La Ley de IA de la UE y el Guest WiFi: Lo que los mercadólogos necesitan saber
La Ley de IA de la UE (Reglamento 2024/1689) introduce un marco basado en riesgos que afecta directamente la forma en que los operadores de recintos implementan el marketing de WiFi impulsado por IA, los Captive Portals y la analítica de visitas. Esta guía mapea los cuatro niveles de riesgo de la Ley frente a casos de uso reales de Guest WiFi, identifica prácticas prohibidas que incluyen la inferencia de emociones y la puntuación social, y proporciona pasos de cumplimiento prácticos para equipos de TI y directores de marketing que operan en los sectores de hospitalidad, retail, eventos y entornos públicos. Comprender en qué parte del espectro de riesgo se encuentra su implementación —y aplicar las obligaciones de transparencia del Artículo 50 para chatbots de IA y portales conversacionales— ya no es opcional: la aplicación de las prácticas prohibidas comenzó en febrero de 2025.
Escucha esta guía
Ver transcripción del podcast
Resumen Ejecutivo
La Ley de IA de la UE (Reglamento 2024/1689) es el primer marco legal integral del mundo para la inteligencia artificial, y se aplica directamente a la forma en que los operadores de establecimientos implementan la IA en su infraestructura de Guest WiFi . La Ley clasifica los sistemas de IA en cuatro niveles de riesgo (Prohibido, Alto Riesgo, Riesgo Limitado y Riesgo Mínimo) y asigna las obligaciones de cumplimiento en consecuencia. Para la mayoría de los operadores de hospitality y retail , el impacto operativo inmediato se divide en dos áreas: primero, garantizar que cualquier interfaz conversacional impulsada por IA en un Captive Portal incluya una declaración de transparencia clara según el Artículo 50; y segundo, auditar las herramientas de marketing actuales para confirmar que no utilicen prácticas prohibidas como la inferencia de emociones, la puntuación social o la categorización biométrica basada en atributos sensibles.
Las disposiciones sobre prácticas prohibidas en virtud del Artículo 5 entraron en vigor en febrero de 2025. Las obligaciones para sistemas de alto riesgo según el Anexo III se aplicarán a partir de agosto de 2026. Las multas por infracciones de prácticas prohibidas alcanzan hasta 35 millones de euros o el 7% de la facturación anual global. Esta guía proporciona una referencia técnica para gerentes de TI, arquitectos de red y líderes de cumplimiento que necesitan evaluar sus implementaciones actuales y aplicar los cambios requeridos este trimestre.
Análisis Técnico Detallado
El Marco de Riesgo de Cuatro Niveles
La Ley de IA de la UE clasifica los sistemas de IA según el riesgo que representan para los derechos fundamentales, la seguridad y los valores democráticos. La clasificación determina las obligaciones de cumplimiento que se aplican tanto al proveedor (el desarrollador o vendedor del sistema de IA) como al desplegador (la organización que pone en servicio el sistema, que suele ser el operador del establecimiento o el equipo de TI).
Los cuatro niveles, adaptados a los contextos de Guest WiFi y marketing en establecimientos, son los siguientes:
| Nivel de Riesgo | Referencia de la Ley de IA | Ejemplos en WiFi Marketing | Obligación de Cumplimiento |
|---|---|---|---|
| Prohibido | Artículo 5 | Inferencia de emociones en interacciones del portal; puntuación social de invitados; categorización biométrica por raza/religión | Cese inmediato; no se permite su implementación |
| Alto Riesgo | Anexo III | Verificación biométrica en el Captive Portal; elaboración de perfiles con IA para el acceso a servicios esenciales | Evaluación de conformidad, documentación técnica, sistema de gestión de riesgos, registro en la base de datos de la UE |
| Riesgo Limitado | Artículo 50 | Chatbots de IA en Captive Portals; páginas de bienvenida con IA generativa; sistemas de reconocimiento de emociones (en contextos no prohibidos) | Declaración de transparencia para los usuarios finales antes o durante la interacción |
| Minimal Risk | No specific obligation | Aggregate footfall analytics; dwell-time heatmaps; rules-based personalisation; bandwidth optimisation AI | No AI Act-specific obligations (GDPR still applies) |
Prohibited Practices Under Article 5
Article 5 of the AI Act defines eight categories of prohibited AI practice. Three are directly relevant to venue WiFi marketing deployments.
Manipulative and Deceptive Techniques. The Act prohibits AI systems that deploy subliminal, manipulative, or deceptive techniques to distort a person's behaviour and impair their ability to make an informed decision, where this causes or is likely to cause significant harm. In a WiFi marketing context, this targets systems that exploit behavioural signals captured at the Captive Portal — click hesitation, scroll patterns, time-on-page — to infer psychological vulnerabilities and serve manipulative offers. The key threshold is significant harm; regulators will assess this contextually, but the principle is clear: AI-driven nudging that bypasses rational agency is out of scope.
Social Scoring. The Act prohibits AI systems that evaluate or classify individuals based on their social behaviour or personal characteristics, where this leads to detrimental or unfavourable treatment. A WiFi loyalty system that uses an AI model to score guests on behavioural patterns — visit frequency, dwell time, purchase signals — and then restricts access speed or withholds offers from lower-scoring guests would fall within this prohibition. The distinction between permissible personalisation and prohibited social scoring lies in whether the AI classification produces detrimental treatment: serving a premium guest a better offer is personalisation; denying a lower-scoring guest access to services is social scoring.
