema.

Es la pregunta que suele quedar pendiente después de resolver la transparencia —que el cliente sepa que habla con una IA— y antes de que lo pregunte una autoridad o el propio cliente.

El chat no es un canal más de soporte; es un registro escrito, con marca de tiempo, que a menudo incluye número de pedido, dirección o detalles de una queja.

Cuánto tiempo puede guardar tu chatbot una conversación, según el RGPD

El RGPD no fija un plazo universal para que un chatbot guarde sus conversaciones. Exige algo más concreto: cada periodo de conservación debe atarse a una finalidad definida y dejar de aplicarse en cuanto esa finalidad desaparece.

Las directrices del Comité Europeo de Protección de Datos (EDPB) sobre tratamientos conversacionales insisten en dos ideas que conviene aplicar literalmente a un webchat de ecommerce.

La primera es la minimización: no hace falta guardar el texto completo de una conversación para siempre solo porque la plataforma lo permite por defecto.

La segunda es la limitación del plazo: si la finalidad es resolver un "dónde está mi pedido" sin dejarlo abierto para siempre, la conservación tiene sentido mientras dura esa incidencia y un margen razonable de garantía después. Pasado ese punto, guardar la conversación deja de tener base y pasa a ser un riesgo sin beneficio.

La AEPD, en su actividad de guías prácticas, aterriza esto en un criterio útil para pymes: el plazo no lo decide la comodidad técnica de "guardarlo todo por si acaso", sino la finalidad declarada al cliente.

Una conversación de soporte no tiene el mismo plazo de conservación que un histórico usado para entrenar el propio agente. Mezclar ambos usos sin decirlo es, precisamente, el error más habitual.

Los tres usos que se confunden en la práctica

Casi ninguna tienda separa estos tres motivos, y cada uno pide un plazo distinto:

• Resolver la conversación en curso. Vida útil de la incidencia más un margen de garantía comercial (habitualmente semanas, no años).
• Prueba ante una reclamación. Aquí sí aplican plazos legales más largos, ligados a la normativa de consumo, no a la conveniencia del chatbot.
• Mejora o entrenamiento del propio sistema. Este uso exige base jurídica propia y, casi siempre, anonimización antes de conservarse a medio plazo.

Guardar todo bajo un único plazo largo "por si sirve para algo" es la forma más común de incumplir sin darse cuenta.

Cómo lo resolvemos en Paideia

En Paideia operamos agentes de soporte en producción para tiendas online y para clínicas y comercios de varios sectores, y hemos ido llegando, con la experiencia de muchas implantaciones, a un criterio que compartimos.

Con una salvedad: cada negocio tiene su propia base de reclamaciones y su propio riesgo, así que esto es un punto de partida, no una plantilla cerrada.

Separamos desde el diseño la conversación operativa —con datos identificativos, plazo corto— del dato que alimenta la mejora del agente, agregado y anonimizado antes de conservarse.

Los datos de producción que citamos en cualquier análisis interno están siempre anonimizados y agregados. Nunca exponemos una conversación identificable como ejemplo, ni siquiera internamente más allá del equipo estrictamente necesario para resolver la incidencia.

Qué hacer esta semana

Si tu chatbot ya lleva semanas en producción, comprueba tres cosas esta semana:

• Si la plataforma tiene un plazo de retención configurado, o lo deja indefinido por defecto.
• Si ese plazo está escrito en algún sitio que puedas enseñar si te lo piden.
• Si el histórico que usas para "revisar cómo responde el bot" mezcla conversaciones identificables con lo que debería ser un agregado anónimo.

Corregir esto no es un proyecto de meses: es una casilla de configuración y una frase añadida a tu política de privacidad, y evita que una revisión de rutina se convierta en un problema.

Fuentes: directrices del European Data Protection Board sobre tratamientos conversacionales (edpb.europa.eu) y guías prácticas de protección de datos de la AEPD (aepd.es).