La Ley de IA de la UE y el Guest WiFi: lo que los profesionales del marketing deben saber
La Ley de IA de la UE (Reglamento 2024/1689) introduce un marco basado en el riesgo que afecta directamente a cómo los operadores de espacios físicos despliegan el marketing de WiFi basado en IA, los Captive Portals y la analítica de visitas. Esta guía asocia los cuatro niveles de riesgo de la Ley con casos de uso reales de Guest WiFi, identifica las prácticas prohibidas —incluyendo la inferencia de emociones y la puntuación social— y proporciona pasos de cumplimiento prácticos para equipos de TI y directores de marketing en los sectores de hostelería, retail, eventos y entornos públicos. Comprender en qué parte del espectro de riesgo se encuentra su despliegue, así como implementar las obligaciones de transparencia del Artículo 50 para chatbots de IA y portales conversacionales, ya no es opcional: la aplicación de las prácticas prohibidas comenzó en febrero de 2025.
Escuchar esta guía
Ver transcripción del podcast
Resumen Ejecutivo
La Ley de IA de la UE (Reglamento 2024/1689) es el primer marco jurídico integral del mundo para la inteligencia artificial, y se aplica directamente a la forma en que los operadores de establecimientos despliegan la IA en su infraestructura de Guest WiFi . La Ley clasifica los sistemas de IA en cuatro niveles de riesgo (Prohibido, Alto Riesgo, Riesgo Limitado y Riesgo Mínimo) y asigna las obligaciones de conformidad en consecuencia. Para la mayoría de los operadores de hostelería y retail , el impacto operativo inmediato se divide en dos áreas: en primer lugar, garantizar que cualquier interfaz conversacional impulsada por IA en un Captive Portal incluya una declaración de transparencia clara según el Artículo 50; y en segundo lugar, auditar las pilas de marketing existentes para confirmar que no utilizan prácticas prohibidas como la inferencia de emociones, la puntuación social o la categorización biométrica basada en atributos sensibles.
Las disposiciones sobre prácticas prohibidas en virtud del Artículo 5 entraron en vigor en febrero de 2025. Las obligaciones para sistemas de alto riesgo en virtud del Anexo III se aplican a partir de agosto de 2026. Las multas por infracciones de prácticas prohibidas alcanzan hasta 35 millones de euros o el 7% de la facturación anual global. Esta guía proporciona una referencia técnica para directores de TI, arquitectos de red y responsables de conformidad que necesiten evaluar sus despliegues actuales e implementar los cambios requeridos este trimestre.
Análisis Técnico Detallado
El Marco de Riesgo de Cuatro Niveles
La Ley de IA de la UE clasifica los sistemas de IA según el riesgo que representan para los derechos fundamentales, la seguridad y los valores democráticos. La clasificación determina las obligaciones de conformidad que se aplican tanto al proveedor (el desarrollador o vendedor del sistema de IA) como al desplegador (la organización que pone el sistema en servicio, normalmente el operador del establecimiento o el equipo de TI).
Los cuatro niveles, asignados a los contextos de Guest WiFi y marketing en establecimientos, son los siguientes:
| Nivel de Riesgo | Referencia de la Ley de IA | Ejemplos de Marketing WiFi | Obligación de Conformidad |
|---|---|---|---|
| Prohibido | Artículo 5 | Inferencia de emociones en interacciones del portal; puntuación social de invitados; categorización biométrica por raza/religión | Cese inmediato; no se permite el despliegue |
| Alto Riesgo | Anexo III | Verificación biométrica en el Captive Portal; elaboración de perfiles por IA para el acceso a servicios esenciales | Evaluación de conformidad, documentación técnica, sistema de gestión de riesgos, registro en la base de datos de la UE |
| Riesgo Limitado | Artículo 50 | Chatbots de IA en Captive Portals; páginas de bienvenida con IA generativa; sistemas de reconocimiento de emociones (contextos no prohibidos) | Declaración de transparencia a los usuarios finales antes o durante la interacción |
| Minimal Risk | No specific obligation | Aggregate footfall analytics; dwell-time heatmaps; rules-based personalisation; bandwidth optimisation AI | No AI Act-specific obligations (GDPR still applies) |
Prohibited Practices Under Article 5
Article 5 of the AI Act defines eight categories of prohibited AI practice. Three are directly relevant to venue WiFi marketing deployments.
Manipulative and Deceptive Techniques. The Act prohibits AI systems that deploy subliminal, manipulative, or deceptive techniques to distort a person's behaviour and impair their ability to make an informed decision, where this causes or is likely to cause significant harm. In a WiFi marketing context, this targets systems that exploit behavioural signals captured at the Captive Portal — click hesitation, scroll patterns, time-on-page — to infer psychological vulnerabilities and serve manipulative offers. The key threshold is significant harm; regulators will assess this contextually, but the principle is clear: AI-driven nudging that bypasses rational agency is out of scope.
Social Scoring. The Act prohibits AI systems that evaluate or classify individuals based on their social behaviour or personal characteristics, where this leads to detrimental or unfavourable treatment. A WiFi loyalty system that uses an AI model to score guests on behavioural patterns — visit frequency, dwell time, purchase signals — and then restricts access speed or withholds offers from lower-scoring guests would fall within this prohibition. The distinction between permissible personalisation and prohibited social scoring lies in whether the AI classification produces detrimental treatment: serving a premium guest a better offer is personalisation; denying a lower-scoring guest access to services is social scoring.