Biometric Categorisation of Sensitive Attributes. The Act prohibits AI systems that use biometric data to infer sensitive attributes including race, political opinion, trade union membership, religious or philosophical beliefs, sex life, or sexual orientation. This is particularly relevant for venues using camera-based analytics alongside WiFi data. If an AI system cross-references device MAC address data with visual analytics to infer ethnicity and personalise content accordingly, that is a direct Article 5 violation. The prohibition applies regardless of whether the biometric data is processed in real time or in batch.
Inferencia de emociones: aclaración del alcance. La Ley prohíbe la inferencia de emociones en lugares de trabajo e instituciones educativas. Esta prohibición no se extiende automáticamente a establecimientos comerciales, hoteles o estadios en relación con los huéspedes. Sin embargo, si su establecimiento también es un lugar de trabajo (un campus corporativo, un espacio de co-working, un hospital) y utiliza la inferencia de emociones en empleados conectados a la WiFi de invitados, eso está prohibido. Los operadores de los establecimientos deben mapear cuidadosamente a sus poblaciones de usuarios antes de asumir que la prohibición de inferencia de emociones no se aplica.
Sistemas de alto riesgo bajo el Anexo III
El Anexo III de la Ley enumera los casos de uso que se clasifican como de alto riesgo. Para las implementaciones de WiFi de invitados, dos categorías son directamente relevantes.
En primer lugar, los sistemas biométricos: los sistemas de identificación biométrica remota (excluyendo la verificación biométrica simple que confirma que una persona es quien dice ser) y los sistemas de categorización biométrica que infieren atributos sensibles o protegidos son de alto riesgo. Si su Captive Portal utiliza el reconocimiento facial para autenticar a los huéspedes que regresan, ese sistema requiere una evaluación de conformidad completa, documentación técnica, un sistema de gestión de riesgos a lo largo del ciclo de vida del sistema y el registro en la base de datos de la Ley de IA de la UE.
En segundo lugar, el perfilado individual: cualquier sistema de IA enumerado en el Anexo III siempre se considera de alto riesgo si perfila a personas, lo que se define como el procesamiento automatizado de datos personales para evaluar aspectos de la vida de una persona, incluidos sus gustos, intereses, comportamiento y ubicación o movimiento. Esta es la disposición con mayor probabilidad de afectar a las plataformas de WiFi Analytics que crean perfiles individuales persistentes que alimentan decisiones de marketing automatizadas. La pregunta clave es si el sistema de IA toma o influye sustancialmente en decisiones automatizadas sobre huéspedes individuales en función de sus características perfiladas.
Obligaciones de transparencia del Artículo 50: la prioridad inmediata
Para la mayoría de los operadores de establecimientos en la actualidad, el Artículo 50 es la disposición más relevante desde el punto de vista operativo. Abarca tres escenarios:
Sistemas de IA conversacional (Artículo 50(1)): Los proveedores deben garantizar que los sistemas de IA destinados a interactuar con personas físicas estén diseñados de manera que se informe a dichas personas que están interactuando con un sistema de IA, a menos que esto sea obvio por el contexto. Quienes implementen estos sistemas deben asegurarse de que esta notificación esté activa. Esto se aplica a cualquier chatbot de IA implementado en un Captive Portal, ya sea para servicios al huésped, asistencia en el check-in del hotel, navegación en el establecimiento o consultas de marketing.
Reconocimiento de emociones y categorización biométrica (Artículo 50(3)): Quienes implementen sistemas de reconocimiento de emociones o sistemas de categorización biométrica deben informar a las personas físicas expuestas a dichos sistemas. Esta es una obligación independiente de la notificación del chatbot y se aplica incluso cuando el sistema no esté prohibido.
Contenido sintético (Artículo 50(4)): Los sistemas de IA que generen contenido sintético de audio, imagen, video o texto deben marcar dicho contenido como generado por IA. Si su Captive Portal utiliza IA generativa para producir mensajes de bienvenida personalizados o textos promocionales, ese contenido debe estar etiquetado.
La Ley de IA y el GDPR: Un marco de cumplimiento acumulativo
La Ley de IA no reemplaza al GDPR; opera en paralelo. Para los operadores de establecimientos, esto significa que las obligaciones de cumplimiento de ambos marcos se aplican simultáneamente a las implementaciones de marketing por WiFi impulsadas por IA.
Bajo el GDPR, las disposiciones relevantes para el marketing por WiFi impulsado por IA incluyen: Artículo 6 (base legal para el tratamiento), Artículo 9 (categorías especiales de datos — relevante si se procesan datos biométricos), Artículo 13/14 (obligaciones de transparencia en los avisos de privacidad), Artículo 22 (restricciones a la toma de decisiones individuales automatizadas) y Artículo 35 (Evaluación de Impacto relativa a la Protección de Datos para tratamientos de alto riesgo).
La Ley de IA añade: Artículo 5 (cumplimiento de prácticas prohibidas), Artículo 50 (revelaciones de transparencia en el punto de interacción con la IA) y — para sistemas de alto riesgo — Artículos 8–17 (gestión de riesgos, documentación técnica, evaluación de la conformidad, registro).
Donde el GDPR exige una Evaluación de Impacto (DPIA) para el tratamiento de datos de alto riesgo, la Ley de IA exige un sistema de gestión de riesgos para los sistemas de IA de alto riesgo. Estos pueden y deben alinearse: una única evaluación integrada que cubra tanto los riesgos del tratamiento de datos (GDPR) como los riesgos del sistema de IA (Ley de IA) es más eficiente y demuestra una postura de gobernanza madura ante los reguladores.
