Comercio minorista, comercio electrónico y centros de llamadas — Cumplimiento del EU AI Act

Obligaciones del EU AI Act para la IA en comercio minorista y centros de llamadas: divulgación de chatbots, transparencia en el reconocimiento de emociones, supervisión de empleados e IA orientada al cliente. Cubre el Art. 50 y el Annex III.

El comercio minorista, el comercio electrónico y los centros de llamadas en el marco del EU AI Act

El sector del comercio minorista y el comercio electrónico es uno de los mayores implantadores de inteligencia artificial. Desde el momento en que un cliente accede a un sitio web, la IA determina qué productos se muestran, qué precio se ofrece, qué promociones aparecen y cómo se gestionan las consultas de atención al cliente. En los centros de llamadas, la IA asesora a los agentes en tiempo real, puntúa las conversaciones e infiere la emoción del cliente a partir de señales de voz. El EU AI Act, en vigor desde el 1 de agosto de 2024, con obligaciones de transparencia clave aplicables desde el 2 de febrero de 2025 y obligaciones de alto riesgo a partir del 2 de agosto de 2026, impone un marco de cumplimiento estructurado en este ámbito.

Es fundamental destacar que el EU AI Act no trata toda la IA del comercio minorista de forma equivalente. El Reglamento establece una distinción precisa entre los sistemas sujetos únicamente a obligaciones de transparencia —la mayoría de la IA minorista orientada al consumidor— y los sistemas clasificados como de alto riesgo, que conllevan el conjunto completo de obligaciones: evaluación de conformidad, documentación técnica, sistemas de gestión de calidad y requisitos de supervisión humana. Determinar qué categoría es aplicable a cada sistema desplegado es la tarea de cumplimiento fundamental para los minoristas y operadores de centros de llamadas.

El sector está simultáneamente regulado por el GDPR, la Directiva sobre los derechos de los consumidores (2011/83/UE), la Directiva sobre las prácticas comerciales desleales (2005/29/CE), el Reglamento P2B (UE 2019/1150) y, en el caso de los centros de llamadas, los regímenes de derecho laboral nacional sobre supervisión de empleados. El EU AI Act añade una capa adicional, pero no sustituye a estos marcos normativos preexistentes.

Obligaciones de transparencia del Art. 50 — La capa principal de cumplimiento

Para la mayoría de los despliegues de IA en el comercio minorista y el comercio electrónico, el Art. 50 del EU AI Act es la disposición operativa. Sus obligaciones son aplicables desde el 2 de febrero de 2025 y no están condicionadas a la clasificación como de alto riesgo. El incumplimiento puede sancionarse con independencia del calendario de alto riesgo.

Divulgación en chatbots e IA conversacional — Art. 50(1)

El Art. 50(1) impone una obligación de divulgación obligatoria a cualquier responsable del despliegue de un sistema de IA conversacional —un sistema diseñado para interactuar con personas mediante lenguaje natural— con el fin de informar a los usuarios de que están interactuando con una IA, salvo que esto resulte evidente por las circunstancias.

En el contexto del comercio minorista, esta obligación se aplica a:

• Chatbots de sitios web y bots de chat en vivo — incluidos los widgets de chat basados en modelos de lenguaje de gran tamaño, los chatbots basados en reglas con comprensión mejorada por IA y los sistemas híbridos.
• Voicebots y IA de IVR — sistemas telefónicos automatizados que gestionan las consultas entrantes de clientes mediante IA de voz, incluidos los sistemas de respuesta interactiva de voz mejorados con IA.
• Asistentes virtuales en aplicaciones — funciones de ayuda basadas en IA integradas en aplicaciones de venta minorista, aplicaciones de programas de fidelización o aplicaciones con servicios financieros adyacentes ofrecidas por minoristas.
• Bots de atención al cliente en redes sociales — agentes de IA que responden mensajes en WhatsApp, Instagram o Messenger en nombre de un minorista.

La excepción por «evidencia de las circunstancias» es estricta. Un chatbot llamado «Emma» o descrito como «asistente virtual» no cumple el umbral exigido. Un encabezado que indique «Está usted comunicando con un sistema de IA automatizado — no interviene ningún agente humano» sería suficiente. Los minoristas no pueden confiar en la inferencia del consumidor: la divulgación debe ser explícita, realizarse en el momento del primer contacto o con anterioridad a este, y presentarse de forma comprensible para el consumidor ordinario.