Biometric Categorisation of Sensitive Attributes. The Act prohibits AI systems that use biometric data to infer sensitive attributes including race, political opinion, trade union membership, religious or philosophical beliefs, sex life, or sexual orientation. This is particularly relevant for venues using camera-based analytics alongside WiFi data. If an AI system cross-references device MAC address data with visual analytics to infer ethnicity and personalise content accordingly, that is a direct Article 5 violation. The prohibition applies regardless of whether the biometric data is processed in real time or in batch.
Inferencia de emociones: aclaración del alcance. La Ley prohíbe la inferencia de emociones en lugares de trabajo e instituciones educativas. Esta prohibición no se extiende automáticamente a establecimientos comerciales, hoteles o estadios en relación con los clientes. Sin embargo, si su establecimiento es también un lugar de trabajo (un campus corporativo, un espacio de co-working, un hospital) y utiliza la inferencia de emociones con los empleados conectados al WiFi para clientes, eso está prohibido. Los operadores de los establecimientos deben mapear cuidadosamente sus poblaciones de usuarios antes de asumir que la prohibición de inferencia de emociones no se aplica.
Sistemas de alto riesgo según el Anexo III
El Anexo III de la Ley enumera los casos de uso clasificados como de alto riesgo. Para los despliegues de WiFi para clientes, dos categorías son directamente relevantes.
En primer lugar, los sistemas biométricos: los sistemas de identificación biométrica remota (excluyendo la verificación biométrica simple que confirma que una persona es quien dice ser) y los sistemas de categorización biométrica que infieren atributos sensibles o protegidos son de alto riesgo. Si su Captive Portal utiliza el reconocimiento facial para autenticar a los clientes que regresan, ese sistema requiere una evaluación de conformidad completa, documentación técnica, un sistema de gestión de riesgos a lo largo de todo el ciclo de vida del sistema y el registro en la base de datos de la Ley de IA de la UE.
En segundo lugar, la elaboración de perfiles individuales: cualquier sistema de IA enumerado en el Anexo III se considera siempre de alto riesgo si elabora perfiles de personas, lo que se define como el tratamiento automatizado de datos personales para evaluar aspectos de la vida de una persona, incluidos sus gustos, intereses, comportamiento y ubicación o movimientos. Esta es la disposición que con mayor probabilidad afectará a las plataformas de WiFi Analytics que crean perfiles individuales persistentes que alimentan decisiones de marketing automatizadas. La pregunta clave es si el sistema de IA toma o influye sustancialmente en decisiones automatizadas sobre clientes individuales en función de sus características perfiladas.
Obligaciones de transparencia del Artículo 50: la prioridad inmediata
Para la mayoría de los operadores de establecimientos en la actualidad, el Artículo 50 es la disposición más relevante a nivel operativo. Abarca tres escenarios:
Sistemas de IA conversacional (Artículo 50(1)): los proveedores deben garantizar que los sistemas de IA destinados a interactuar con personas físicas estén diseñados de manera que se informe a dichas personas de que están interactuando con un sistema de IA, a menos que resulte obvio por el contexto. Quienes los desplieguen deben asegurarse de que esta información esté disponible. Esto se aplica a cualquier chatbot de IA desplegado en un Captive Portal, ya sea para servicios al cliente, asistencia en el registro de hoteles, navegación por el establecimiento o consultas de marketing.
Reconocimiento de emociones y categorización biométrica (Artículo 50(3)): quienes desplieguen sistemas de reconocimiento de emociones o sistemas de categorización biométrica deben informar a las personas físicas expuestas a ellos. Esta es una obligación independiente de la información sobre el chatbot y se aplica incluso cuando el sistema no esté prohibido.
Contenido sintético (Artículo 50(4)): los sistemas de IA que generen contenido sintético de audio, imagen, vídeo o texto deben marcar dicho contenido como generado por IA. Si su Captive Portal utiliza IA generativa para producir mensajes de bienvenida personalizados o textos promocionales, ese contenido debe estar etiquetado.
La Ley de IA y el GDPR: un marco de cumplimiento acumulativo
La Ley de IA no sustituye al GDPR; funciona en paralelo. Para los operadores de establecimientos, esto significa que las obligaciones de cumplimiento de ambos marcos se aplican simultáneamente a los despliegues de marketing WiFi basados en IA.
Bajo el GDPR, las disposiciones pertinentes para el marketing WiFi basado en IA incluyen: Artículo 6 (base jurídica para el tratamiento), Artículo 9 (categorías especiales de datos, relevante si se tratan datos biométricos), Artículos 13/14 (obligaciones de transparencia en los avisos de privacidad), Artículo 22 (restricciones a las decisiones individuales automatizadas) y Artículo 35 (Evaluación de Impacto relativa a la Protección de Datos para tratamientos de alto riesgo).
La Ley de IA añade: Artículo 5 (cumplimiento de prácticas prohibidas), Artículo 50 (revelación de transparencia en el punto de interacción con la IA) y, para sistemas de alto riesgo, Artículos 8–17 (gestión de riesgos, documentación técnica, evaluación de la conformidad, registro).
Allí donde el GDPR exige una EIPD para el tratamiento de datos de alto riesgo, la Ley de IA exige un sistema de gestión de riesgos para los sistemas de IA de alto riesgo. Estos pueden y deben alinearse: una única evaluación integrada que cubra tanto los riesgos del tratamiento de datos (GDPR) como los riesgos del sistema de IA (Ley de IA) resulta más eficiente y demuestra una postura de gobernanza madura ante los reguladores.
El Artículo 22 del GDPR es especialmente relevante para los Captive Portals basados en IA. Restringe las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar a las personas. Si su sistema de IA toma decisiones automatizadas sobre niveles de acceso a WiFi, elegibilidad promocional o calidad del servicio sin supervisión humana, debe evaluar si se aplica el Artículo 22 y si debe ofrecer a los clientes el derecho a solicitar una revisión humana.