El Artículo 22 del GDPR es particularmente relevante para los Captive Portals impulsados por IA. Restringe la toma de decisiones únicamente automatizada que produzca efectos jurídicos o significativos similares en las personas. Si su sistema de IA toma decisiones automatizadas sobre niveles de acceso a WiFi, elegibilidad promocional o calidad del servicio sin supervisión humana, debe evaluar si se aplica el Artículo 22 y si debe ofrecer a los invitados el derecho a solicitar una revisión humana.
Guía de implementación
Paso 1: Construya su inventario de IA
Antes de poder evaluar el cumplimiento, necesita un panorama completo de cada sistema de IA en su pila de marketing por WiFi. Esto significa ir más allá de sus propias implementaciones para incluir componentes de IA integrados en plataformas de terceros: herramientas de automatización de marketing, tableros de analítica, proveedores de Captive Portal e integraciones de CRM.
Para cada sistema, documente: la función del sistema; los datos que procesa; el proveedor y cualquier subencargado del tratamiento; el nivel de riesgo según la Ley de IA; y las obligaciones de cumplimiento aplicables. Este inventario es la base de su postura de cumplimiento de la Ley de IA y será requerido si los reguladores solicitan pruebas de la debida diligencia.
Paso 2: Clasifique cada sistema según los niveles de riesgo
Aplica el marco de cuatro niveles a cada sistema de tu inventario. Las preguntas de clasificación son:
- ¿El sistema utiliza alguna práctica enumerada en el Artículo 5? Si es así, está prohibido; suspende su implementación.
- ¿El sistema se utiliza para verificación biométrica, elaboración de perfiles individuales para el acceso a servicios o cualquier otro caso de uso del Anexo III? Si es así, es de alto riesgo; comienza la planificación de la evaluación de conformidad.
- ¿El sistema interactúa con personas físicas de forma conversacional, genera contenido sintético o realiza reconocimiento de emociones? Si es así, es de riesgo limitado; implementa las declaraciones de información del Artículo 50.
- ¿Ninguno de los anteriores? Es de riesgo mínimo; no hay obligaciones específicas de la Ley de IA, pero el cumplimiento de GDPR sigue siendo obligatorio.
Paso 3: Implementar las declaraciones de información del Artículo 50
Para cualquier chatbot de IA o interfaz conversacional en tu Captive Portal, implementa una declaración de información clara antes de que comience la interacción. La declaración debe ser explícita: no implícita, ni oculta en los términos y condiciones. Un elemento de interfaz de usuario sencillo que indique "Estás chateando con un asistente de IA" al inicio de la sesión cumple con la obligación. Este es un cambio de front-end, no una reconstrucción del sistema, y debería poder implementarse en un solo sprint.
Para los sistemas de reconocimiento de emociones que operen en tu establecimiento (donde no estén prohibidos), añade un aviso visible en el área de operación que informe a los clientes que se está utilizando un sistema de reconocimiento de emociones.
Paso 4: Revisar los acuerdos de subencargados del tratamiento de los proveedores
Como implementador, compartes la responsabilidad por las prácticas prohibidas que utilicen tus proveedores. Revisa tus contratos con los proveedores de plataformas de marketing de WiFi, proveedores de analíticas y proveedores de Captive Portal. Solicita una confirmación explícita de su clasificación según la Ley de IA y su documentación de cumplimiento. Añade cláusulas contractuales que exijan a los proveedores notificarte cualquier cambio en sus sistemas de IA que pueda afectar la clasificación de riesgo.
Paso 5: Alinear con la gobernanza de GDPR
Involucra a tu Delegado de Protección de Datos en el proceso de cumplimiento de la Ley de IA. Actualiza tu Registro de Actividades de Tratamiento para incluir las clasificaciones de los sistemas de IA. Cuando se requiera una DPIA bajo GDPR para el tratamiento de datos de alto riesgo, extiéndela para cubrir los requisitos de gestión de riesgos de la Ley de IA. Asegúrate de que tus avisos de privacidad estén actualizados para reflejar el tratamiento impulsado por IA y las declaraciones de información del Artículo 50.
Paso 6: Planificar el cumplimiento de los sistemas de alto riesgo (fecha límite de agosto de 2026)
Si alguno de tus sistemas se clasifica como de alto riesgo, comienza el proceso de evaluación de conformidad ahora. La fecha límite de agosto de 2026 para los sistemas del Anexo III está más cerca de lo que parece si se tiene en cuenta el tiempo necesario para la documentación técnica, la implementación del sistema de gestión de riesgos y el registro en la base de datos de la UE. Involucra a tus proveedores desde el principio para entender qué documentación pueden proporcionar y qué necesitas producir tú como implementador.
Mejores prácticas
Adopte un enfoque de Privacidad por Diseño para la implementación de IA. Los requisitos de la Ley de IA para sistemas de alto riesgo (gestión de riesgos a lo largo del ciclo de vida, gobernanza de datos, documentación técnica) se cumplen de manera más eficiente cuando se integran en la arquitectura del sistema desde el principio en lugar de adaptarse a posteriori. Al evaluar nuevas herramientas de marketing impulsadas por IA, incluya los requisitos de cumplimiento de la Ley de IA en sus criterios de adquisición junto con el cumplimiento de GDPR y los estándares de seguridad como ISO 27001 y PCI DSS.
