¿Prefieres escuchar? Pulsa play para la narración con IA

Las páginas de ayuda de WhatsApp contenían texto oculto que indicaba a su chatbot de soporte con IA que no remitiera a los usuarios a las autoridades de protección de datos y, en al menos una página, que no citara el RGPD. El servicio de mensajería de Meta eliminó el texto el 18 de octubre de 2026, un día antes de que los investigadores que lo encontraron publicaran sus hallazgos.

Ninguna autoridad ha dicho que las instrucciones infringieran la ley, y siguen abiertas muchas preguntas. Pero el episodio toca la parte del RGPD que hace utilizables los derechos de las personas en la práctica, y cualquier empresa con un bot de soporte puede aprender de él. Este artículo es solo informativo y no constituye asesoramiento jurídico.

102
Bloques de instrucciones ocultos encontrados
80 / 545
Páginas de ayuda que los contenían
18 oct.
Retirados de las páginas en vivo
10 días
En línea tras ser hallados por los investigadores

Qué estaba oculto

Las instrucciones estaban en el HTML de las páginas de ayuda de WhatsApp y nunca se mostraban en pantalla. Redact, una empresa de software de eliminación de datos, las encontró al revisar 545 páginas de ayuda. Contó 102 bloques ocultos repartidos en 80 de esas páginas.

El texto dependía de la página:

Cronología

Según la cobertura que revisamos, la nota se añadió a las páginas entre el 12 de julio y el 4 de septiembre de 2026 (las copias archivadas de la página de eliminación difieren en esas fechas) y siguió en línea diez días después de que Redact la encontrara.

La respuesta de WhatsApp

WhatsApp dijo que las instrucciones estaban pensadas para su chatbot y no directamente para los usuarios, y atribuyó su exposición a un error ya corregido. Añadió que quiere que el chatbot evite dar asesoramiento jurídico. Periodistas habían contactado con Meta antes de la publicación, y WhatsApp retiró el texto antes de que WIRED o Redact publicaran.

Siguen abiertas varias preguntas. No se sabe si el chatbot siguió realmente las instrucciones ocultas. WhatsApp califica el texto de error pero, en la cobertura revisada, no ha explicado cómo llegó a 80 páginas ni quién lo escribió. Hasta ahora no se informa de ninguna actuación ni declaración de una autoridad.

Por qué importa según el RGPD

Esta sección es nuestro análisis, no una conclusión de ninguna autoridad.

El artículo 12, apartado 2, obliga a los responsables a facilitar el ejercicio de los derechos de los interesados, incluida la supresión. Una página de eliminación cuyo chatbot recibe la orden de no mencionar la eliminación manual ni a los reguladores encaja mal con ese deber. El artículo 13, apartado 2, letra d), exige informar a las personas de que pueden presentar una reclamación ante una autoridad de control. El texto oculto alejaba al bot de soporte precisamente de esa información.

La contradicción se ve en los propios documentos de WhatsApp: su política de privacidad europea dice a los usuarios que pueden reclamar ante la Data Protection Commission irlandesa o ante otra autoridad de control. Quienes preguntaron al chatbot quizá no oyeron lo mismo.

El caso también muestra un nuevo tipo de riesgo. El problema no fue lo que dijo el modelo, sino lo que un prompt oculto le ordenó no decir. Una empresa puede ser plenamente transparente en sus textos legales y aun así alejar a los usuarios de sus derechos en sus herramientas de soporte.

Qué deben hacer las empresas que usan bots de soporte con IA

Cualquier empresa que ponga un chatbot ante sus clientes puede cometer el mismo error sin mala intención. Unas pocas comprobaciones lo detectarían:

  1. Audite lo que lee el bot. Revise los prompts del sistema, el texto oculto de las páginas y las notas de la base de conocimiento, no solo lo que ven los clientes.
  2. Mantenga disponibles las respuestas sobre derechos. El bot debe poder explicar siempre cómo ejercer los derechos de acceso, supresión y oposición, y cómo reclamar ante una autoridad de control.
  3. Separe el asesoramiento jurídico de los hechos. No deje que las barreras contra el asesoramiento jurídico bloqueen información factual sobre derechos. Señalar a un regulador es información, no asesoramiento jurídico.
  4. Pruebe con preguntas sobre derechos. Pregunte «¿cómo elimino mis datos?» y «¿ante qué autoridad puedo reclamar?» antes de cada versión.
  5. Versione el contenido. Conserve el historial de todo lo que ingiere el bot, para poder demostrar cuándo se hizo un cambio y quién lo hizo.

Si su bot trata datos personales, la EIPD es el lugar natural para dejar constancia de estas comprobaciones. Véase nuestra guía de EIPD para chatbots con IA.

En resumen

Tanto si el chatbot siguió sus instrucciones ocultas como si no, la lección se mantiene: la transparencia debe valer en cada canal donde la gente hace preguntas, incluidos los de IA. Reserve una consulta gratuita con GDPRGard → y le ayudaremos a comprobar qué puede decir su bot de soporte.

Fuentes

El análisis del RGPD, incluidos los artículos 12, apartado 2, y 13, apartado 2, letra d), es nuestra lectura del reglamento y no una cita de las fuentes.

Compartir este artículo

Lee también:

⚠️ Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Para situaciones de cumplimiento complejas, consulte a un profesional cualificado en protección de datos. Los requisitos del RGPD y del Reglamento europeo de IA están sujetos a orientaciones normativas en constante evolución — verifique sus obligaciones actuales con su asesor jurídico.