La obligación recae sobre el responsable del despliegue —el minorista u operador del centro de llamadas—, no únicamente sobre el proveedor tecnológico. Las disposiciones contractuales que transfieren la responsabilidad de divulgación al proveedor no eximen al responsable del despliegue de su obligación reglamentaria.

Divulgación en sistemas de reconocimiento de emociones — Art. 50(2)

El Art. 50(2) exige que cualquier persona expuesta a un sistema de reconocimiento de emociones sea informada de su funcionamiento. Un sistema de reconocimiento de emociones es un sistema de IA que infiere estados emocionales a partir de señales fisiológicas o conductuales: expresiones faciales, tono de voz, ritmo del habla, elección de palabras o microexpresiones.

En el sector del comercio minorista y los centros de llamadas, esta obligación se aplica a:

• Análisis de sentimientos de clientes en llamadas — IA que analiza las características acústicas o lingüísticas de la voz de un cliente para inferir frustración, satisfacción o estado emocional durante una interacción en un centro de llamadas. El cliente debe ser informado de que dicho análisis está teniendo lugar.
• Análisis de clientes en tienda — sistemas de cámaras con IA que intentan inferir la emoción o atención del comprador a partir de expresiones faciales. Cuando el sistema cumple la definición de reconocimiento de emociones, se requiere la divulgación en el establecimiento.
• Análisis de voz de agentes — análisis de sentimientos o emociones aplicado a la propia voz del agente del centro de llamadas (tratado más adelante en el apartado sobre supervisión de empleados).

La divulgación debe realizarse antes de que el sistema de reconocimiento de emociones comience a procesar. En los canales telefónicos, esto requiere habitualmente un anuncio en el IVR o una notificación verbal al inicio de la llamada. El silencio —incluidos los mensajes de audio que solo hacen referencia a la grabación de la llamada sin mencionar el análisis emocional por IA— no satisface la obligación del Art. 50(2).

Medios sintéticos generados por IA — Art. 50(4)

El Art. 50(4) exige que los medios generados o manipulados por IA —imágenes, vídeo y audio— sean etiquetados como generados o manipulados artificialmente cuando exista riesgo de que los usuarios los consideren auténticos.

Las aplicaciones específicas del sector minorista en el ámbito de esta obligación incluyen:

• Imágenes de productos generadas por IA: imágenes de productos, estancias o escenas de estilo de vida producidas mediante IA generativa y presentadas como fotografía auténtica en listados de productos o en publicidad.
• Vídeo promocional generado por IA: vídeos de marca, contenido con apariencia de testimonios o materiales de marketing en los que el contenido visual o sonoro es en gran medida generado por IA.
• Narración de voz generada por IA o clonada mediante IA utilizada en demostraciones de productos, contenido de marca o comunicaciones con clientes.
• IA de prueba virtual que genera imágenes sintéticas de un cliente usando o llevando un producto, cuando el resultado se presenta como una representación fidedigna.

La obligación de etiquetado no requiere que el origen de la IA esté oculto para activar el cumplimiento: el estándar es si un consumidor podría razonablemente confundir el contenido con fotografía o vídeo auténticos. La omisión del etiquetado también genera exposición en virtud de la Directiva sobre las prácticas comerciales desleales (2005/29/CE), que prohíbe el uso de contenido editorial para promover productos sin indicar claramente que se trata de contenido remunerado o producido artificialmente.

IA de supervisión de empleados en centros de llamadas — Clasificación de alto riesgo

Los centros de llamadas despliegan habitualmente IA para supervisar, puntuar, evaluar y asesorar a los agentes en tiempo real. Cuando estos sistemas superan el umbral del Annex III, categoría 4, se aplican íntegramente las obligaciones de alto riesgo.