Guía de implementación
Paso 1: Cree su inventario de IA
Antes de poder evaluar el cumplimiento, necesita una visión completa de cada sistema de IA en su pila de marketing WiFi. Esto implica ir más allá de sus propios despliegues para incluir componentes de IA integrados en plataformas de terceros: herramientas de automatización de marketing, paneles de analítica, proveedores de Captive Portal e integraciones de CRM.
Para cada sistema, documente: la función del sistema; los datos que procesa; el proveedor y los subencargados del tratamiento; el nivel de riesgo según la Ley de IA; y las obligaciones de cumplimiento aplicables. Este inventario es la base de su postura de cumplimiento con la Ley de IA y será necesario si los reguladores solicitan pruebas de la debida diligencia.
Paso 2: Clasifique cada sistema según los niveles de riesgo
Aplica el marco de cuatro niveles a cada sistema de tu inventario. Las preguntas de clasificación son:
- ¿Utiliza el sistema alguna práctica de las enumeradas en el Artículo 5? En caso afirmativo, está prohibido: suspende su despliegue.
- ¿Se utiliza el sistema para la verificación biométrica, la elaboración de perfiles individuales para el acceso a servicios o cualquier otro caso de uso del Anexo III? En caso afirmativo, es de alto riesgo: comienza la planificación de la evaluación de la conformidad.
- ¿Interactúa el sistema con personas físicas de forma conversacional, genera contenido sintético o realiza reconocimiento de emociones? En caso afirmativo, es de riesgo limitado: implementa las declaraciones de transparencia del Artículo 50.
- ¿Ninguno de los anteriores? Es de riesgo mínimo: sin obligaciones específicas de la Ley de IA, pero el cumplimiento del GDPR sigue siendo obligatorio.
Paso 3: Implementar las declaraciones de transparencia del Artículo 50
Para cualquier chatbot de IA o interfaz conversacional en tu Captive Portal, implementa una declaración de transparencia clara antes de que comience la interacción. La declaración debe ser explícita: no implícita, ni oculta en los términos y condiciones. Un elemento sencillo de la interfaz de usuario que indique "Estás chateando con un asistente de IA" al inicio de la sesión cumple con la obligación. Este es un cambio de front-end, no una reconstrucción del sistema, y debería poder desplegarse en un solo sprint.
Para los sistemas de reconocimiento de emociones que funcionen en tu establecimiento (donde no estén prohibidos), añade un aviso visible en la zona de funcionamiento que informe a los clientes de que se está utilizando un sistema de reconocimiento de emociones.
Paso 4: Revisar los acuerdos de subencargados del tratamiento de los proveedores
Como entidad que despliega el sistema, compartes la responsabilidad por las prácticas prohibidas que utilicen tus proveedores. Revisa tus contratos con los proveedores de plataformas de marketing de WiFi, proveedores de analítica y proveedores de Captive Portal. Solicita confirmación explícita de su clasificación según la Ley de IA y su documentación de cumplimiento. Añade disposiciones contractuales que obliguen a los proveedores a notificarte cualquier cambio en sus sistemas de IA que pueda afectar a la clasificación de riesgo.
Paso 5: Alinear con la gobernanza del GDPR
Incorpora a tu Delegado de Protección de Datos al proceso de cumplimiento de la Ley de IA. Actualiza tu Registro de Actividades de Tratamiento para incluir las clasificaciones de los sistemas de IA. Cuando se requiera una evaluación de impacto relativa a la protección de datos (EIPD) bajo el GDPR para el tratamiento de datos de alto riesgo, amplíala para cubrir los requisitos de gestión de riesgos de la Ley de IA. Asegúrate de que tus avisos de privacidad estén actualizados para reflejar el tratamiento basado en IA y las declaraciones de transparencia del Artículo 50.
Paso 6: Planificar el cumplimiento de los sistemas de alto riesgo (fecha límite de agosto de 2026)
Si alguno de tus sistemas está clasificado como de alto riesgo, comienza ya el proceso de evaluación de la conformidad. La fecha límite de agosto de 2026 para los sistemas del Anexo III está más cerca de lo que parece si se tiene en cuenta el tiempo necesario para la documentación técnica, la implementación del sistema de gestión de riesgos y el registro en la base de datos de la UE. Involucra a tus proveedores con antelación para entender qué documentación pueden aportar y qué debes generar tú como entidad que realiza el despliegue.
Buenas prácticas
Adopte un enfoque de Privacidad por Diseño (Privacy-by-Design) para el despliegue de la IA. Los requisitos de la Ley de IA para los sistemas de alto riesgo (gestión de riesgos a lo largo de todo el ciclo de vida, gobernanza de datos, documentación técnica) se cumplen de manera más eficiente cuando se integran en la arquitectura del sistema desde el principio, en lugar de incorporarse a posteriori. Al evaluar nuevas herramientas de marketing basadas en IA, incluya los requisitos de conformidad con la Ley de IA en sus criterios de adquisición, junto con el cumplimiento de la GDPR y estándares de seguridad como ISO 27001 y PCI DSS.
Priorice los datos de origen directo (first-party) basados en el consentimiento frente a los atributos inferidos. Las prácticas prohibidas y las clasificaciones de alto riesgo de la Ley se dirigen principalmente a los sistemas de IA que infieren características sensibles o toman decisiones automatizadas significativas sobre las personas. Los sistemas que utilizan datos de origen directo con consentimiento explícito (direcciones de correo electrónico, preferencias declaradas, pertenencia a programas de fidelización) para impulsar la personalización presentan un riesgo regulatorio significativamente menor que los sistemas que infieren características a partir de señales de comportamiento.
