Chatbot en el mostrador de una agencia de domiciliación: lo que pide la CNIL, y por qué un humano que valida resuelve casi todo
En sus recomendaciones publicadas el 19 de febrero de 2021, la CNIL fija cuatro reglas para los chatbots: ningún rastreador sin consentimiento salvo que el visitante abra él mismo la conversación, una conservación limitada a la finalidad, una vigilancia especial sobre los datos sensibles, y la prohibición de que una conversación automatizada produzca por sí sola una decisión importante (artículo 22 del RGPD). Una acogida por QR en la retirada de correo cumple esas casillas, a condición de que un colaborador mantenga el control.
El texto de la CNIL es corto y concreto. Primer punto: el rastreador (cookie o equivalente) que instala un chatbot está exento de consentimiento si se deposita a petición del usuario, es decir, cuando es él quien abre la conversación; si se deposita nada más llegar a la página, hay que recoger el consentimiento. Segundo punto: los intercambios solo se conservan el tiempo necesario para la finalidad anunciada (responder al visitante, transmitir una solicitud al servicio correspondiente) y después se suprimen o anonimizan. Tercer punto: si la conversación puede hacer aflorar datos sensibles (salud, situación judicial), hay que informar a la persona de antemano y prever una purga. Cuarto punto, el más importante para un domiciliataire: el artículo 22 del RGPD prohíbe que una decisión con efectos jurídicos o significativos se tome únicamente mediante un tratamiento automatizado. Un chatbot informa; no rechaza la retirada de una carta ni expide una attestation.
Llevado al mostrador de una agencia de domiciliación, esto dibuja un marco simple. El visitante escanea el QR colocado en la pantalla o en la ventanilla: es él quien abre la conversación, así que no hay banner de consentimiento en ese momento. El asistente explica los horarios, los documentos que hay que presentar para retirar un correo certificado, el plazo de una attestation de domiciliación. Cuando la solicitud exige un acto (entregar una carta, emitir una attestation, modificar un contrato) pasa al colaborador de la agencia, que decide y firma. Así está construido el Pack Accueil de AppH: la conversación sigue al visitante de la pantalla a su teléfono, pero nada sale de la agencia sin que una persona lo haya validado. El asistente se presenta como tal desde la primera línea, y los intercambios ligados a un expediente se conservan según la duración fijada por el domiciliataire, alojados en Francia, bajo contrato de encargado del tratamiento (artículo 28).
A favor de AppH
- La activación por QR es exactamente el caso «a petición del usuario» que la CNIL exime de consentimiento: la acogida en agencia parte con una ventaja de conformidad que no tiene un widget cargado automáticamente en la web de la sede.
- El principio «el asistente informa, el colaborador decide» no es un eslogan: es la línea que traza el artículo 22, y también lo que tranquiliza a un directivo de red sometido al agrément prefectoral.
En contra / el límite honesto
- Las recomendaciones de la CNIL son de 2021 y apuntan a chatbots de escenarios; los modelos de lenguaje actuales plantean preguntas adicionales (memoria, reutilización de los intercambios) que ese texto no trata. Hay que leer también las fichas de IA más recientes de la CNIL.
- AppH no es una asesoría jurídica: el registro de tratamientos, la duración de conservación y la información a los visitantes siguen siendo decisiones del domiciliataire, responsable del tratamiento. Nosotros aportamos los ajustes y el contrato, no una conformidad llave en mano.
Nos preguntan a menudo si un asistente de acogida «es RGPD». La pregunta, mal planteada, esconde otra mejor: ¿quién decide? Mientras un colaborador habilitado valide cada acto, el asistente es un panel informativo que habla, y la CNIL sabe encuadrar eso muy bien desde 2021. El día en que se deja a la máquina rechazar una retirada o expedir un documento, se cambia de categoría jurídica, y de responsabilidad. Hemos elegido no cruzar nunca esa línea, menos por prudencia que por lucidez sobre lo que exige realmente un mostrador de domiciliación: precisión, y alguien que responda de lo que entrega.
Verificado por un humano de AppH