IA de coaching de agentes y orientación en tiempo real

La IA de coaching de agentes en tiempo real —sistemas que supervisan las llamadas en curso y proporcionan a los agentes orientación durante la llamada, guiones, indicaciones de cumplimiento o retroalimentación sobre su estado emocional— se sitúa en la intersección de las categorías 4(b) y 4(c). Cuando el sistema supervisa el cumplimiento por parte del agente de sus obligaciones contractuales (estándares de gestión de llamadas, guiones regulatorios), es de aplicación la categoría 4(b). Cuando infiere el estado emocional o conductual del agente y genera alertas o señales de rendimiento a partir de esa inferencia, es de aplicación la categoría 4(c).

Ambas subcategorías activan el conjunto completo de obligaciones de alto riesgo:

• Sistema de gestión de riesgos conforme al Art. 9: identificación, evaluación y mitigación continua de los riesgos para los agentes y para los clientes que interactúan con el sistema.
• Gobernanza de datos conforme al Art. 10: los conjuntos de datos de entrenamiento deben ser pertinentes, representativos y gestionados para minimizar el sesgo discriminatorio.
• Documentación técnica conforme al Art. 11 y el Annex IV: documentación exhaustiva del diseño del sistema, la finalidad prevista, las limitaciones, las métricas de rendimiento y los resultados de las pruebas.
• Transparencia hacia los responsables del despliegue conforme al Art. 13: los proveedores deben facilitar instrucciones de uso que incluyan información sobre las limitaciones del sistema, las condiciones de funcionamiento y los riesgos previsibles.
• Supervisión humana conforme al Art. 14: los responsables del despliegue deben designar personas con autoridad, competencia y disponibilidad para intervenir o anular los resultados del sistema.
• Exactitud y solidez conforme al Art. 15: los sistemas deben funcionar de manera fiable dentro de los parámetros declarados.

IA de puntuación de calidad y evaluación del rendimiento

Los sistemas de IA que asignan puntuaciones de calidad a las llamadas, generan clasificaciones del rendimiento de los agentes o producen resultados utilizados en procesos de evaluación, determinación de bonificaciones o despidos se encuadran en el Annex III, categoría 4(b), como sistemas utilizados para decisiones sobre promoción, asignación de tareas o supervisión del cumplimiento de obligaciones contractuales. Las obligaciones de alto riesgo se aplican íntegramente.

Los operadores deben además cumplir el requisito de divulgación del Art. 50(2) para los agentes sujetos a componentes de reconocimiento de emociones dentro de estos sistemas, con independencia del calendario de cumplimiento de alto riesgo.

Obligaciones derivadas del derecho laboral nacional

La IA de supervisión de empleados en centros de llamadas activa derechos nacionales de cogestión y consulta con independencia del EU AI Act. En Alemania, el §87(1) n.º 6 de la Betriebsverfassungsgesetz otorga a los comités de empresa derechos vinculantes de cogestión sobre dispositivos técnicos de vigilancia; los sistemas de supervisión mediante IA requieren el acuerdo del comité de empresa antes de su despliegue. Derechos equivalentes se aplican en los Países Bajos (WOR Art. 27), Austria (ArbVG §96) y Francia (Code du Travail L. 2312-38). Estas obligaciones no pueden aplazarse hasta el plazo de alto riesgo del EU AI Act de 2026.

IA orientada al cliente que no es de alto riesgo

Una proporción significativa de la IA en el comercio minorista no está clasificada como de alto riesgo en el Annex III. Las siguientes categorías no están enumeradas expresamente en el Annex III y no requieren evaluación de conformidad en virtud del EU AI Act:

• Motores de recomendación de productos — IA que personaliza las sugerencias de productos basándose en el historial de navegación, los patrones de compra o el filtrado colaborativo.
• Sistemas de precios dinámicos — IA que ajusta los precios en tiempo real en función de la demanda, el inventario, los precios de la competencia o los segmentos de consumidores.
• Previsión de la demanda de inventario — IA que predice las necesidades de existencias a nivel de SKU o de categoría.
• Modelos de predicción de abandono de clientes — IA que puntúa la probabilidad de abandono de clientes para orientar las campañas de retención.
• Personalización de búsquedas — IA que reordena los resultados de búsqueda en sitios web de venta minorista en función de señales individuales o de cohorte.
• Detección de fraude en devoluciones — IA que puntúa las solicitudes de devolución en cuanto a su posible carácter fraudulento, cuando el resultado sirve de base para una decisión revisada por una persona.