Mantenga una separación entre la IA de operaciones de red y la IA de marketing. Los sistemas de IA utilizados para la gestión de redes (asignación de ancho de banda, mitigación de interferencias, equilibrio de carga) presentan un riesgo mínimo según la Ley. Los sistemas de IA utilizados para la creación de perfiles de invitados y la personalización de marketing conllevan un mayor riesgo. Mantenerlos arquitectónicamente separados simplifica su clasificación de riesgos y limita el radio de impacto de cualquier problema de cumplimiento en el ecosistema de marketing.
Tome como referencia IEEE 802.1X y WPA3 para la arquitectura de autenticación. Cuando se utilice la verificación biométrica en el Captive Portal, asegúrese de que la arquitectura de autenticación subyacente cumpla con los estándares actuales. IEEE 802.1X proporciona control de acceso a la red basado en puertos con una autenticación sólida, y WPA3 ofrece un cifrado mejorado para la capa inalámbrica. Estos estándares son independientes del proveedor y se citan tanto en los marcos de seguridad empresarial como en las directrices de la GDPR sobre medidas técnicas adecuadas.
Documente sus decisiones de cumplimiento con la Ley de IA. Incluso para los sistemas de riesgo mínimo, documentar el fundamento de su clasificación demuestra la debida diligencia ante los reguladores. La Ley de IA exige que los proveedores de sistemas de alto riesgo documenten su evaluación antes de comercializar el sistema; como implantador, mantener una documentación equivalente para sus propias evaluaciones de riesgos constituye una práctica recomendada.
Resolución de problemas y mitigación de riesgos
Riesgo: Las prácticas de IA de los proveedores son opacas. Muchas plataformas de automatización de marketing y analítica de WiFi integran funciones de IA que no están claramente documentadas. Mitigación: Envíe un cuestionario formal de conformidad con la Ley de IA a todos los proveedores. Solicite la clasificación de sus sistemas, la documentación técnica y las pruebas de que evitan las prácticas prohibidas. Incluya el cumplimiento de la Ley de IA como un requisito contractual en los acuerdos nuevos y renovados.
Riesgo: El chatbot del Captive Portal carece de la información requerida por el Artículo 50. Esta es la brecha de cumplimiento más común identificada en las implementaciones actuales. Mitigación: Audite la interfaz de usuario de su Captive Portal. Si alguna interfaz de IA conversacional carece de una declaración clara antes de la interacción, este es un elemento de subsanación prioritario. La solución es un cambio de interfaz de usuario que se puede implementar en cuestión de días.
Riesgo: La plataforma de analítica crea perfiles individuales que activan una clasificación de alto riesgo. Si su plataforma de WiFi Analytics crea perfiles individuales persistentes que alimentan decisiones de marketing automatizadas, es posible que esté operando un sistema de alto riesgo sin la evaluación de conformidad requerida. Mitigación: Revise el modelo de datos de la plataforma. Si se están creando perfiles individuales y se utilizan para decisiones automatizadas, consulte a su proveedor sobre su clasificación según la Ley de IA e inicie un proceso de evaluación de conformidad.
Riesgo: El cumplimiento de GDPR y de la Ley de IA se tratan como flujos de trabajo independientes. Las organizaciones que gestionan el cumplimiento de GDPR y de la Ley de IA en equipos separados se arriesgan a duplicaciones, lagunas y documentación incoherente. Mitigación: Establezca un marco unificado de gobernanza de la IA que aborde ambos marcos regulatorios. Un único proceso integrado de evaluación de impacto de protección de datos (DPIA) y evaluación de riesgos de IA es más eficiente y más defendible.
Riesgo: Clasificación errónea del alcance de la inferencia de emociones. La prohibición de la inferencia de emociones se aplica en los lugares de trabajo y en las instituciones educativas. Los espacios que también son lugares de trabajo (campus corporativos, hospitales, espacios de coworking) deben aplicar la prohibición a los sistemas orientados a los empleados, no solo a los orientados a los clientes. Mitigación: Identifique a sus poblaciones de usuarios y aplique la prohibición a todos los contextos en los que los empleados puedan estar sujetos a la inferencia de emociones.
ROI e impacto empresarial
El cumplimiento de la Ley de IA de la UE no es puramente un centro de costes. Las organizaciones que crean marcos de gobernanza de la IA antes de que se aplique la normativa obtienen ventajas competitivas medibles.
Reducción del riesgo regulatorio. Las multas por infracciones de prácticas prohibidas (de hasta 35 millones de euros o el 7 % de la facturación anual global) representan un riesgo financiero material para cualquier organización que opere a gran escala en los estados miembros de la UE. Una postura de cumplimiento proactiva elimina esta exposición.
Diferenciación de proveedores. A medida que el cumplimiento de la Ley de IA se convierte en un requisito de contratación, las plataformas que puedan demostrar una clasificación de riesgos clara, prácticas de IA transparentes e interfaces que cumplan con el Artículo 50 serán preferidas frente a las que no puedan hacerlo. Para los operadores de hostelería y comercio minorista que evalúan plataformas de marketing WiFi, la documentación de cumplimiento de la Ley de IA se está convirtiendo en un requisito estándar en las solicitudes de propuestas (RFP).
Confianza del cliente y calidad de los datos de primera mano. Las obligaciones de transparencia del Artículo 50, cuando se implementan correctamente, aumentan la confianza del cliente. Los clientes que comprenden cómo se utiliza la IA en su interacción son más propensos a participar de manera auténtica y a proporcionar datos de primera mano de mayor calidad. Esto mejora directamente la precisión de los modelos de personalización y el ROI de las campañas de marketing.
