Porque lo que se automatiza es el trabajo, no la responsabilidad: de lo que escribe el asistente responde el negocio. Y porque la ley va en la dirección contraria a la que se supone: desde el 2 de agosto de 2026 hay que avisar de que se habla con una IA, pero la obligación de supervisarla se aplazó a diciembre de 2027 y solo alcanza al alto riesgo. Un asistente de citas no lo es.
La respuesta corta: la responsabilidad no se automatiza
Un asistente que atiende WhatsApp no firma nada, no asume nada y no responde de nada. Cuando promete un plazo que no existe, cuando da un precio antiguo o cuando confirma una cita que no ha llegado a crearse, el cliente no ha hablado con un modelo de lenguaje: ha hablado con tu negocio. Esa es la razón de fondo, y no depende de qué herramienta uses ni de lo bueno que sea el modelo.
De ahí sale la pregunta útil, que no es «¿pongo control humano, sí o no?», sino en qué momento exacto de la conversación entra una persona y con qué autoridad. Esa decisión la toma el negocio al diseñar la automatización. Si no se toma de forma explícita, se toma igual: por omisión, y casi siempre en el peor sitio.
Qué te obliga la ley hoy, en tres fechas
Hoy no existe ninguna obligación legal de supervisar un asistente de atención al cliente. Sí existe la de avisar de que es una IA. Conviene separar las tres fechas porque se mezclan constantemente.
2 de febrero de 2025 — alfabetización en materia de IA. El artículo 4 del Reglamento (UE) 2024/1689 alcanza a proveedores y responsables del despliegue de cualquier sistema de IA, sin umbral de riesgo: también a la clínica que usa un asistente. Junto con las prácticas prohibidas del artículo 5, es lo que lleva más tiempo tocando a una pyme pequeña.
Ese artículo se reescribió entero. El Reglamento (UE) 2026/1744, el «Ómnibus digital sobre IA», publicado el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, sustituyó el texto. Antes había que «garantizar que» el personal tuviera un nivel suficiente. Ahora hay que adoptar medidas «para apoyar la promoción de la alfabetización en materia de IA», y el propio artículo añade una frase que no estaba:
Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.
El mismo artículo menciona expresamente a las pymes y encarga a la Comisión publicar ejemplos prácticos de cómo cumplirlo. En la práctica: formar a quien va a operar el asistente sigue siendo obligatorio como esfuerzo, pero ya no hay un listón que superar.
2 de agosto de 2026 — transparencia. El artículo 50.1 exige que los sistemas destinados a interactuar directamente con personas físicas se diseñen de forma que esas personas sepan que están interactuando con un sistema de IA, «excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz». Lo desarrollamos, con el matiz de a quién obliga, en cinco desventajas de los chatbots que no se arreglan cambiando de chatbot.
2 de diciembre de 2027 y 2 de agosto de 2028 — supervisión humana. El artículo 14, que es donde el Reglamento define qué es la supervisión humana, vive en el capítulo III, sección 2, y solo se aplica a sistemas de alto riesgo. El Ómnibus de julio de 2026 reescribió el calendario del artículo 113: esas secciones serán aplicables desde el 2 de diciembre de 2027 para el alto riesgo del anexo III —biometría, infraestructuras críticas, educación, empleo, migración— y desde el 2 de agosto de 2028 para el que va integrado en productos regulados del anexo I, como ascensores o juguetes.
Qué no cambia
Que no haya obligación específica no significa que no respondas. Siguen intactas las normas de consumo, la responsabilidad contractual y el RGPD. Y hay un artículo que sí puede activarse en una automatización comercial: el artículo 22 del RGPD da derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o afecte significativamente, y obliga a garantizar «como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión».
Denegar una reserva, rechazar una solicitud o descartar una candidatura caen más cerca de ahí de lo que parece. La AEPD ya lo puso por escrito en un caso real de cribado de currículums, que resumimos en qué exige la AEPD antes de puntuar candidaturas con IA.
El artículo 50 premia la revisión humana, pero no donde crees
Hay un punto del Reglamento donde una persona revisando el texto elimina una obligación. Está en el artículo 50.4, párrafo segundo: quien publique texto generado o manipulado por IA para informar al público sobre asuntos de interés público tiene que divulgarlo, salvo
cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación del contenido.
Importa leerlo con precisión, porque circula mal contado: no habla de tu chatbot, habla de lo que publicas. Una conversación de WhatsApp no es texto publicado para informar al público. Un artículo del blog de la empresa sobre un cambio normativo, según cómo se plantee, puede serlo.
Aun así, el criterio que hay detrás es el mismo que defendemos aquí y merece la pena quedárselo: para el legislador europeo, la diferencia entre contenido que exige aviso y contenido que no lo exige es que alguien con nombre lo haya revisado y responda de ello. No el modelo que lo escribió.
Qué es control humano de verdad: las cinco capacidades del artículo 14
El Reglamento no define la supervisión humana para una pyme, pero sí la define para el alto riesgo, y ahí está la mejor lista disponible. El artículo 14.4 dice que el sistema debe entregarse de modo que la persona encargada pueda:
- Entender las capacidades y limitaciones del sistema y vigilar su funcionamiento, «con vistas a detectar y resolver anomalías, problemas de funcionamiento y comportamientos inesperados».
- Ser consciente de la tendencia a confiar en exceso en los resultados, que el Reglamento llama «sesgo de automatización».
- Interpretar correctamente los resultados de salida.
- Decidir no utilizar el sistema, o «descartar, invalidar o revertir» lo que haya generado.
- Intervenir o interrumpirlo «pulsando un botón de parada o mediante un procedimiento similar que permita que el sistema se detenga de forma segura».