Prefiera los datos de primera fuente basados en el consentimiento sobre los atributos inferidos. Las prácticas prohibidas y las clasificaciones de alto riesgo de la Ley se dirigen principalmente a los sistemas de IA que infieren características sensibles o toman decisiones automatizadas significativas sobre las personas. Los sistemas que utilizan datos de primera fuente con consentimiento explícito (direcciones de correo electrónico, preferencias declaradas, membresía de programas de lealtad) para impulsar la personalización presentan un riesgo regulatorio significativamente menor que los sistemas que infieren características a partir de señales de comportamiento.
Mantenga una separación entre la IA de operaciones de red y la IA de marketing. Los sistemas de IA utilizados para la gestión de redes (asignación de ancho de banda, mitigación de interferencias, equilibrio de carga) representan un riesgo mínimo según la Ley. Los sistemas de IA utilizados para la creación de perfiles de invitados y la personalización de marketing conllevan un mayor riesgo. Mantenerlos separados arquitectónicamente simplifica su clasificación de riesgos y limita el radio de impacto de cualquier problema de cumplimiento en el ecosistema de marketing.
Tome como referencia IEEE 802.1X y WPA3 para la arquitectura de autenticación. Cuando se utilice la verificación biométrica en el Captive Portal, asegúrese de que la arquitectura de autenticación subyacente cumpla con los estándares actuales. IEEE 802.1X proporciona control de acceso a la red basado en puertos con una autenticación sólida, y WPA3 proporciona un cifrado mejorado para la capa inalámbrica. Estos estándares son independientes del proveedor y se citan tanto en los marcos de seguridad empresarial como en las directrices de GDPR sobre medidas técnicas adecuadas.
Documente sus decisiones de cumplimiento de la Ley de IA. Incluso para los sistemas de riesgo mínimo, documentar el fundamento de su clasificación demuestra la debida diligencia ante los reguladores. La Ley de IA exige que los proveedores de sistemas de alto riesgo documenten su evaluación antes de comercializar el sistema; como implementador, mantener una documentación equivalente para sus propias evaluaciones de riesgo es una mejor práctica.
Resolución de problemas y mitigación de riesgos
Riesgo: Las prácticas de IA de los proveedores son opacas. Muchas plataformas de automatización de marketing y analítica de WiFi integran capacidades de IA que no están claramente documentadas. Mitigación: Envíe un cuestionario formal de cumplimiento de la Ley de IA a todos los proveedores. Solicite la clasificación de su sistema, la documentación técnica y la evidencia de que evitan prácticas prohibidas. Incluya el cumplimiento de la Ley de IA como un requisito contractual en los acuerdos nuevos y renovados.
Riesgo: El chatbot del Captive Portal carece de la divulgación del Artículo 50. Esta es la brecha de cumplimiento más común identificada en las implementaciones actuales. Mitigación: Audite la interfaz de usuario de su Captive Portal. Si alguna interfaz de IA conversacional carece de una divulgación clara antes de la interacción, este es un elemento de remediación prioritario. La solución es un cambio de interfaz de usuario que se puede implementar en días.
Riesgo: La plataforma de analíticas crea perfiles individuales que activan una clasificación de alto riesgo. Si su plataforma de WiFi Analytics crea perfiles individuales persistentes que alimentan decisiones de marketing automatizadas, es posible que esté operando un sistema de alto riesgo sin la evaluación de conformidad requerida. Mitigación: Revise el modelo de datos de la plataforma. Si se están creando perfiles individuales y se utilizan para decisiones automatizadas, consulte a su proveedor sobre su clasificación bajo la Ley de IA e inicie un proceso de evaluación de conformidad.
Riesgo: El cumplimiento de GDPR y de la Ley de IA se tratan como flujos de trabajo separados. Las organizaciones que gestionan el cumplimiento de GDPR y de la Ley de IA en equipos separados corren el riesgo de duplicar esfuerzos, tener vacíos y generar documentación inconsistente. Mitigación: Establezca un marco unificado de gobernanza de IA que aborde ambos marcos regulatorios. Un único proceso integrado de evaluación de impacto de protección de datos (DPIA) y evaluación de riesgos de IA es más eficiente y más defendible.
Riesgo: Clasificación errónea del alcance de la inferencia de emociones. La prohibición de la inferencia de emociones se aplica en entornos laborales e instituciones educativas. Los espacios que también son lugares de trabajo (campus corporativos, hospitales, espacios de coworking) deben aplicar la prohibición a los sistemas orientados a los empleados, no solo a los orientados a los huéspedes. Mitigación: Mapee sus poblaciones de usuarios y aplique la prohibición a todos los contextos donde los empleados puedan estar sujetos a la inferencia de emociones.
ROI e Impacto de Negocio
El cumplimiento de la Ley de IA de la UE no es puramente un centro de costos. Las organizaciones que construyen marcos de gobernanza de IA antes de que la curva de aplicación se vuelva obligatoria obtienen ventajas competitivas medibles.
Reducción del riesgo regulatorio. Las multas por violaciones de prácticas prohibidas (de hasta €35 millones o el 7% de la facturación anual global) representan un riesgo financiero material para cualquier organización que opere a escala en los estados miembros de la UE. Una postura de cumplimiento proactiva elimina esta exposición.
Diferenciación de proveedores. A medida que el cumplimiento de la Ley de IA se convierte en un requisito de adquisición, las plataformas que puedan demostrar una clasificación de riesgo clara, prácticas de IA transparentes e interfaces que cumplan con el Artículo 50 serán preferidas sobre aquellas que no puedan hacerlo. Para los operadores de hospitality y retail que evalúan plataformas de marketing de WiFi, la documentación de cumplimiento de la Ley de IA se está convirtiendo en un requisito estándar de las solicitudes de propuesta (RFP).