Eficiencia operativa mediante una gobernanza unificada. Las organizaciones que alinean sus marcos de cumplimiento de GDPR y de la Ley de IA en una única estructura de gobernanza reducen la duplicación de esfuerzos en los equipos legal, de TI y de marketing. La inversión en la creación de este marco da sus frutos a medida que el panorama regulatorio sigue evolucionando: a la Ley de IA le seguirán otras normativas específicas de IA, y una postura de gobernanza madura proporciona una base duradera.
Para los operadores de transporte y las organizaciones del sector público, el cumplimiento de la Ley de IA es especialmente importante dada la mayor supervisión de los sistemas de IA en espacios de acceso público. El cumplimiento proactivo demuestra la rendición de cuentas tanto ante los reguladores como ante el público, respaldando objetivos más amplios de confianza digital.
Para obtener más información sobre marcos de cumplimiento relacionados, consulte nuestra guía sobre el Cumplimiento de PIPEDA para Guest WiFi en Canadá , que cubre requisitos análogos de consentimiento y transparencia en el contexto canadiense.
Escuchar: Podcast sobre la Ley de IA de la UE y Guest WiFi
Definiciones clave
Proveedor (Reglamento de IA de la UE)
Persona física o jurídica, autoridad pública, organismo u otra entidad que desarrolle un sistema de IA o un modelo de IA de uso general, o que encargue su desarrollo con el fin de introducirlo en el mercado o ponerlo en servicio con su propio nombre o marca comercial, ya sea de forma remunerada o gratuita.
En el contexto de Guest WiFi, el proveedor suele ser el desarrollador de la plataforma de marketing WiFi o el creador del motor de personalización de IA. Los proveedores de sistemas de alto riesgo asumen las obligaciones de cumplimiento más estrictas en virtud del Reglamento.
Responsable del despliegue (Reglamento de IA de la UE)
Persona física o jurídica, autoridad pública, organismo u otra entidad que utilice un sistema de IA bajo su propia autoridad, salvo cuando dicho sistema se utilice en el marco de una actividad personal no profesional.
El operador del establecimiento (grupo hotelero, cadena de tiendas, operador de estadios) es el responsable del despliegue. Los responsables del despliegue deben cumplir con las obligaciones de transparencia del Artículo 50 y garantizar que los sistemas de IA que utilizan cumplan con los requisitos del Reglamento, incluso cuando dichos sistemas sean suministrados por terceros.
Sistema de categorización biométrica
Sistema de IA destinado a asignar personas físicas a categorías específicas a partir de sus datos biométricos, como el rostro, el movimiento, la marcha, la postura, la voz, el aspecto físico, el comportamiento u otras características o rasgos humanos fisiológicos o conductuales.
Relevante para los operadores de establecimientos que utilizan análisis basados en cámaras o huellas digitales de dispositivos en combinación con IA. Los sistemas que infieren atributos sensibles (raza, religión, opinión política) a partir de datos biométricos están prohibidos en virtud del Artículo 5. Los sistemas que realizan categorización biométrica sin inferir atributos sensibles pueden considerarse de alto riesgo según el Anexo III.
Sistema de reconocimiento de emociones
Sistema de IA destinado a identificar o inferir emociones o intenciones de personas físicas a partir de sus datos biométricos.
Prohibido en entornos laborales y centros educativos en virtud del Artículo 5. En otros contextos de establecimientos (comercio minorista, hostelería), los sistemas de reconocimiento de emociones están regulados en el Anexo III como de alto riesgo y exigen que los responsables del despliegue informen a las personas afectadas de conformidad con el Artículo 50(3). Las funciones comercializadas por proveedores basadas en el "estado de ánimo" o el "nivel de interacción" deben evaluarse conforme a esta definición.
Elaboración de perfiles individuales
Cualquier forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física.
Los sistemas de IA incluidos en el Anexo III siempre se consideran de alto riesgo si elaboran perfiles de personas. Las plataformas de análisis de WiFi que crean perfiles individuales persistentes para la toma de decisiones automatizadas de marketing deben evaluarse conforme a esta definición para determinar si constituyen sistemas de alto riesgo.
Calificación social
La evaluación o clasificación de personas físicas o grupos de personas durante un período de tiempo en función de su comportamiento social o de características personales o de la personalidad conocidas, inferidas o previstas, cuando la calificación social dé lugar a un trato perjudicial o desfavorable para esas personas o grupos en contextos sociales que no guarden relación con los contextos en los que se generaron o recopilaron originalmente los datos.
Prohibido en virtud del Artículo 5. En el contexto del marketing WiFi, esto afecta a los sistemas de IA que evalúan a los clientes según patrones de comportamiento y utilizan esas puntuaciones para restringir el acceso, denegar ofertas o prestar un servicio inferior. El elemento clave es el trato perjudicial: la personalización que mejora la experiencia de los clientes de alto valor no se considera calificación social a menos que perjudique simultáneamente a los clientes con menor puntuación.
Captive Portal
Página web o pasarela de autenticación que se presenta a los usuarios recién conectados a una red WiFi antes de que se les conceda un acceso más amplio a Internet. Los operadores de los establecimientos la utilizan para recopilar datos de los clientes, presentar las condiciones del servicio y ofrecer contenidos de marketing.
El principal entorno de despliegue para el marketing WiFi impulsado por IA. Las funciones de IA en los Captive Portals (chatbots, páginas de bienvenida personalizadas, motores de recomendación) están sujetas a las obligaciones de transparencia del Artículo 50. El Captive Portal es también el punto donde habitualmente se obtiene el consentimiento de GDPR para el tratamiento de datos.