Esto es una adaptación nuestra, no una obligación que te afecte: la lista está escrita para sistemas de alto riesgo y no se aplica a un asistente de citas. Pero funciona bien como criterio de compra. Si una plataforma no te deja hacer las cinco cosas, el control humano que te vende es decorativo.
De las cinco, la cuarta y la quinta son las que se caen en los productos reales. Muchas herramientas permiten leer la conversación y pocas permiten pararla a mitad, corregir lo ya enviado o apagar la automatización de una cuenta sin desmontarla entera.
El que aprueba todo no está controlando
El punto 2 de esa lista merece una sección propia porque es el que más dinero cuesta. El sesgo de automatización es que una persona con la pantalla delante acabe validando lo que el sistema propone sin leerlo de verdad. Es un nombre que la ley europea escribió en 2024, y describe exactamente lo que pasa a las tres semanas de poner a alguien a «revisar las respuestas de la IA».
De ahí sale nuestro criterio: la supervisión que consiste en aprobar mensajes uno a uno no se sostiene y no la recomendamos. No porque esté mal pensada, sino porque se degrada sola. Lo que sí aguanta es poner el control en el diseño —qué puede hacer el asistente y qué no llega siquiera a intentar— y reservar a la persona las conversaciones que el sistema deriva porque no debería resolverlas.
Dónde poner el control: cuatro clases de respuesta
Este es el reparto que usamos al montar una automatización. Es criterio propio, no normativa.
- Informar. Horario, dirección, servicios, cómo llegar. Automatización completa. Si falla, el coste es una corrección.
- Consultar. Disponibilidad de agenda, estado de un pedido. Automatizable solo si el asistente lee un dato real, no si lo deduce. Regla fija: la confirmación va siempre después de la acción, nunca antes.
- Comprometer. Crear o mover una cita, dar un precio, fijar un plazo. Automatizable cuando el sistema puede verificar lo que promete y dejar rastro. Todo lo que implique dinero o una fecha difícil de deshacer, revisado por una persona.
- Resolver un conflicto. Una queja, una reclamación, una pregunta sobre datos personales, cualquier cosa con un componente de salud. Persona desde el primer mensaje. Aquí la automatización no ahorra trabajo: lo multiplica.
La frontera que importa no es «pregunta fácil o difícil», es si el asistente puede comprobar lo que afirma. Un modelo que no tiene acceso a la agenda no sabe si hay hueco el jueves, y lo dirá igual de convencido en los dos casos.
Un ejemplo con números inventados a propósito
Supongamos un centro de estética con dos cabinas que recibe 120 mensajes a la semana. Es un ejemplo construido para ilustrar el reparto, no un cliente.
Si el 70 % son preguntas de horario y precio, el 20 % son peticiones de cita y el 10 % son cambios, quejas o dudas sobre un tratamiento, el reparto por clases deja 84 mensajes en «informar», 24 en «comprometer» y 12 en «resolver un conflicto». Automatizar las dos primeras clases quita de encima 108 conversaciones. Las 12 restantes son justo las que nadie debería delegar, y son el 10 %.
El cálculo es nuestro y los porcentajes son supuestos. Lo que no es un supuesto es la forma de la curva: en los negocios de cita previa que vemos, la mayoría del volumen es repetitivo y el riesgo se concentra en una minoría de conversaciones. Por eso automatizar sin control humano sale mal aunque funcione el 90 % de las veces: el 10 % restante no es ruido, es la parte cara.
Cómo lo planteamos en PotencIA
Separado de lo anterior, porque aquí somos parte interesada: PotencIA comercializa un asistente de WhatsApp con CRM.
En nuestro panel, una persona puede tomar una conversación en cualquier momento; al hacerlo ve todo el historial y la IA deja de responder en ese hilo para no pisarse con ella. La automatización también se puede desactivar por completo en una cuenta y usar el panel solo como CRM con bandeja compartida. Son las capacidades 4 y 5 de la lista de arriba, que es la razón de que las nombremos.
Lo que no hacemos es prometer que el asistente acierta siempre. La parte que de verdad decide el resultado es la anterior al software: elegir qué clase de respuesta se automatiza. Si quieres el procedimiento completo de puesta en marcha, está en cómo automatizar WhatsApp Business con IA sin perder el control; el producto, con las tres versiones, está en la página de PotencIA.
Cómo se ha verificado esto
Las citas textuales están tomadas de las versiones en español publicadas en el Diario Oficial de la Unión Europea y consultadas el 10 de octubre de 2026:
- Reglamento (UE) 2024/1689 de Inteligencia Artificial, DO L de 12.7.2024: artículo 4, artículo 14.4, artículo 50.1, artículo 50.4 y artículo 113.
- Reglamento (UE) 2026/1744, «Ómnibus digital sobre IA», de 8 de julio de 2026, DO L de 24.7.2026: punto 5 del articulado, que sustituye el artículo 4, y punto 40, que modifica el párrafo tercero del artículo 113. Entró en vigor a los tres días de su publicación.
- Reglamento (UE) 2016/679, RGPD: artículo 22.
- Las fechas de aplicación están contrastadas además con la página de la Comisión Europea sobre el marco regulador de la IA, actualizada el 3 de agosto de 2026, que confirma la entrada en vigor del Ómnibus el 27 de julio de 2026.
Este artículo es información general sobre automatización y cumplimiento, no asesoramiento jurídico. Para saber si tu negocio actúa como proveedor o como responsable del despliegue, y si alguna de tus decisiones automatizadas entra en el artículo 22 del RGPD, consulta con quien lleve tu cumplimiento normativo.