Confianza del huésped y calidad de los datos de primera mano. Las obligaciones de transparencia bajo el Artículo 50 —cuando se implementan bien— aumentan la confianza del huésped. Los huéspedes que entienden cómo se utiliza la IA en su interacción son más propensos a participar de manera auténtica y a proporcionar datos de primera mano de mayor calidad. Esto mejora directamente la precisión de los modelos de personalización y el ROI de las campañas de marketing.
Eficiencia operativa a través de una gobernanza unificada. Las organizaciones que alinean sus marcos de cumplimiento de GDPR y la Ley de IA en una sola estructura de gobernanza reducen la duplicación de esfuerzos en los equipos legales, de TI y de marketing. La inversión en la construcción de este marco rinde frutos a medida que el panorama regulatorio continúa evolucionando; a la Ley de IA le seguirán más regulaciones específicas de IA, y una postura de gobernanza madura proporciona una base duradera.
Para los operadores de transporte y las organizaciones del sector público, el cumplimiento de la Ley de IA es particularmente importante dada la mayor supervisión de los sistemas de IA en espacios de acceso público. El cumplimiento proactivo demuestra responsabilidad tanto ante los reguladores como ante el público, respaldando objetivos más amplios de confianza digital.
Para leer más sobre marcos de cumplimiento relacionados, consulte nuestra guía sobre el Cumplimiento de PIPEDA para WiFi de invitados en Canadá , que cubre requisitos análogos de consentimiento y transparencia en el contexto canadiense.
Escuche: Podcast sobre la Ley de IA de la UE y el WiFi de invitados
Definiciones clave
Provider (EU AI Act)
Persona física o jurídica, autoridad pública, agencia u otro organismo que desarrolle un sistema de IA o un modelo de IA de uso general, o que encargue el desarrollo de un sistema de IA o un modelo de IA de uso general, con el fin de introducirlo en el mercado o ponerlo en servicio con su propio nombre o marca comercial, ya sea mediante pago o de forma gratuita.
En el contexto de Guest WiFi, el proveedor suele ser el distribuidor de la plataforma de marketing de WiFi o el desarrollador del motor de personalización de IA. Los proveedores de sistemas de alto riesgo asumen las obligaciones de cumplimiento más estrictas en virtud de la Ley.
Deployer (EU AI Act)
Persona física o jurídica, autoridad pública, agencia u otro organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando el sistema de IA se utilice en el marco de una actividad personal no profesional.
El operador del establecimiento (grupo hotelero, cadena de tiendas, operador de estadio) es el deployer. Los deployers son responsables de las declaraciones de transparencia del Artículo 50 y de garantizar que los sistemas de IA que utilizan cumplan con los requisitos de la Ley, incluso cuando dichos sistemas sean proporcionados por terceros.
Biometric Categorisation System
Sistema de IA destinado a asignar personas físicas a categorías específicas a partir de sus datos biométricos, como el rostro, el movimiento, la marcha, la postura, la voz, la apariencia, el comportamiento u otras características o rasgos humanos fisiológicos o conductuales.
Relevante para los operadores de establecimientos que utilizan análisis basados en cámaras o huellas dactilares de dispositivos en combinación con IA. Los sistemas que infieren atributos sensibles (raza, religión, opinión política) a partir de datos biométricos están prohibidos en virtud del Artículo 5. Los sistemas que realizan categorización biométrica sin inferir atributos sensibles pueden considerarse de alto riesgo según el Anexo III.
Emotion Recognition System
Sistema de IA destinado a identificar o inferir emociones o intenciones de personas físicas a partir de sus datos biométricos.
Prohibido en entornos laborales e instituciones educativas en virtud del Artículo 5. En otros contextos de establecimientos (tiendas, hotelería), los sistemas de reconocimiento de emociones están regulados bajo el Anexo III como de alto riesgo y exigen que los deployers informen a las personas afectadas de conformidad con el Artículo 50(3). Los distribuidores que comercialicen funciones basadas en el "estado de ánimo" o el "estado de interacción" deben evaluarse conforme a esta definición.
Individual Profiling
Cualquier forma de tratamiento automatizado de datos personales que consista en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física.
Los sistemas de IA enumerados en el Anexo III siempre se consideran de alto riesgo si elaboran perfiles de personas. Las plataformas de analítica de WiFi que crean perfiles individuales persistentes para la toma de decisiones de marketing automatizadas deben evaluarse conforme a esta definición para determinar si son sistemas de alto riesgo.
Social Scoring
La evaluación o clasificación de personas físicas o grupos de personas durante un periodo de tiempo en función de su comportamiento social o de características personales o de la personalidad conocidas, inferidas o predichas, siempre que la puntuación social conduzca a un trato perjudicial o desfavorable para esas personas o grupos en contextos sociales que no guardan relación con los contextos en los que se generaron o recopilaron originalmente los datos.
Prohibido en virtud del Artículo 5. En el contexto del marketing de WiFi, esto se dirige a los sistemas de IA que califican a los clientes según sus patrones de comportamiento y utilizan esas puntuaciones para restringir el acceso, retener ofertas o proporcionar un servicio inferior. El elemento clave es el trato perjudicial; la personalización que mejora la experiencia de los clientes de alto valor no constituye social scoring a menos que perjudique simultáneamente a los clientes con puntuaciones más bajas.
