Por Samara Nacher Prospectar o vender con inteligencia artificial no te exime de la ley: te obliga a cumplir tres marcos a la vez, el RGPD por los datos que usas, la LSSICE por el canal desde el que contactas y el AI Act por la propia tecnología. Lo comprobamos con un caso real, anonimizado: recibimos un email en frío de una empresa que vende agentes de IA que “prospectan, llaman y cierran ventas solos”, lo auditamos como despacho, y ese mismo correo (junto a la web desde la que se vende) incumplía los tres a la vez.
No damos nombres, ni de la empresa ni de sus productos: no es una denuncia, es una radiografía. Si estás pensando en usar IA para captar clientes, este es exactamente el mapa de lo que tienes que cumplir.
El caso: un email “perfecto” que fallaba por tres sitios
El correo tenía un asunto que simulaba una conversación previa que nunca existió. Dentro, la promesa de vender solo. Y una web sin aviso legal, sin banner de cookies y con una política de privacidad que no explicaba de dónde había salido nuestro contacto.
Cada uno de esos detalles cae bajo una ley distinta. Vamos por partes.
1. El canal: el email en frío no es gratis (LSSICE)
El art. 21 de la LSSICE prohíbe enviar comunicaciones comerciales por medios electrónicos que no hayan sido solicitadas o autorizadas previamente. La única excepción es que exista una relación contractual previa, que los datos se hayan obtenido de forma lícita y que lo que ofreces sea similar a lo ya contratado. En prospección en frío no concurre ninguno de los tres requisitos.
Dos matices que suelen sorprender a quien vende B2B:
- También aplica si escribes a una empresa. La prohibición no depende de que el destinatario sea una persona física; alcanza también a la persona jurídica.
- El “es que tengo interés legítimo” no salva el canal. El interés legítimo del art. 6.1.f del RGPD (y la presunción del art. 19 de la LOPDGDD para el contacto profesional) puede legitimar, como mucho, tratar ese dato. Pero no autoriza el email comercial no solicitado, que sigue prohibido por la LSSICE. Son dos preguntas distintas: si puedes tener el dato y si puedes usar ese canal.
A esto se suma el art. 20: toda comunicación comercial debe ser claramente identificable como tal e identificar a quien la hace. Un asunto engañoso que finge un vínculo inexistente incumple ese deber.
Cuánto cuesta. Un envío aislado es infracción leve (hasta 30.000 euros). Pero un modelo de negocio que prospecta a escala encaja en el envío masivo o sistemático, que es infracción grave: de 30.001 a 150.000 euros. Y lo sanciona la AEPD, aunque escribas de empresa a empresa.
2. Los datos: ¿de dónde has sacado ese contacto? (RGPD art. 14)
Este es el flanco más difícil de defender para cualquiera que prospecte con IA. Cuando contactas a alguien con quien no tenías relación, esos datos no te los ha dado esa persona: los has sacado de otra fuente (un directorio, una red profesional, una lista comprada, scraping). Y ahí manda el art. 14 del RGPD, el que regula la información cuando los datos no se obtienen del interesado.
El art. 14 te obliga a tres cosas que casi nadie cumple:
- Declarar el origen de los datos (art. 14.2.f). El interesado tiene derecho a saber de dónde salió su contacto. Es justo lo que aquella política de privacidad callaba.
- Declarar la base jurídica del tratamiento (art. 14.1.c).
- Informar en el momento de la primera comunicación (art. 14.3). Es decir: ese primer email ya debía llevar toda la información del art. 14, o un enlace accesible a ella.
No vale escudarse en que informar “supone un esfuerzo desproporcionado”: si tu negocio es precisamente prospectar, tienes el contacto para comunicarte, así que informar es trivial (basta un enlace en el primer mensaje).
Cuánto cuesta. Omitir el deber de informar y tratar sin base de licitud son infracciones muy graves (arts. 72.1.h y 72.1.b de la LOPDGDD), con multas de hasta 20 millones de euros o el 4% de la facturación anual global, la mayor de las dos. Autoridad: la AEPD.
