Protección de datos en 2027: los desafíos de la IA, WhatsApp y las nuevas tecnologías

La protección de datos en 2027 ya no se juega solo en la política de privacidad de la web o en el banner de cookies. La inteligencia artificial se ha colado en el correo, en el CRM, en la atención al cliente y hasta en WhatsApp; la identidad digital pasa al móvil, y las gafas con cámara empiezan a verse por la calle. Al mismo tiempo, Europa está ajustando todo su marco normativo. En este artículo repasamos qué llega, qué riesgos supone para empresas, autónomos y profesionales, y qué conviene hacer antes de que termine el año.

Contenido

1. Por qué 2027 es un año clave
2. Inteligencia artificial y privacidad
3. WhatsApp: el canal más usado y más sancionado
4. Otras tecnologías que van a impactar
5. Digital Omnibus: ¿se relaja el RGPD?
6. Checklist para prepararse
7. Preguntas frecuentes

Por qué 2027 es un año clave para la privacidad

El Reglamento General de Protección de Datos (RGPD) y la LOPDGDD siguen siendo la base. Pero sobre ellos se apilan nuevas normas con fechas concretas. Tras la aprobación del llamado Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), el calendario del Reglamento Europeo de Inteligencia Artificial ha quedado así:

En España, además, están en marcha tres piezas que pueden aprobarse durante 2027: la Ley Orgánica para el buen uso y la gobernanza de la IA, la ley de ciberseguridad que transpone la Directiva NIS2 y, a nivel europeo, la parte del Digital Omnibus que modifica el propio RGPD.

Inteligencia artificial y privacidad: el gran desafío

El alto riesgo llega el 2 de diciembre de 2027

El aplazamiento de dieciséis meses no es una moratoria general, sino un margen para llegar preparados. A partir de diciembre de 2027, quien use IA para seleccionar personal, evaluar a trabajadores, conceder crédito, decidir sobre ayudas o identificar personas por biometría tendrá que acreditar gestión de riesgos, calidad de los datos, registros, supervisión humana y, en muchos casos, una evaluación de impacto en derechos fundamentales. Y todo eso convive con la evaluación de impacto (EIPD) que ya exige el RGPD.

Un ejemplo cotidiano: un software de RR. HH. que filtra currículums con IA. Hoy ya está sujeto al RGPD (y al artículo 22 sobre decisiones automatizadas). En 2027, además, será un sistema de alto riesgo con obligaciones propias tanto para quien lo vende como para la empresa que lo usa.

Transparencia: chatbots y deepfakes, ya obligatorio

Mucha gente da por hecho que «el AI Act se ha retrasado». No del todo. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026: si tu web o tu WhatsApp Business atiende con un asistente de IA, el usuario debe saber desde el primer mensaje que no habla con una persona. Y si publicas imágenes, vídeos o audios realistas generados con IA (por ejemplo, un «cliente» fotorrealista en un testimonio), deben ir etiquetados.

IA agéntica: la AEPD pone el foco

La siguiente ola no son los chatbots que responden, sino los agentes que actúan: leen el correo, consultan el CRM, rellenan formularios o envían mensajes por su cuenta. La Agencia Española de Protección de Datos publicó en 2026 unas orientaciones específicas sobre IA agéntica en las que insiste en varias ideas prácticas:

• Minimización: los agentes tienden a «buscar eficacia» acumulando más datos, más contexto y más memoria de la necesaria. Hay que limitar a qué fuentes acceden y qué recuerdan.
• Gobernanza única: no se trata de crear un sistema paralelo, sino de integrar los agentes en el registro de actividades, los análisis de riesgos y la supervisión del DPD.
• Sesgo de automatización: la persona que supervisa tiende a dar por buena la decisión de la máquina. La supervisión humana no puede ser la única barrera.
• Diseño a prueba de fallos: asumir que el agente se equivocará y diseñar el tratamiento para que el error no se convierta en una brecha.

