Una agencia que usa IA con datos de clientes tiene que leer dos libros de normas: el RGPD, que se aplica desde 2018 (en España, junto con la LOPDGDD), y el Reglamento de IA de la UE (AI Act), cuyas normas de transparencia empezaron a aplicarse el 2 de agosto de 2026. Casi todo el trabajo no es redacción jurídica. Son diez comprobaciones que puedes hacer en una tarde antes de pegar una consulta en un chatbot, activar un asistente de IA o dejar que una herramienta redacte mensajes a compradores. Esta guía es una lista de comprobación de IA y RGPD para agentes inmobiliarios, con ejemplos y un apartado breve para cada uno de seis mercados. Es información general, no asesoramiento jurídico. Antes de apoyarte en cualquier punto, consúltalo con un asesor de protección de datos o con tu autoridad de control.
Si todavía estás decidiendo qué tareas darle a la IA, empieza por IA para agentes inmobiliarios. Esta página da por hecho que ya tienes una tarea en mente y quieres usarla con seguridad.
Las 10 comprobaciones antes de usar IA con datos de clientes
- Nombra la tarea y los datos. Escribe una línea: «Redactar una respuesta a la consulta de un comprador, con su nombre, su teléfono y el inmueble por el que preguntó». Si no sabes decir qué datos personales entran, no puedes comprobar nada más.
- Elige una base jurídica. Según el artículo 6 del RGPD, necesitas un motivo legal para cada uso. Responder a una consulta que alguien te envió suele apoyarse en aplicar medidas a petición suya o en tu interés legítimo en contestar. Hacer marketing a contactos antiguos requiere un análisis aparte (punto 7). Escribe la base junto a la tarea, para que la elección sea deliberada.
- Actualiza tu política de privacidad. Los artículos 13 y 14 te obligan a informar a las personas de lo que haces con sus datos y de quién los recibe. Si herramientas de IA procesan consultas, tu aviso debe decirlo con palabras claras, incluidos los tipos de proveedor que reciben los datos.
- Firma un contrato de encargado del tratamiento con el proveedor de IA. Cuando un proveedor trata datos personales por tu cuenta, el artículo 28 del RGPD exige un contrato escrito que fije lo que puede hacer con los datos. Pide el contrato de encargo de tratamiento antes de subir nada real. Comprueba qué subencargados usa, como las empresas que suministran los modelos de IA de base. Un inicio de sesión personal en un chatbot no lo sustituye, porque ningún contrato cubre los datos de clientes.
- Comprueba adónde viajan los datos. Muchos servicios de IA funcionan en servidores fuera de la UE o del Reino Unido. El capítulo V del RGPD solo permite esas transferencias con un mecanismo válido, por ejemplo una decisión de adecuación o cláusulas contractuales tipo. Pregunta al proveedor en qué países se tratan los datos y qué mecanismo los cubre.
- Envía menos datos. La minimización de datos (artículo 5.1.c) significa que la herramienta recibe solo lo que necesita la tarea. Para redactar la confirmación de una visita, la IA necesita un nombre de pila, la dirección y una hora. No necesita los ingresos del comprador, su número de documento de identidad ni las observaciones de salud de tus notas. Quítalos antes de pegar, o guárdalos en un campo que la herramienta no pueda leer.
- Mantén el consentimiento de marketing por separado. El envío de mensajes promocionales por correo electrónico, SMS o aplicaciones de mensajería se rige por las normas de ePrivacy (Directiva 2002/58/CE) tal como las aplica cada país, además del RGPD. En el Reino Unido son las normas PECR, y la guía de la ICO dice que las normas de marketing por correo electrónico se aplican a los mensajes directos en redes sociales o a cualquier mensaje similar almacenado electrónicamente. También dice que no debes enviar correos ni SMS de marketing a particulares sin consentimiento específico, y que el «soft opt-in» para clientes existentes no cubre contactos nuevos ni listas compradas. Un comprador que te escribe por WhatsApp sobre un piso no ha aceptado un boletín mensual, lo haya escrito una persona o una IA.
- Fija un plazo de conservación. La limitación del plazo de conservación (artículo 5.1.e) significa que no conservas datos identificables más tiempo del necesario. Decide cuánto viven los borradores generados por IA, los historiales de chat y los datos de consultas, y bórralos según lo previsto. Pregunta al proveedor cuánto tiempo guarda tus entradas y si puede borrarlas a petición.