Evaluación de la conformidad
Proceso de verificación de si un sistema de IA de alto riesgo cumple con los requisitos establecidos en el Reglamento de IA de la UE, incluidos la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la precisión, la robustez y la ciberseguridad.
Obligatoria para los sistemas de IA de alto riesgo antes de su introducción en el mercado o puesta en servicio. Para la mayoría de los sistemas de alto riesgo del Anexo III, los proveedores pueden realizar una autoevaluación. Para los sistemas de identificación biométrica, se requiere una evaluación por parte de un tercero. Los operadores de establecimientos que desplieguen sistemas de IA de alto riesgo deben asegurarse de que sus proveedores hayan completado la evaluación de conformidad requerida y puedan facilitar la documentación.
EIPD (Evaluación de Impacto relativa a la Protección de Datos)
Proceso exigido por el Artículo 35 del GDPR para aquellas operaciones de tratamiento que entrañen un alto riesgo para los derechos y libertades de las personas físicas. La EIPD debe describir el tratamiento, evaluar la necesidad y la proporcionalidad, así como identificar y mitigar los riesgos.
Obligatoria según el GDPR para tratamientos de datos de alto riesgo, incluida la elaboración de perfiles a gran escala y la observación sistemática de zonas de acceso público. En el contexto del Reglamento de IA, la EIPD debe ampliarse para cubrir los requisitos de gestión de riesgos del sistema de IA, creando una evaluación unificada que satisfaga ambos marcos normativos.
Obligación de transparencia del Artículo 50
El requisito establecido en el Artículo 50 del Reglamento de IA de la UE por el que los proveedores deben garantizar que los sistemas de IA destinados a interactuar con personas físicas se diseñen de manera que se informe a estas de que están interactuando con un sistema de IA, a menos que resulte obvio por el contexto. Los responsables del despliegue deben asegurarse de que se implemente esta información.
La obligación de cumplimiento más inmediata y aplicable para los operadores de establecimientos que dispongan de chatbots de IA o interfaces conversacionales en sus Captive Portals. La información debe facilitarse de forma clara y previa (antes de que comience la interacción), no oculta en los términos y condiciones. Se aplica a todos los sistemas conversacionales de IA, independientemente de su nivel de riesgo.
Ejemplos prácticos
Un grupo hotelero de 450 habitaciones que opera en cinco estados miembros de la UE ha implementado un chatbot impulsado por IA en su Captive Portal para gestionar las consultas de registro de los huéspedes, recomendaciones de restaurantes y resolución de problemas de WiFi. El chatbot funciona con una plataforma LLM de terceros. El equipo de marketing también utiliza una plataforma de análisis de WiFi que crea perfiles individuales de los huéspedes (incluido el historial de visitas, el tiempo de permanencia por zona del establecimiento y los segmentos demográficos inferidos) para ofrecer ofertas promocionales personalizadas a través de la página de inicio del Captive Portal. El CTO debe evaluar el estado de cumplimiento de la Ley de IA de ambos sistemas antes de la próxima reunión del consejo.
Paso 1 — Clasificar el chatbot. El chatbot impulsado por IA es un sistema de IA conversacional que interactúa con personas físicas. Entra dentro del Artículo 50(1) como un sistema de Riesgo Limitado. La acción inmediata es implementar una advertencia clara previa a la interacción en la interfaz de usuario del Captive Portal: 'Estás chateando con un asistente de IA'. Este es un cambio en el front-end. El grupo hotelero, como implementador, es responsable de esta advertencia aunque el LLM subyacente sea proporcionado por un tercero. Revise el contrato del proveedor para confirmar la clasificación de la Ley de IA del proveedor y solicite su documentación técnica.
Paso 2 — Clasificar la plataforma de análisis. La plataforma de análisis de WiFi crea perfiles individuales de los huéspedes y los utiliza para ofrecer ofertas personalizadas mediante decisiones automatizadas. La pregunta clave es si esto constituye una elaboración de perfiles individuales según el Anexo III: tratamiento automatizado de datos personales para evaluar preferencias, intereses, comportamiento y ubicación. En caso afirmativo, el sistema es de alto riesgo. Solicite la documentación de clasificación de la Ley de IA del proveedor. Si el proveedor clasifica el sistema como de riesgo mínimo, obtenga su justificación por escrito y evalúe si es defendible. Si el sistema es de alto riesgo, comience a planificar el cumplimiento de la evaluación de conformidad antes de la fecha límite de agosto de 2026.
Paso 3 — Auditar los segmentos demográficos inferidos. Si la plataforma de análisis infiere segmentos demográficos que incluyen atributos sensibles (rango de edad, género, nacionalidad) utilizando modelos de IA, evalúe si esto constituye una categorización biométrica de atributos sensibles según el Artículo 5. Si la segmentación se basa en datos declarados (pertenencia a programas de fidelización, preferencias proporcionadas explícitamente) en lugar de inferencias de IA a partir de señales de comportamiento, el riesgo es menor. Si se infiere mediante IA a partir de señales de comportamiento, requiere una revisión legal exhaustiva.
Paso 4 — Alinear con el GDPR. Asegúrese de que el aviso de privacidad del grupo hotelero refleje el tratamiento impulsado por IA y las advertencias del Artículo 50. Revise la base legal para el tratamiento de análisis según el Artículo 6 del GDPR. Si el tratamiento se basa en intereses legítimos, realice una evaluación de intereses legítimos que tenga en cuenta la clasificación de riesgo de la Ley de IA. Actualice la DPIA para cubrir las dimensiones de riesgo tanto del GDPR como de la Ley de IA.