La ley española de IA, en el Congreso

El Gobierno aprobó en mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que ahora se tramita en las Cortes. Define quién vigila qué: la AESIA como autoridad principal, la AEPD con un papel decisivo en biometría, y el CGPJ o el Banco de España en sus ámbitos. Prevé multas de hasta 35 millones de euros o el 7 % de la facturación mundial para las prácticas prohibidas. Mientras no se publique en el BOE, sigue siendo un proyecto, pero marca claramente la dirección.

Decisiones automatizadas: el derecho a una explicación

Cuando una IA decide o «propone» algo que afecta a una persona —denegar un préstamo, descartar una candidatura, fijar un precio personalizado, priorizar un paciente—, el artículo 22 del RGPD ya da derecho a no ser objeto de decisiones exclusivamente automatizadas con efectos significativos, a pedir intervención humana y a recibir información útil sobre la lógica aplicada. Con el AI Act se suma un derecho a explicación específico para los sistemas de alto riesgo. En la práctica, esto obliga a algo que muchas empresas no tienen: poder explicar en lenguaje sencillo por qué el sistema hizo lo que hizo. Si tu proveedor no te lo facilita, el problema de cumplimiento es tuyo.

¿Entrenar IA con los datos de tus clientes?

Otra tentación creciente: usar el histórico de correos, tickets o conversaciones de WhatsApp para «personalizar» un modelo o un asistente. Esa finalidad casi nunca estaba prevista cuando se recogieron los datos, así que exige revisar la compatibilidad de fines, la base jurídica y la información a los afectados, además de anonimizar o seudonimizar todo lo posible. El Digital Omnibus propone facilitar el interés legítimo para entrenar IA, pero mientras no se apruebe, las reglas son las actuales.

«Shadow AI»: el riesgo que ya tienes dentro

El problema más frecuente en pymes no es un sistema de alto riesgo, sino el empleado que pega en un chatbot gratuito un contrato con datos de un cliente, un listado de nóminas o el historial de un paciente para «que se lo resuma». Eso es una comunicación de datos a un tercero, posiblemente fuera de la UE, sin contrato de encargado y quizá usada para entrenar modelos. En 2027, no tener una política interna de uso de IA será tan arriesgado como no tener política de contraseñas.

Regla práctica: antes de usar una herramienta de IA con datos personales, comprueba cuatro cosas: si hay contrato de encargado del tratamiento, dónde se alojan los datos, si se usan para entrenar el modelo y si puedes desactivar la retención del historial.

WhatsApp en la empresa: el canal más usado y más sancionado

WhatsApp es, de facto, la herramienta de comunicación de muchísimas pymes españolas. Y precisamente por eso es una de las fuentes más habituales de reclamaciones ante la AEPD.

Grupos de trabajo con el móvil personal

Añadir a un trabajador a un grupo laboral usando su número personal es un tratamiento de datos que necesita base jurídica. La AEPD lo ha dejado claro con varias resoluciones. En el caso más citado, sancionó con 70.000 euros (que quedaron en 42.000 tras las reducciones por pago voluntario y reconocimiento) a una filial de una gran firma de cosmética por incluir a una empleada que se había opuesto expresamente, y además mientras estaba de vacaciones, lo que supuso también una vulneración del derecho a la desconexión digital. También hay sanciones a clubes deportivos y comunidades por crear grupos con fines no domésticos sin consentimiento.

Problemas típicos que vemos en auditorías:

• Grupos donde todos los miembros ven el número de teléfono de todos.
• Mensajes de trabajo fuera de horario sin política de desconexión.
• Envío de datos de salud, nóminas o DNI por chat sin medidas.
• Exempleados que siguen en el grupo meses después de irse.
• Comerciales que gestionan clientes desde su WhatsApp personal: la empresa pierde el control de los datos.