- Prepárate para las solicitudes de derechos. Las personas pueden pedir acceso, rectificación, supresión y oposición. Si los datos de clientes están en una herramienta de IA, tienes que poder encontrarlos y actuar. Pruébalo una vez con un contacto ficticio. Recuerda también el artículo 22: una decisión tomada únicamente por medios automatizados que afecte significativamente a alguien, como rechazar automáticamente a un inquilino, conlleva restricciones adicionales. Mantén a una persona en ese circuito.
- Pon a una persona al mando y fórmala. El agente lee y aprueba lo que sale, y una persona con nombre y apellidos es responsable de la política de IA y forma al equipo. El Reglamento de IA añade una obligación relacionada de alfabetización en IA en el artículo 4, que veremos a continuación.
Qué le pide el Reglamento de IA de la UE a una agencia
El Reglamento de IA (Reglamento (UE) 2024/1689) regula sobre todo a las empresas que crean sistemas de IA. Una agencia inmobiliaria que usa una herramienta ya hecha es un «responsable del despliegue» (deployer), y las obligaciones son más ligeras. El servicio de asistencia de la Comisión Europea enumera las fechas: la alfabetización en IA y las prohibiciones se aplicaron desde el 2 de febrero de 2025, las normas de transparencia del artículo 50 desde el 2 de agosto de 2026, y hay una transición hasta el 2 de diciembre de 2026 para ciertos proveedores cuyos sistemas generadores de contenido sintético ya estaban en el mercado. El Digital Omnibus sobre IA, en vigor desde el 27 de julio de 2026 según la Comisión, aplazó al 2 de diciembre de 2027 las normas de alto riesgo para los sistemas del anexo III. No movió la fecha de inicio del artículo 50, el 2 de agosto de 2026. Las fechas se modifican de vez en cuando, así que confírmalas en la página de la Comisión sobre el Reglamento de IA antes de apoyarte en una.
- Artículo 4, alfabetización en IA. Los proveedores y los responsables del despliegue deben adoptar medidas para promover la alfabetización en IA de su personal y de otras personas que usen sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto. El texto modificado añade que esto no exige garantizar un nivel concreto de alfabetización a cada persona. En la práctica: una norma escrita breve sobre lo que el personal puede pegar en herramientas de IA, y constancia de que se la explicaste al equipo.
- Artículo 50, transparencia. Los sistemas destinados a interactuar directamente con personas deben diseñarse de modo que se informe a las personas de que tratan con una IA, salvo que resulte evidente. Esa obligación recae sobre todo en el proveedor, pero una agencia que pone un chatbot en su web o en su línea de WhatsApp debe comprobar que el aviso aparece. Los responsables del despliegue de sistemas que generan o manipulan imágenes, audio o vídeo que constituyan una ultrasuplantación (deep fake) deben revelar que es artificial, y el texto generado por IA que se publica para informar al público requiere revelación salvo que una persona lo haya revisado y tenga responsabilidad editorial. Una imagen de home staging virtual o un vídeo sintético de un inmueble es el caso a vigilar. Si una imagen concreta cuenta o no es una cuestión jurídica, así que etiqueta claramente las imágenes de IA. Las normas de cada mercado sobre imágenes de inmuebles están en nuestra guía sobre home staging virtual con IA y vídeo inmobiliario.
- Usos de alto riesgo. Las herramientas que puntúan a personas, como la selección de inquilinos, pueden caer en categorías de alto riesgo. Pide asesoramiento antes de usar una.
El Reglamento de IA no sustituye al RGPD. Se aplican los dos, y la autoridad de protección de datos sigue siendo tu primer contacto para las dudas sobre datos personales.
Mercado por mercado
España: AEPD
La AEPD (Agencia Española de Protección de Datos) publicó el 13 de febrero de 2020 una guía sobre la adecuación al RGPD de los tratamientos que incorporan inteligencia artificial. Cubre la base jurídica, la transparencia, los derechos, las decisiones automatizadas, la minimización de datos y si las herramientas de IA implican transferencias internacionales. Se escribió antes del Reglamento de IA, así que úsala solo para las cuestiones de RGPD.
Reino Unido: ICO
El Reglamento de IA de la UE es un reglamento de la UE y no se aplica en el propio Reino Unido. Allí se aplican el UK GDPR y la Data Protection Act 2018, bajo la supervisión de la Information Commissioner's Office (ICO). Las normas británicas de marketing están en la PECR, como en el punto 7. La guía de la ICO sobre IA y protección de datos se actualizó por última vez en marzo de 2023 y está en revisión tras la Data (Use and Access) Act. Su capítulo de transparencia remite a un producto aparte de la ICO sobre cómo explicar las decisiones asistidas por IA. Empieza por ahí si un proveedor no sabe explicar cómo llega su herramienta a un resultado.