Una cadena minorista nacional con 120 tiendas en Alemania, Francia y los Países Bajos está evaluando una nueva plataforma de marketing de WiFi que incluye una función de IA descrita por el proveedor como 'personalización basada en el estado de ánimo': el sistema analiza la velocidad y el patrón de las interacciones de un huésped con el Captive Portal para inferir su 'estado de interacción' y ajusta el contenido promocional que se muestra en la página de inicio en consecuencia. El director de TI debe evaluar si esta función está permitida por la Ley de IA de la UE.
Paso 1 — Identificar la práctica de IA. La función de 'personalización basada en el estado de ánimo' analiza señales de comportamiento (velocidad y patrón de interacción) para inferir un 'estado de interacción', lo que funcionalmente es un estado emocional o psicológico. Esto es inferencia de emociones.
Paso 2 — Aplicar la prueba de prohibición del Artículo 5. El Artículo 5 prohíbe la inferencia de emociones en los lugares de trabajo y las instituciones educativas. Una tienda minorista no es un lugar de trabajo para el huésped, por lo que esta prohibición específica no se aplica a la población de huéspedes en el contexto minorista. Sin embargo, la función aún puede estar prohibida según el Artículo 5(1)(a) si despliega técnicas manipuladoras para distorsionar el comportamiento y menoscabar la toma de decisiones informadas, causando un daño significativo. El uso del estado emocional inferido para ofrecer contenido promocional manipulador (por ejemplo, dirigirse a un huésped identificado como 'frustrado' con una oferta basada en la urgencia) es probable que entre dentro de esta prohibición.
Paso 3 — Evaluar las implicaciones del GDPR. Inferir el estado emocional a partir de datos de comportamiento constituye un tratamiento de datos personales con fines de elaboración de perfiles según el GDPR. Se debe evaluar la base legal para este tratamiento. Es poco probable que el interés legítimo sea una base defendible para la inferencia de emociones utilizada con fines de marketing. El consentimiento explícito es la base más adecuada, pero el mecanismo de consentimiento debe ser específico y detallado: el consentimiento para el acceso a WiFi no constituye un consentimiento para la inferencia de emociones.
Paso 4 — Recomendación. No implemente la función de 'personalización basada en el estado de ánimo' sin una evaluación legal detallada. El riesgo de infracción del Artículo 5 (específicamente la prohibición de manipulación) es sustancial. Solicite al proveedor el análisis legal de la clasificación de la función según la Ley de IA. Si el proveedor no puede proporcionar una clasificación defendible, trate la función como prohibida y no la active. La personalización del comportamiento estándar basada en métricas objetivas (frecuencia de visitas, hora del día, preferencias declaradas) está permitida y conlleva un riesgo regulatorio significativamente menor.
Preguntas de práctica
Q1. El proveedor de la plataforma de marketing WiFi de su establecimiento acaba de lanzar una nueva función llamada "Visitor Sentiment Scoring" que analiza la velocidad, la secuencia y los patrones de vacilación de las interacciones de un invitado con el Captive Portal para asignar una puntuación de sentimiento (positivo, neutro, frustrado) y ajustar el contenido promocional ofrecido en consecuencia. La documentación del proveedor describe esto como "análisis de comportamiento" en lugar de "reconocimiento de emociones". Como director de TI, ¿cómo evalúa el estado de cumplimiento de esta función con la Ley de IA de la UE y qué medidas toma?
Sugerencia: Céntrese en la función técnica del sistema, no en el lenguaje de marketing del proveedor. Pregúntese: ¿qué está haciendo realmente el sistema? ¿Está infiriendo un estado emocional o psicológico a partir de señales de comportamiento? A continuación, aplique la prueba de prohibición del Artículo 5 y la prueba de transparencia del Artículo 50.
Ver respuesta modelo
La función es, funcionalmente, un sistema de reconocimiento de emociones, independientemente de la etiqueta del proveedor. Analizar los patrones de interacción para inferir "frustración" o "sentimiento positivo" es una inferencia de emociones. El primer paso es aplicar la prueba de prohibición del Artículo 5: ¿se está utilizando este sistema en un lugar de trabajo o en una institución educativa? Si el establecimiento es una tienda minorista o un hotel, la prohibición del Artículo 5 en el lugar de trabajo no se aplica a los invitados. Sin embargo, la prohibición de manipulación en virtud del Artículo 5(1)(a) puede aplicarse si el sistema utiliza el sentimiento inferido para ofrecer contenido manipulador; por ejemplo, dirigirse a un invitado "frustrado" con una oferta basada en la urgencia. El segundo paso es evaluar si el sistema entra en el Anexo III como un sistema de reconocimiento de emociones, lo que lo haría de alto riesgo. El tercer paso es solicitar al proveedor su clasificación por escrito de la Ley de IA y su análisis legal. Si el proveedor no puede proporcionar una clasificación defendible, no active la función. Documente los motivos de su evaluación independientemente del resultado.
Q2. El operador de un estadio con capacidad para 60.000 personas utiliza la plataforma Guest WiFi de Purple para recopilar datos de primera mano en los eventos. El equipo de marketing quiere implantar un chatbot de IA en el Captive Portal para responder a las preguntas de los aficionados sobre las instalaciones, el merchandising y los próximos eventos. El chatbot funciona con una API de LLM de terceros. El equipo legal del estadio pregunta: ¿cuáles son las obligaciones del Artículo 50, quién es responsable del cumplimiento y cómo es la implementación en la práctica?
Sugerencia: Identifique al implantador, al proveedor y el escenario aplicable del Artículo 50. A continuación, especifique cómo debe ser la información y cuándo debe aparecer.
