Si tu chatbot pide nombre, DNI, correo o teléfono, tu empresa está tratando datos personales. Y desde el 30 de marzo de 2025 rige un reglamento nuevo de la Ley 29733 que exige bastante más que un "acepto" escondido.
Yo construyo las centrales donde se guardan esas conversaciones, así que este tema me toca todos los días. Te explico qué normas aplican, qué significan para un chatbot y cómo se cumple sin complicarse.
Qué normas aplican a un chatbot en el Perú
- Ley 29733 y su nuevo reglamento (D.S. 016-2024-JUS, vigente desde el 30 de marzo de 2025): cómo pides, guardas y usas los datos de tus clientes.
- Reglamento de la Ley de IA (D.S. 115-2025-PCM, publicado el 9 de setiembre de 2025): clasifica los sistemas de IA por nivel de riesgo.
- Ley 32323 (mayo de 2025): prohíbe llamadas automatizadas, SMS y mensajes masivos para promocionar sin el consentimiento previo, expreso e inequívoco del consumidor.
Lo que exige el reglamento de datos personales
| Obligación | Qué dice la norma | Qué significa para tu chatbot |
|---|---|---|
| Consentimiento | Libre y específico para cada finalidad | Pide permiso aparte para atender la consulta y para enviar promociones. Un solo "acepto todo" no basta. |
| Transferencia internacional | Se informa de forma inequívoca | Si tu CRM o tu modelo de IA corre en servidores fuera del Perú, tu aviso de privacidad lo tiene que decir. |
| Bancos de datos | Se inscriben | La base de leads que arma tu chatbot es un banco de datos. Inscríbela. |
| Oficial de Datos Personales | Obligatorio si tratas grandes volúmenes o datos sensibles | Grandes empresas desde el 30 de noviembre de 2025; medianas, el 30 de noviembre de 2026; pequeñas, 2027; micro, 2028. |
| Incidentes de seguridad | Aviso a la ANPD en máximo 48 horas | Si se filtran conversaciones, tienes 48 horas para notificar. Necesitas saber quién accedió a qué. |
Las multas, en soles
La ANPD multa en UIT. Con la UIT de 2026 en S/ 5,500, los topes quedan así: leves de 0.5 a 5 UIT (hasta S/ 27,500), graves de 5 a 50 UIT (hasta S/ 275,000) y muy graves de 50 a 100 UIT (hasta S/ 550,000). Tratar datos sin consentimiento, por ejemplo, es una infracción grave.
Multa máxima de la ANPD por tipo de infracción
Topes en soles con la UIT 2026 de S/ 5,500
| Leve (hasta 5 UIT) | S/ 27,500 |
|---|---|
| Grave (hasta 50 UIT) | S/ 275,000 |
| Muy grave (hasta 100 UIT) | S/ 550,000 |
Fuente: Escala de multas de la Ley 29733 según EY Perú, con la UIT 2026 fijada por el MEF (D.S. 301-2025-EF).
Y la ley de IA, ¿qué pide?
El reglamento de la Ley de IA ordena los sistemas en tres niveles. Uso indebido, que está prohibido: manipulación, vigilancia masiva o inferir datos sensibles con biometría. Riesgo alto: selección o cese de trabajadores, evaluación crediticia, acceso a salud, tamizaje o diagnóstico. Riesgo aceptable: todo lo demás.
Un chatbot típico de ventas o de atención cae en riesgo aceptable. Uno que oriente diagnósticos de salud podría ser de riesgo alto, y ahí se suman registro técnico, supervisión humana, evaluación de impacto y etiquetado. En cualquier nivel, la empresa privada que usa IA debe tener políticas de seguridad, privacidad y transparencia, y capacitar a su personal.
Los plazos corren desde el 10 de setiembre de 2025. Salud, educación, justicia, seguridad y finanzas tienen 1 año, o sea, ya es exigible. Comercio, transporte y trabajo, 2 años (setiembre de 2027). Las pequeñas empresas tienen 2 años y las micro, 3. Si tienes una clínica, revisa también cómo armamos chatbots para clínicas.
Una conversación que cumple
- 01
Aviso de privacidad
Quién trata los datos y para qué
- 02
Consentimiento
Por finalidad, con un sí claro
- 03
Atención
Solo los datos necesarios
- 04
Derivación
A una persona con acceso controlado
Cómo cumplir, paso a paso
- 1.Haz un inventario. Qué datos pide tu chatbot, dónde se guardan, quién los ve y en qué país están los servidores.
- 2.Pide solo lo que necesitas. Si para cotizar basta el nombre y el distrito, no pidas el DNI en el primer mensaje.
- 3.Muestra un aviso de privacidad corto al inicio, con un enlace a la política completa.
- 4.Separa los consentimientos: uno para atender la consulta y otro, opcional, para enviar promociones. La Ley 32323 exige ese sí previo y expreso antes de los mensajes promocionales masivos.
- 5.Inscribe tu banco de datos y, si tus servidores están fuera del Perú, comunica el flujo transfronterizo.
- 6.Controla los accesos: cada asesor ve solo lo que necesita y queda registro de quién entró.
- 7.Ten un plan para incidentes: quién decide, quién notifica a la ANPD y cómo, dentro de las 48 horas.
Cómo lo resolvemos en la central
En Los Autómatas, la Central Autómata se monta sobre infraestructura de Cloudflare propia del cliente. La central es tuya, no de un SaaS: las conversaciones y los leads quedan en tu propia base de datos y tú decides quién entra.
Yo configuro el panel con roles: el administrador ve todo y cada asesor ve sus conversaciones. El aviso de privacidad y los consentimientos van en el flujo del agente desde el primer mensaje. Y te lo digo con honestidad: tanto la nube como el modelo de IA pueden procesar datos fuera del Perú. Eso no se esconde, se informa en el aviso.
Si ya tienes un chatbot y no sabes cómo está frente a estas normas, empezamos con una auditoría. Los precios están en precios.
Preguntas frecuentes
- ¿Necesito consentimiento si el cliente me escribió primero?
- Que te escriba primero no te autoriza a todo. El reglamento pide consentimiento específico para cada finalidad: si vas a usar sus datos para enviarle promociones, eso necesita su propio sí.
- ¿Mi chatbot de ventas es de riesgo alto según la ley de IA?
- Por lo general no. Un chatbot de ventas o de atención cae en riesgo aceptable. Cambia si interviene en crédito, selección de personal o diagnóstico de salud.
- ¿Una microempresa también tiene que cumplir?
- Sí. La Ley 29733 aplica a todos. Lo que cambia por tamaño son algunos plazos, como el del Oficial de Datos Personales (micro: 30 de noviembre de 2028) o los del reglamento de IA.
- ¿Qué pasa si uso un modelo de IA de una empresa extranjera?
- Hay flujo transfronterizo de datos. Tienes que informarlo de forma clara en tu aviso de privacidad, y comunicarlo e inscribirlo ante la autoridad.