Alemania: autoridades de los Länder y DSK
Las empresas privadas como las inmobiliarias están supervisadas por la autoridad de protección de datos de su Land, según el artículo 40 de la ley federal de protección de datos, y no por el comisionado federal (BfDI). Las autoridades se coordinan en la Datenschutzkonferenz (DSK), que publicó el 6 de mayo de 2024 una «Orientierungshilfe» sobre inteligencia artificial y protección de datos. Es una guía (una Orientierungshilfe), no derecho vinculante.
Francia: CNIL
La CNIL publicó el 7 de febrero de 2025 dos recomendaciones sobre IA y RGPD. Dicen que cuando se usan datos personales para entrenar un modelo y pueden memorizarse, hay que informar a las personas, y que una información general puede bastar cuando el contacto directo es imposible. Para una agencia, la lección práctica es preguntar a los proveedores si los datos de tus clientes se usan para entrenar sus modelos.
Italia: Garante
El Garante tiene una página dedicada a la IA que reúne sus orientaciones y decisiones, incluida su guía sobre la protección de datos personales frente al web scraping, junto con el texto del Reglamento de IA y material del CEPD (EDPB). El Dictamen 28/2024 del CEPD de 18 de diciembre de 2024, solicitado por la autoridad irlandesa, trata los aspectos de protección de datos de los modelos de IA y merece una lectura si estás eligiendo entre proveedores.
Polonia: UODO
La UODO publicó el 6 de agosto de 2026 «Antes de implantar una herramienta de IA, comprueba si cumple los principios del RGPD». Ofrece cuatro conjuntos de preguntas, el primero para pymes que usan sistemas de IA ya hechos. La UODO dice que las preguntas no acreditan el cumplimiento y que no hace falta presentarlas a la autoridad. Son una buena agenda para una llamada con un proveedor.
Ejemplo completo: un borrador de seguimiento por WhatsApp
Un agente quiere que la IA redacte respuestas a consultas de portales y las envíe por WhatsApp. Pasa las diez comprobaciones. La tarea: responder consultas con nombre, número e inmueble. Base: medidas a petición del comprador. Aviso: actualizado para mencionar las herramientas de IA. Proveedor: contrato de encargado firmado, subencargados y países comprobados. Minimización: se excluye el campo de notas con los datos de financiación de un comprador. Marketing: salen las respuestas a la consulta, no los boletines, salvo que el comprador los haya aceptado. Conservación: borradores borrados a los 90 días. Derechos: un contacto ficticio localizado y borrado. Persona: el agente aprueba cada mensaje. Para el flujo de seguimiento en sí, mira seguimiento de leads con IA en WhatsApp. Si conectas un asistente a tu CRM inmobiliario, las mismas comprobaciones se aplican a lo que puede leer, como se explica en ChatGPT y Claude para agentes inmobiliarios.
Qué hace Formule y qué no afirma
El proveedor del servicio de autoservicio de Formule es Formule Labs Limited, una empresa registrada en Irlanda (CRO 815470), según se decidió el 10 de octubre de 2026. Su política de privacidad la nombra como responsable del tratamiento e indica privacy@formule.io para dudas y solicitudes de datos. La política nombra también los servicios que hay detrás de las funciones de IA, para que veas qué proveedores intervienen.
Really, el agente de IA de Formule, redacta y el agente aprueba. Según la documentación de Formule, no se envía nada desde WhatsApp hasta que el agente lo aprueba, y los cambios que Really hace en tus datos esperan la aprobación del agente. Conectar WhatsApp requiere un paso de consentimiento en el que el agente acepta que el asistente lea las conversaciones de los leads. Los chats dentro de la app con Really solo los ve el usuario, no el responsable.
Este artículo no afirma nada sobre certificaciones, regiones de alojamiento ni contratos de encargo de tratamiento. Hasta donde podemos verificar, la política de privacidad pública y la documentación de Formule no los indican, así que pide a privacy@formule.io el contrato de encargado y la ubicación de los datos antes de meter datos de clientes, como harías con cualquier proveedor. Puedes ver cómo funciona Formule en tu mercado en la página de Formule o empezar gratis.
Guarda un registro de una página
Escribe las diez respuestas en una página con fecha por cada tarea de IA y revísala cada vez que cambie la herramienta o la ley. Es lo que enseñas a un cliente o a una autoridad que pregunte cómo usas la IA.