Meta AI dentro de WhatsApp

Desde 2025, el asistente de Meta (el famoso «círculo azul») está integrado en la aplicación y no se puede desinstalar. La Comisión Europea abrió una investigación de competencia por la decisión de Meta de dejar fuera, desde enero de 2026, a los asistentes de IA de terceros en WhatsApp Business. Más allá del pulso antimonopolio, para la privacidad el mensaje es sencillo: lo que se escribe al asistente lo procesa Meta, así que no debe usarse para consultar datos de clientes, pacientes o trabajadores. Conviene recogerlo expresamente en la política interna.

WhatsApp Business con chatbots de IA

Cada vez más negocios automatizan citas, presupuestos o atención al cliente con IA a través de la API de WhatsApp Business. Requisitos mínimos para 2027: informar de que responde una IA (artículo 50 del AI Act), tener el contrato de encargado con el proveedor del bot, una cláusula informativa accesible en el primer contacto, plazos de conservación definidos y una vía clara para hablar con una persona.

Chat Control y el cifrado de extremo a extremo

El debate europeo sobre la detección de material de abuso sexual infantil en mensajería sigue abierto. En julio de 2026 se prorrogó hasta 2028 el régimen temporal que permite a las plataformas escanear voluntariamente los mensajes, pero excluyendo las comunicaciones cifradas de extremo a extremo. El reglamento permanente («Chat Control 2.0») sigue negociándose. Es un frente a vigilar porque afectará directamente a la confidencialidad de WhatsApp, Signal o Telegram.

Otras tecnologías que van a impactar en 2027

Blockchain: el derecho al olvido frente a la cadena inmutable

La blockchain promete trazabilidad y registros que nadie puede alterar. Precisamente ahí está el choque con el RGPD: si algo no se puede modificar ni borrar, ¿cómo se rectifica un dato erróneo o se atiende el derecho de supresión? El Comité Europeo de Protección de Datos aprobó en julio de 2026 la versión definitiva de sus Directrices 02/2025 sobre blockchain, y sus mensajes son claros:

• Que sea técnicamente imposible no exime de cumplir. Si el diseño impide ejercer los derechos, el problema es del diseño.
• No guardar datos personales en la cadena. Lo recomendable es dejar los datos fuera (off-chain) y registrar en la cadena solo huellas o referencias que puedan desvincularse.
• Justificar por qué blockchain y valorar si basta una red privada o con permisos, que da más control que una pública.
• EIPD viva: la evaluación de impacto debe revisarse a medida que la infraestructura evoluciona.

Sus usos crecen en trazabilidad alimentaria, certificados académicos, sellado de documentos, tokenización de activos y en la propia identidad digital. Y en el mundo cripto, la privacidad también cambia: desde enero de 2026 la directiva DAC8 obliga a los proveedores de criptoactivos a comunicar a Hacienda la identidad y las operaciones de sus usuarios; los primeros informes se presentan a comienzos de 2027 y el intercambio entre las Haciendas europeas llegará después. Para el usuario, la idea de anonimato en las criptomonedas queda definitivamente atrás.

Cartera europea de identidad digital (EUDI Wallet)

Antes de que acabe 2026, cada Estado miembro debe ofrecer al menos una cartera digital certificada, y a lo largo de 2027 empezará a extenderse su uso. Para el ciudadano es voluntaria; para muchas empresas será una forma nueva de identificar clientes. La gran ventaja en privacidad es la divulgación selectiva: demostrar que eres mayor de edad sin enseñar tu fecha de nacimiento, o tu domicilio sin mostrar todo el DNI. Las empresas que hoy piden fotocopia del DNI «por si acaso» tendrán que replantearse ese hábito, que ya choca con el principio de minimización.

Gafas inteligentes y wearables con cámara

Las gafas con cámara e IA integrada se venden por millones y han pasado de curiosidad a problema real de privacidad. En septiembre de 2026 la autoridad neerlandesa advirtió de que grabar a viandantes con ellas no está permitido en muchos casos, una cadena de ópticas retiró las Ray-Ban Meta de Países Bajos y Bélgica, y el Comité Europeo de Protección de Datos prepara un informe específico. Para negocios con atención al público (clínicas, despachos, comercios) es buen momento para decidir si se permiten en el local y señalizarlo, igual que se hace con las cámaras.