Ver respuesta modelo
El operador del estadio es el implantador; el proveedor de la API de LLM es el proveedor. Según el Artículo 50(1), el implantador es responsable de garantizar que se informe a los invitados de que están interactuando con un sistema de IA antes de que comience la interacción. La implementación requiere una información clara en la interfaz de usuario del Captive Portal (un distintivo o un mensaje introductorio como "Está chateando con un asistente de IA") que se muestre antes de enviar el primer mensaje. Este es un cambio de front-end en la plantilla del Captive Portal. La información debe ser explícita y directa; no puede estar oculta en las condiciones del servicio. El proveedor de LLM tiene sus propias obligaciones como proveedor (documentación técnica, instrucciones de uso), pero el implantador no puede confiar en el proveedor para satisfacer sus propias obligaciones de transparencia. Además, el operador del estadio debe garantizar que el procesamiento de datos del chatbot cumpla con el GDPR: debe establecerse la base legal para procesar cualquier dato personal compartido en la conversación, y el aviso de privacidad debe reflejar el procesamiento impulsado por IA.
Q3. La plataforma de WiFi analytics de una cadena de tiendas minoristas lleva dos años creando perfiles de invitados individuales, combinando datos de sesiones de WiFi (dirección MAC del dispositivo, tiempo de permanencia, frecuencia de visitas, ubicación dentro de la tienda) con datos de CRM (historial de compras, nivel del programa de fidelización) para alimentar un modelo de IA que toma decisiones automatizadas sobre qué ofertas promocionales mostrar a cada invitado en el Captive Portal. Se ha pedido al nuevo responsable de cumplimiento de la cadena que evalúe si este sistema es de alto riesgo según la disposición de elaboración de perfiles individuales del Anexo III de la Ley de IA de la UE. ¿Cuál es la metodología de evaluación y el resultado probable?
Sugerencia: Aplique la prueba de elaboración de perfiles individuales del Anexo III: ¿está el sistema de IA realizando un tratamiento automatizado de datos personales para evaluar aspectos de las preferencias, intereses, comportamiento o ubicación de una persona? A continuación, considere si las decisiones automatizadas son lo suficientemente significativas como para activar la clasificación de alto riesgo.
Ver respuesta modelo
La metodología de evaluación consta de tres pasos. En primer lugar, confirme que el sistema es un sistema de IA (no un simple motor basado en reglas): si la decisión promocional la toma un modelo de aprendizaje automático en lugar de un motor de reglas determinista, es un sistema de IA. En segundo lugar, aplique la prueba de elaboración de perfiles individuales del Anexo III: el sistema está procesando datos personales (datos de sesión de WiFi, datos de CRM) para evaluar las preferencias, intereses, comportamiento y ubicación individuales. Esto cumple con la definición de elaboración de perfiles individuales. En tercer lugar, evalúe si el sistema figura en los casos de uso del Anexo III; la categoría más relevante es "acceso y disfrute de servicios públicos y privados esenciales", que incluye los sistemas de IA utilizados para evaluar la elegibilidad para los servicios. Si las decisiones sobre ofertas promocionales constituyen un "acceso a los servicios" es una zona gris; si el sistema de IA puede denegar a un invitado el acceso a una oferta promocional que afecte materialmente a su decisión de compra, los reguladores pueden considerar que esto es significativo. El resultado probable es que el sistema deba tratarse como potencialmente de alto riesgo y realizarse una evaluación formal. La cadena debe ponerse en contacto con el proveedor de la plataforma para obtener su clasificación de la Ley de IA, iniciar una evaluación de impacto de protección de datos (DPIA) o evaluación de riesgos de IA, y comenzar a planificar el cumplimiento de la evaluación de la conformidad antes de la fecha límite de agosto de 2026.
Continúe leyendo esta serie
Cómo configurar SCEP para el registro automatizado de certificados WiFi corporativos
Esta guía explica cómo configurar SCEP (Simple Certificate Enrollment Protocol) para el registro automatizado de certificados WiFi corporativos, abarcando toda la arquitectura desde PKI y NDES hasta el despliegue de perfiles MDM y la validación RADIUS. Está dirigida a directores de TI, arquitectos de red y CTO de hoteles, cadenas de retail, estadios, centros de conferencias y organizaciones del sector público que necesitan ir más allá de las claves precompartidas e implementar una autenticación 802.1X EAP-TLS escalable y basada en la identidad. La plataforma de superposición en la nube de Purple, que es independiente del hardware, se integra directamente con esta arquitectura, proporcionando la capa de WiFi para invitados y BYOD que coexiste junto a la red de personal autenticada por certificado.
La guía empresarial de SCEP: Despliegue de Simple Certificate Enrollment Protocol para la seguridad automatizada de WiFi en campus
Esta guía de referencia técnica proporciona un diseño arquitectónico definitivo y una estrategia de implementación paso a paso para el despliegue de certificados WiFi empresariales mediante SCEP. Cubre las diferencias críticas entre SCEP y PKCS, la secuencia exacta de despliegue requerida para el éxito y estrategias reales de mitigación de riesgos para líderes de TI.
Cómo implementar SCEP para el registro automatizado de certificados WiFi
Esta guía explica cómo implementar SCEP (Simple Certificate Enrollment Protocol) para el registro automatizado de certificados WiFi en entornos empresariales. Cubre el diseño arquitectónico completo, desde el diseño de PKI y la integración con MDM hasta la secuencia de despliegue obligatoria de tres pasos, y muestra a los responsables de TI y arquitectos de red cómo eliminar las credenciales compartidas, automatizar la gestión del ciclo de vida de los certificados y cumplir con los requisitos de PCI DSS y GDPR a escala.