3. La tecnología: el AI Act ya juega (desde agosto de 2026)
Aquí está lo nuevo. El art. 50 del AI Act, en vigor desde el 2 de agosto de 2026, exige transparencia cuando usas IA para interactuar o generar contenido:
- Avisar de que se interactúa con una IA. Si tu chatbot o tu agente de voz habla con un cliente, hay que dejar claro que no es una persona, a más tardar en la primera interacción. Ponerle nombre humano no te exime.
- Marcar el contenido generado por IA. Los textos y las voces sintéticas deben identificarse como tales.
Buena parte de estas obligaciones recaen sobre el proveedor de la herramienta. Pero el AI Act también te toca a ti: el art. 4 (aplicable desde el 2 de febrero de 2025) impone un deber de alfabetización en IA tanto a quien fabrica el sistema como a quien lo usa.
Y el reparto de papeles importa. La empresa que vende la herramienta es el proveedor; tú, que la despliegas para vender, eres el responsable del despliegue. Ese reparto se aplica por ley aunque el contrato guarde silencio.
Un apunte más: si la herramienta decide por su cuenta a quién descarta o prioriza como lead, sin intervención humana y con un efecto significativo para esa persona, entra además el art. 22 del RGPD sobre decisiones automatizadas. Esa obligación recae en ti como responsable, no en quien te vendió el software.
Cuánto cuesta. Incumplir la transparencia del art. 50 puede llegar a 15 millones de euros o el 3% del volumen de negocio mundial (art. 99). Para pymes se aplica el menor de los dos importes.
4. Y su propia web lo remataba (LSSICE arts. 10 y 22.2)
Predicamos con el ejemplo, así que también miramos la web desde la que se vendía la maravilla:
- Sin aviso legal. El art. 10 de la LSSICE obliga a identificar al prestador de forma permanente y accesible: denominación social, domicilio, NIF, datos de contacto. La ausencia total de esa información es un incumplimiento significativo.
- Sin banner de cookies y con el enlace de cookies roto. El art. 22.2 exige consentimiento previo e informado para las cookies no exentas. Que no haya banner es un indicio fuerte, no una prueba: la infracción solo existe si la web instala dispositivos no exentos sin consentimiento, algo que hay que comprobar técnicamente (es justo lo que hace nuestra auditoría gratuita).
- Una política que no explicaba el origen de los datos, cerrando el círculo con el punto 2.
La lección: la IA no te exime, te multiplica el deber
El error de fondo del caso no es técnico, es de concepto: creer que automatizar la venta con IA simplifica el cumplimiento. Es al revés. La IA te obliga a cumplir tres marcos en paralelo:
- RGPD, por los datos que tratas (origen, base jurídica, información al interesado).
- LSSICE, por el canal desde el que contactas (nada de email en frío sin autorización).
- AI Act, por la tecnología (transparencia y alfabetización).
Hacerlo bien no es un freno: es una ventaja competitiva. En un mercado donde casi todos los “agentes que venden solos” incumplen sin saberlo, ser el que prospecta de forma limpia genera confianza, y evita que una sola reclamación tumbe la campaña.
Antes de lanzar tu campaña de IA, mira tu propia web
Si vas a captar con IA, empieza por comprobar que tu web no te delata. Nuestra auditoría web gratuita revisa en minutos si tu aviso legal, tu política de privacidad y tus cookies están en regla, que es lo primero que un prospecto (o la AEPD) puede mirar.
Si el uso de IA en tu negocio va más allá de la web, tienes la auditoría de IA y el servicio de adaptación al AI Act para dejar tus sistemas conformes, y la figura de responsable de IA externalizado si necesitas alguien que asuma el reparto de obligaciones de forma continua.
Prospectar con IA dentro de la ley es posible. Solo hay que hacerlo con los tres marcos delante, no de espaldas a ellos.