No obstante, estos sistemas están sujetos al GDPR cuando implican la elaboración de perfiles individuales de clientes. El análisis del comportamiento, la agregación del historial de compras y el seguimiento entre sitios requieren una base jurídica conforme al Art. 6 del GDPR —generalmente el interés legítimo (que requiere una prueba de ponderación documentada) o el consentimiento—. Cuando la elaboración de perfiles produce decisiones con efectos significativos sobre los consumidores individuales —por ejemplo, la suspensión de una cuenta de cliente basada en una puntuación de fraude—, puede ser de aplicación el Art. 22 del GDPR, que exige la revisión humana de las decisiones automatizadas.

El Reglamento P2B (UE 2019/1150) impone requisitos de transparencia sobre los algoritmos de clasificación utilizados en los mercados en línea y en las herramientas de comparación: los operadores deben revelar los principales parámetros que determinan la clasificación y la importancia relativa de esos parámetros. La clasificación basada en IA no está exenta.

Protección del consumidor y la Directiva sobre las prácticas comerciales desleales

Las prácticas comerciales basadas en IA en el comercio minorista generan una exposición adicional en virtud de la Directiva sobre las prácticas comerciales desleales (2005/29/CE), en particular tras las modificaciones introducidas por la Directiva Omnibus con efecto en los Estados miembros desde 2022:

• Reseñas falsas generadas por IA: la UCPD, en su versión modificada, prohíbe expresamente la presentación de reseñas falsas de consumidores y el uso de servicios de curación de reseñas que no revelen la implicación de la IA. Las reseñas de productos generadas por IA presentadas como reseñas auténticas de consumidores son ilícitas.
• Precios personalizados sin divulgación: cuando un minorista utiliza IA para presentar precios individualmente adaptados a consumidores concretos basándose en la elaboración de perfiles, la UCPD modificada exige revelar el hecho de la personalización cuando el consumidor se encuentra ante un precio personalizado.
• Personalización manipuladora: el Art. 5 del EU AI Act prohíbe los sistemas de IA que utilizan técnicas subliminales o explotan vulnerabilidades para distorsionar el comportamiento de los consumidores. La personalización agresiva que se dirige a los consumidores en momentos de vulnerabilidad cognitiva o que explota estados emocionales inferidos a partir de datos de interacciones previas puede constituir una práctica prohibida.
• Descripciones engañosas generadas por IA: las descripciones de productos, especificaciones o afirmaciones comparativas generadas por IA que sean inexactas o fabricadas —incluidas las especificaciones alucinadas en contenido de productos generado por modelos de lenguaje de gran tamaño— pueden constituir prácticas comerciales engañosas en virtud de la UCPD.

Autoridades de supervisión y sanciones

La aplicación de las obligaciones del EU AI Act en el sector del comercio minorista se distribuye entre varias autoridades competentes:

• Autoridades nacionales de supervisión de IA: designadas en virtud de la legislación de transposición del EU AI Act de cada Estado miembro. Son las autoridades principales para las infracciones de transparencia del Art. 50 y para las vulneraciones del cumplimiento de alto riesgo.
• Autoridades de protección de los consumidores: los organismos nacionales de consumo y la red BEUC serán especialmente activos en la supervisión de la divulgación en chatbots, el etiquetado del contenido generado por IA y las prácticas de IA adyacentes a la UCPD. La Red de Cooperación para la Protección de los Consumidores (CPC) permite la aplicación coordinada entre Estados miembros.
• Autoridades de protección de datos: mantienen competencia de aplicación concurrente en virtud del GDPR para la elaboración de perfiles de clientes, la toma de decisiones automatizada y los incidentes relativos al tratamiento de datos biométricos.
• Inspecciones de trabajo: en los Estados miembros con regímenes de inspección laboral consolidados —Francia (DREETS), Alemania (Gewerbeaufsicht) y España (Inspección de Trabajo)— la supervisión de empleados mediante IA que vulnere la normativa laboral o las obligaciones de cogestión está sujeta a investigación con independencia de los procedimientos del EU AI Act.