Captive Portal
Página web o pasarela de autenticación que se presenta a los usuarios recién conectados a una red WiFi antes de que se les conceda un acceso más amplio a Internet. Los operadores de los establecimientos la utilizan para recopilar datos de los clientes, presentar los términos de servicio y ofrecer contenido de marketing.
La principal superficie de implementación para el marketing de WiFi impulsado por IA. Las funciones de IA en los Captive Portals (chatbots, páginas de inicio personalizadas, motores de recomendación) están sujetas a las obligaciones de transparencia del Artículo 50. El Captive Portal es también el punto donde normalmente se obtiene el consentimiento de GDPR para el tratamiento de datos.
Conformity Assessment
El proceso de verificar si un sistema de IA de alto riesgo cumple con los requisitos establecidos en la Ley de IA de la UE, que incluyen la gestión de riesgos, la gobernanza de datos, la documentación técnica, la transparencia, la supervisión humana, la precisión, la robustez y la ciberseguridad.
Obligatoria para los sistemas de IA de alto riesgo antes de su introducción en el mercado o puesta en servicio. Para la mayoría de los sistemas de alto riesgo del Anexo III, los proveedores pueden realizar una autoevaluación. Para los sistemas de identificación biométrica, se requiere una evaluación por parte de un tercero. Los operadores de establecimientos que implementen sistemas de IA de alto riesgo deben asegurarse de que sus distribuidores hayan completado la evaluación de conformidad requerida y puedan proporcionar la documentación.
DPIA (Data Protection Impact Assessment)
Proceso exigido por el Artículo 35 del GDPR para las operaciones de tratamiento que puedan entrañar un alto riesgo para los derechos y libertades de las personas físicas. La DPIA debe describir el tratamiento, evaluar la necesidad y la proporcionalidad, así como identificar y mitigar los riesgos.
Obligatoria según el GDPR para el tratamiento de datos de alto riesgo, incluida la elaboración de perfiles a gran escala y la supervisión sistemática de zonas de acceso público. En el contexto de la Ley de IA, la DPIA debe ampliarse para cubrir los requisitos de gestión de riesgos del sistema de IA, creando una evaluación unificada que satisfaga ambos marcos regulatorios.
Article 50 Transparency Obligation
El requisito establecido en el Artículo 50 de la Ley de IA de la UE de que los proveedores garanticen que los sistemas de IA destinados a interactuar con personas físicas se diseñen de manera que se informe a dichas personas de que están interactuando con un sistema de IA, a menos que resulte obvio por el contexto. Los deployers deben asegurarse de que esta declaración esté implementada.
La obligación de cumplimiento más inmediata y aplicable para los operadores de establecimientos que cuentan con chatbots de IA o interfaces conversacionales en sus Captive Portals. La declaración debe ser clara y directa (antes de que comience la interacción), no oculta en los términos y condiciones. Se aplica a todos los sistemas conversacionales de IA, independientemente de su nivel de riesgo.
Ejemplos resueltos
Un grupo hotelero de 450 habitaciones que opera en cinco estados miembros de la UE ha implementado un chatbot impulsado por IA en su Captive Portal para gestionar las consultas de check-in de los huéspedes, recomendaciones de restaurantes y resolución de problemas de WiFi. El chatbot funciona con una plataforma LLM de terceros. El equipo de marketing también utiliza una plataforma de WiFi analytics que crea perfiles individuales de los huéspedes —incluyendo el historial de visitas, el tiempo de permanencia por área del establecimiento y los segmentos demográficos inferidos— para ofrecer ofertas promocionales personalizadas a través de la página de inicio del Captive Portal. El CTO necesita evaluar la postura de cumplimiento de la Ley de IA de ambos sistemas antes de la próxima reunión del consejo.
Paso 1 — Clasificar el chatbot. El chatbot impulsado por IA es un sistema de IA conversacional que interactúa con personas físicas. Cae bajo el Artículo 50(1) como un sistema de Riesgo Limitado. La acción inmediata es implementar una divulgación clara previa a la interacción en la interfaz de usuario del Captive Portal: 'Estás chateando con un asistente de IA'. Este es un cambio en el front-end. El grupo hotelero, como implementador, es responsable de esta divulgación aunque el LLM subyacente sea proporcionado por un tercero. Revise el contrato del proveedor para confirmar la clasificación de la Ley de IA del proveedor y solicite su documentación técnica.
Paso 2 — Clasificar la plataforma de analytics. La plataforma de WiFi analytics crea perfiles individuales de los huéspedes y los utiliza para ofrecer ofertas personalizadas mediante decisiones automatizadas. La pregunta clave es si esto constituye una elaboración de perfiles individuales según el Anexo III: tratamiento automatizado de datos personales para evaluar preferencias, intereses, comportamiento y ubicación. En caso afirmativo, el sistema es de alto riesgo. Solicite la documentación de clasificación de la Ley de IA del proveedor. Si el proveedor clasifica el sistema como de riesgo mínimo, obtenga su justificación por escrito y evalúe si es defendible. Si el sistema es de alto riesgo, comience a planificar el cumplimiento de la evaluación de conformidad antes de la fecha límite de agosto de 2026.
Paso 3 — Auditar los segmentos demográficos inferidos. Si la plataforma de analytics infiere segmentos demográficos que incluyen atributos sensibles —rango de edad, género, nacionalidad— utilizando modelos de IA, evalúe si esto constituye una categorización biométrica de atributos sensibles según el Artículo 5. Si la segmentación se basa en datos declarados (membresía del programa de fidelidad, preferencias proporcionadas explícitamente) en lugar de inferencias de IA a partir de señales de comportamiento, el riesgo es menor. Si se infiere mediante IA a partir de señales de comportamiento, requiere una revisión legal minuciosa.