Biometría: fichaje con huella o cara

Fichar con la huella o con la cara está, en la práctica, prohibido para el control horario. Desde su guía de noviembre de 2023, la AEPD considera que estos sistemas tratan datos biométricos (categoría especial del artículo 9 del RGPD) sin base jurídica válida: el consentimiento del trabajador no sirve porque no es libre en una relación laboral, ninguna ley española habilita el fichaje biométrico y no supera el juicio de necesidad, ya que una tarjeta, un PIN o una aplicación cumplen la misma función. Las empresas que siguen usándolo se exponen a sanciones.

La única excepción razonable son los escenarios de máxima seguridad: el control de acceso a zonas críticas (centros de datos, laboratorios, instalaciones con materiales peligrosos o infraestructuras esenciales) donde un fallo de identificación tenga consecuencias graves. Incluso ahí hace falta justificar por escrito que no existe una alternativa menos invasiva, hacer una evaluación de impacto (EIPD) y limitar el sistema a esas zonas, nunca al fichaje de la jornada. A esto se suma el AI Act, que convierte algunos sistemas biométricos en alto riesgo y prohíbe otros, como el reconocimiento de emociones en el trabajo. Si en 2027 vas a renovar el sistema de fichaje, descarta la opción biométrica.

Ciberseguridad: NIS2

España aún tramita la ley que transpone la Directiva NIS2, con retraso sobre el plazo europeo. Cuando se apruebe, ampliará mucho el número de empresas obligadas (y a sus proveedores TIC por la cadena de suministro), responsabilizará directamente a la dirección y añadirá obligaciones de notificación de incidentes que se solapan con las brechas del RGPD.

Digital Omnibus: ¿se relaja el RGPD?

La Comisión Europea propuso en noviembre de 2025 un paquete de «simplificación» que, además del AI Act, toca el RGPD, la Directiva ePrivacy (cookies), el Reglamento de Datos y NIS2. La parte de IA ya es ley; la del RGPD y las cookies sigue en negociación, así que hoy no cambia nada para quien gestiona una web o trata datos.

Los cambios propuestos más relevantes:

• Nueva definición de dato personal con enfoque «relativo»: unos datos seudonimizados podrían no ser personales para quien no tiene la clave para reidentificarlos. El CEPD y el Supervisor Europeo han pedido retirarla.
• Cookies dentro del RGPD (nuevo artículo 88 bis), con más excepciones al consentimiento y señales automáticas desde el navegador.
• Interés legítimo para entrenar IA, con garantías reforzadas.
• Punto único de notificación de incidentes para no notificar lo mismo a varias autoridades.

Nuestra recomendación: no adelantes cambios por una norma que aún no existe. Si se aprueba, previsiblemente aliviará cargas (sobre todo en cookies), pero los principios del RGPD —licitud, minimización, transparencia y seguridad— no van a desaparecer.

Checklist: cómo preparar tu empresa para 2027

1. Inventario de IA: lista todas las herramientas con IA que se usan (incluidas las gratuitas y las que vienen «de serie» en el software) y para qué.
2. Clasificación de riesgo: identifica si alguna afecta a empleo, crédito, educación o biometría (alto riesgo en diciembre de 2027).
3. Política interna de uso de IA y formación del personal (la alfabetización en IA ya es obligatoria).
4. Contratos de encargado revisados con proveedores de IA, chatbots y plataformas en la nube.
5. Avisos de transparencia en chatbots y etiquetado del contenido generado con IA.
6. Política de WhatsApp y mensajería: dispositivos corporativos, nada de grupos con móviles personales sin base jurídica, listas de difusión en lugar de grupos, y protocolo de desconexión digital.
7. Actualización del registro de actividades y de las EIPD cuando se incorpore IA o biometría.
8. Revisión de identificación de clientes: deja de pedir copia del DNI si no es imprescindible y prepárate para la cartera digital.
9. Proyectos con blockchain: datos personales fuera de la cadena, justificación del modelo elegido y EIPD.
10. Plan de respuesta a brechas coordinado con ciberseguridad (pensando ya en NIS2).
11. Seguimiento normativo: ley española de IA, NIS2 y Digital Omnibus pueden aprobarse en 2027.