Exposición a sanciones en virtud del EU AI Act: las infracciones de las obligaciones de transparencia del Art. 50 conllevan multas de hasta 15 millones de euros o el 3 % de la facturación anual global, la cantidad que sea mayor. Las infracciones de prácticas prohibidas (Art. 5) conllevan multas de hasta 35 millones de euros o el 7 % de la facturación anual global. Las multas del GDPR se aplican de forma acumulativa. Para los grandes operadores de comercio electrónico con ingresos globales elevados, el límite del 7 % representa una exposición financiera considerable.

Hoja de ruta de cumplimiento para minoristas y operadores de centros de llamadas

Un programa estructurado de cumplimiento del EU AI Act para el sector del comercio minorista debe abordar los siguientes aspectos en secuencia:

1. Inventario de sistemas de IA: catalogar todas las herramientas de IA en uso en los canales orientados al cliente (sitio web, aplicación, teléfono, redes sociales), las funciones de marketing y comercialización (precios, recomendaciones, generación de contenido) y las operaciones del centro de llamadas (coaching, puntuación, supervisión). Para cada sistema, determinar si es una herramienta de uso general, un sistema sujeto a obligaciones de transparencia o potencialmente de alto riesgo.

2. Auditoría de divulgación en chatbots y voicebots: revisar todos los despliegues de IA conversacional para verificar el cumplimiento del Art. 50(1). Comprobar que la divulgación es explícita, se facilita en el primer contacto y no se basa en la inferencia del consumidor. Actualizar el texto de la interfaz de chat, los guiones del IVR y el lenguaje del centro de ayuda en consecuencia.

3. Mapeo del reconocimiento de emociones: identificar todos los sistemas —orientados al cliente y orientados al agente— que infieren estados emocionales o afectivos. Implementar las notificaciones del Art. 50(2) para todos los sistemas en el ámbito de aplicación. Para los sistemas orientados a los agentes, evaluar la clasificación en la categoría 4 del Annex III e iniciar la planificación del cumplimiento de alto riesgo.

4. Auditoría de medios sintéticos: auditar todos los activos de marketing, imágenes de productos y contenido de marca en busca de componentes generados por IA. Implementar un flujo de trabajo de etiquetado conforme al Art. 50(4) que garantice que el contenido generado o manipulado sea identificado antes de su publicación.

5. Diligencia debida en la IA del centro de llamadas: para cada proveedor de IA que suministre herramientas de coaching, puntuación o supervisión, solicitar confirmación de la clasificación en el Annex III, el estado del marcado CE (a partir del 2 de agosto de 2026) y las instrucciones de uso. Iniciar los procedimientos de consulta al comité de empresa o de cogestión conforme al derecho nacional aplicable.

6. Revisión de la elaboración de perfiles en virtud del GDPR: realizar una auditoría de la base jurídica del GDPR para las actividades de elaboración de perfiles de clientes. Cuando se invoca el interés legítimo, documentar y mantener registros de las pruebas de ponderación. Actualizar los avisos de privacidad para reflejar las prácticas de elaboración de perfiles basadas en IA.

7. Verificación del cumplimiento de la UCPD: revisar la divulgación de precios personalizados, las prácticas de generación de reseñas y los flujos de trabajo de contenido generado por IA conforme a los requisitos de la UCPD, incluidas las modificaciones de la Directiva Omnibus tal como han sido transpuestas en los Estados miembros pertinentes.

8. Respuesta a incidentes y gobernanza: establecer la titularidad de la gobernanza de la IA —habitualmente entre las funciones jurídica, de delegado de protección de datos (DPO), de cumplimiento y digital/tecnológica— con procedimientos de escalada documentados para los incidentes que impliquen infracciones del Art. 50 o reclamaciones de empleados relacionadas con la IA de supervisión.

Los minoristas y operadores de centros de llamadas que implantaron la IA de forma temprana en sus flujos de trabajo de atención al cliente y operativos tienen la mayor superficie de cumplimiento. Las obligaciones de transparencia del Art. 50 ya son aplicables; las obligaciones de alto riesgo para la IA de supervisión de empleados requieren una preparación a nivel de programa antes del 2 de agosto de 2026.