Paso 4 — Alinear con el GDPR. Asegúrese de que el aviso de privacidad del grupo hotelero refleje el procesamiento impulsado por IA y las divulgaciones del Artículo 50. Revise la base legal para el procesamiento de analytics bajo el Artículo 6 del GDPR. Si el procesamiento se basa en intereses legítimos, realice una evaluación de intereses legítimos que tenga en cuenta la clasificación de riesgo de la Ley de IA. Actualice la DPIA para cubrir las dimensiones de riesgo tanto del GDPR como de la Ley de IA.
Una cadena minorista nacional con 120 tiendas en Alemania, Francia y los Países Bajos está evaluando una nueva plataforma de WiFi marketing que incluye una función de IA descrita por el proveedor como 'personalización basada en el estado de ánimo' —el sistema analiza la velocidad y el patrón de las interacciones de un huésped con el Captive Portal para inferir su 'estado de interacción' y ajusta el contenido promocional que se muestra en la página de inicio en consecuencia. El director de TI necesita evaluar si esta función está permitida bajo la Ley de IA de la UE.
Paso 1 — Identificar la práctica de IA. La función de 'personalización basada en el estado de ánimo' analiza señales de comportamiento (velocidad y patrón de interacción) para inferir un 'estado de interacción', lo que funcionalmente es un estado emocional o psicológico. Esto es inferencia de emociones.
Paso 2 — Aplicar la prueba de prohibición del Artículo 5. El Artículo 5 prohíbe la inferencia de emociones en los lugares de trabajo y las instituciones educativas. Una tienda minorista no es un lugar de trabajo para el huésped, por lo que esta prohibición específica no se aplica a la población de huéspedes en el contexto minorista. Sin embargo, la función aún puede estar prohibida bajo el Artículo 5(1)(a) si implementa técnicas manipuladoras para distorsionar el comportamiento y menoscabar la toma de decisiones informadas, causando un daño significativo. El uso del estado emocional inferido para ofrecer contenido promocional manipulador —por ejemplo, dirigirse a un huésped identificado como 'frustrado' con una oferta basada en la urgencia— es probable que caiga dentro de esta prohibición.
Paso 3 — Evaluar las implicaciones del GDPR. Inferir el estado emocional a partir de datos de comportamiento constituye un tratamiento de datos personales para la elaboración de perfiles bajo el GDPR. Se debe evaluar la base legal para este tratamiento. Es poco probable que el interés legítimo sea una base defendible para la inferencia de emociones utilizada con fines de marketing. El consentimiento explícito es la base más adecuada, pero el mecanismo de consentimiento debe ser específico y detallado: el consentimiento para el acceso a WiFi no constituye un consentimiento para la inferencia de emociones.
Paso 4 — Recomendación. No implemente la función de 'personalización basada en el estado de ánimo' sin una evaluación legal detallada. El riesgo de violación del Artículo 5 —específicamente la prohibición de manipulación— es sustancial. Solicite al proveedor el análisis legal de la clasificación de la función según la Ley de IA. Si el proveedor no puede proporcionar una clasificación defendible, trate la función como prohibida y no la active. La personalización del comportamiento estándar basada en métricas objetivas (frecuencia de visitas, hora del día, preferencias declaradas) está permitida y conlleva un riesgo regulatorio significativamente menor.
Preguntas de práctica
Q1. El proveedor de la plataforma de marketing de WiFi de tu establecimiento acaba de lanzar una nueva función llamada "Visitor Sentiment Scoring" que analiza los patrones de velocidad, secuencia y vacilación de las interacciones de un invitado con el Captive Portal para asignar una puntuación de sentimiento (positivo, neutral, frustrado) y ajustar el contenido promocional mostrado en consecuencia. La documentación del proveedor describe esto como "analítica de comportamiento" en lugar de "reconocimiento de emociones". Como director de TI, ¿cómo evalúas el estado de cumplimiento de esta función con la Ley de IA de la UE y qué acciones tomas?
Sugerencia: Enfócate en la función técnica del sistema, no en el lenguaje de marketing del proveedor. Pregunta: ¿qué está haciendo realmente el sistema? ¿Está infiriendo un estado emocional o psicológico a partir de señales de comportamiento? Luego, aplica la prueba de prohibición del Artículo 5 y la prueba de transparencia del Artículo 50.
Ver respuesta modelo
La función es técnicamente un sistema de reconocimiento de emociones, independientemente de la etiqueta del proveedor. Analizar los patrones de interacción para inferir "frustración" o "sentimiento positivo" es una inferencia de emociones. El primer paso es aplicar la prueba de prohibición del Artículo 5: ¿se está utilizando este sistema en un lugar de trabajo o en una institución educativa? Si el establecimiento es una tienda minorista o un hotel, la prohibición del Artículo 5 en el lugar de trabajo no se aplica a los invitados. Sin embargo, la prohibición de manipulación bajo el Artículo 5(1)(a) puede aplicarse si el sistema utiliza el sentimiento inferido para mostrar contenido manipulador; por ejemplo, dirigirse a un invitado "frustrado" con una oferta basada en la urgencia. El segundo paso es evaluar si el sistema entra en el Anexo III como un sistema de reconocimiento de emociones, lo que lo haría de alto riesgo. El tercer paso es solicitar al proveedor su clasificación de la Ley de IA y su análisis legal por escrito. Si el proveedor no puede proporcionar una clasificación defendible, no actives la función. Documenta el fundamento de tu evaluación independientemente del resultado.