Preguntas frecuentes sobre protección de datos en 2027

¿Qué cambia en protección de datos en 2027?

El 2 de diciembre de 2027 empiezan a aplicarse las obligaciones del Reglamento Europeo de IA para los sistemas de alto riesgo, que se suman al RGPD. Además se generaliza la cartera europea de identidad digital y siguen en tramitación la ley española de IA, la ley que transpone NIS2 y la reforma del RGPD del Digital Omnibus.

¿Puede una empresa añadir a un trabajador a un grupo de WhatsApp con su móvil personal?

Solo si existe una base jurídica válida y el trabajador está informado. La AEPD ha sancionado a empresas por hacerlo sin consentimiento y fuera del horario laboral. Lo recomendable es usar dispositivos y canales corporativos.

¿Tengo que avisar si mi web usa un chatbot de inteligencia artificial?

Sí. Desde el 2 de agosto de 2026 hay que informar al usuario de que interactúa con una IA, salvo que sea evidente, y etiquetar los deepfakes y ciertos contenidos generados por IA.

¿Es seguro usar ChatGPT u otras IA con datos de clientes?

Depende de la herramienta y del contrato. Introducir datos personales en una IA generativa es un tratamiento de datos: necesita base jurídica, contrato de encargado, saber dónde se almacenan y si se usan para entrenar modelos.

¿Es compatible blockchain con el RGPD?

Sí, si se diseña bien. El CEPD recomienda no almacenar datos personales directamente en la cadena, justificar el uso de blockchain y preferir redes privadas o con permisos. La imposibilidad técnica de borrar datos no exime de cumplir el derecho de supresión.

¿Es obligatoria la cartera europea de identidad digital?

No para los ciudadanos. Sí es obligatorio que cada Estado ofrezca al menos una cartera certificada a finales de 2026, y algunas empresas que exigen identificación robusta tendrán que aceptarla progresivamente.

Conclusión

2027 no trae una única gran ley, sino la suma de varias: el alto riesgo del AI Act como protagonista, la identidad digital, la blockchain, la mensajería con IA integrada y una ciberseguridad cada vez más exigente. La buena noticia es que la base sigue siendo la misma: saber qué datos tratas, con qué herramientas, para qué y con qué garantías. Las empresas que hagan ese inventario en los próximos meses llegarán a diciembre de 2027 con los deberes hechos; las que esperen a la primera reclamación lo pagarán más caro.

¿Tu empresa está preparada para 2027? Revisamos tu uso de IA, WhatsApp y herramientas digitales y te entregamos un plan de adaptación al RGPD y al Reglamento de IA claro y priorizado. Solicitar diagnóstico o conoce nuestro servicio de protección de datos para empresas.

Fuentes y normativa

• Reglamento (UE) 2024/1689 de Inteligencia Artificial y Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA).
• Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD).
• Reglamento (UE) 2024/1183 (eIDAS 2 – cartera europea de identidad digital).
• CEPD: Directrices 02/2025 sobre el tratamiento de datos personales mediante tecnologías blockchain (versión final, julio 2026).
• Directiva (UE) 2023/2226 (DAC8 – información sobre criptoactivos).
• AEPD: Orientaciones sobre IA agéntica desde la perspectiva de protección de datos (2026).
• Ministerio para la Transformación Digital: nota sobre el proyecto de Ley de IA (mayo 2026).
• Comisión Europea: propuestas del paquete Digital Omnibus (noviembre 2025).

Colaboración gracias a lopd-sevilla.com.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. La primera consulta es gratuita.