Q2. El operador de un estadio con capacidad para 60,000 personas utiliza la plataforma Guest WiFi de Purple para recopilar datos de primera mano en los eventos. El equipo de marketing quiere implementar un chatbot de IA en el Captive Portal para responder a las preguntas de los aficionados sobre las instalaciones, la mercancía y los próximos eventos. El chatbot funciona con una API de LLM de terceros. El equipo legal del estadio pregunta: ¿cuáles son las obligaciones del Artículo 50, quién es responsable del cumplimiento y cómo se ve la implementación en la práctica?
Sugerencia: Identifica al implementador, al proveedor y el escenario aplicable del Artículo 50. Luego, especifica cómo debe ser la divulgación y cuándo debe aparecer.
Ver respuesta modelo
El operador del estadio es el implementador; el proveedor de la API de LLM es el proveedor. Según el Artículo 50(1), el implementador es responsable de garantizar que los invitados estén informados de que están interactuando con un sistema de IA antes de que comience la interacción. La implementación requiere una divulgación clara en la interfaz de usuario del Captive Portal (una etiqueta o un mensaje introductorio como "Estás chateando con un asistente de IA") que se muestre antes de enviar el primer mensaje. Este es un cambio en el diseño del Captive Portal. La divulgación debe ser explícita y directa; no puede estar oculta en los términos de servicio. El proveedor de LLM tiene sus propias obligaciones como proveedor (documentación técnica, instrucciones de uso), pero el implementador no puede depender del proveedor para cumplir con sus propias obligaciones de transparencia. Además, el operador del estadio debe asegurarse de que el procesamiento de datos del chatbot cumpla con el GDPR: se debe establecer la base legal para procesar cualquier dato personal compartido en la conversación, y el aviso de privacidad debe reflejar el procesamiento impulsado por IA.
Q3. La plataforma de analítica de WiFi de una cadena de tiendas minoristas ha estado creando perfiles de invitados individuales durante dos años, combinando datos de sesiones de WiFi (dirección MAC del dispositivo, tiempo de permanencia, frecuencia de visitas, ubicación dentro de la tienda) con datos de CRM (historial de compras, nivel del programa de lealtad) para alimentar un modelo de IA que toma decisiones automatizadas sobre qué ofertas promocionales mostrar a cada invitado en el Captive Portal. Se le ha pedido al nuevo responsable de cumplimiento de la cadena que evalúe si este sistema es de alto riesgo bajo la disposición de elaboración de perfiles individuales del Anexo III de la Ley de IA de la UE. ¿Cuál es la metodología de evaluación y el resultado probable?
Sugerencia: Aplica la prueba de elaboración de perfiles individuales del Anexo III: ¿el sistema de IA realiza un procesamiento automatizado de datos personales para evaluar aspectos de las preferencias, intereses, comportamiento o ubicación de una persona? Luego, considera si las decisiones automatizadas son lo suficientemente significativas como para activar la clasificación de alto riesgo.
Ver respuesta modelo
La metodología de evaluación sigue tres pasos. Primero, confirmar que el sistema es un sistema de IA (no un simple motor basado en reglas): si la decisión promocional la toma un modelo de aprendizaje automático en lugar de un motor de reglas determinista, es un sistema de IA. Segundo, aplicar la prueba de elaboración de perfiles individuales del Anexo III: el sistema está procesando datos personales (datos de sesión de WiFi, datos de CRM) para evaluar preferencias, intereses, comportamiento y ubicación individuales. Esto cumple con la definición de elaboración de perfiles individuales. Tercero, evaluar si el sistema está incluido en los casos de uso del Anexo III; la categoría más relevante es "acceso y disfrute de servicios públicos y privados esenciales", que incluye los sistemas de IA utilizados para evaluar la elegibilidad para los servicios. Si las decisiones sobre ofertas promocionales constituyen un "acceso a los servicios" es una zona gris; si el sistema de IA puede denegar a un invitado el acceso a una oferta promocional que afecte materialmente su decisión de compra, los reguladores pueden considerar que esto es significativo. El resultado probable es que el sistema deba tratarse como potencialmente de alto riesgo y realizarse una evaluación formal. La cadena debe comprometerse con el proveedor de la plataforma para obtener su clasificación de la Ley de IA, iniciar una evaluación de impacto de protección de datos (DPIA) / evaluación de riesgos de IA y comenzar a planificar el cumplimiento de la evaluación de conformidad antes de la fecha límite de agosto de 2026.
Continúe leyendo esta serie
How to Configure SCEP for Automated Enterprise WiFi Certificate Enrollment
Esta guía explica cómo configurar SCEP (Simple Certificate Enrollment Protocol) para el registro automatizado de certificados de WiFi empresariales, abarcando toda la arquitectura desde PKI y NDES hasta la implementación de perfiles MDM y la validación RADIUS. Está dirigida a gerentes de TI, arquitectos de red y CTOs en hoteles, cadenas de retail, estadios, centros de convenciones y organizaciones del sector público que necesitan ir más allá de las claves precompartidas e implementar una autenticación 802.1X EAP-TLS escalable y basada en la identidad. La plataforma de superposición en la nube de Purple, que es agnóstica al hardware, se integra directamente con esta arquitectura, proporcionando la capa de WiFi para invitados y BYOD que coexiste junto con la red de personal autenticada por certificado.
La guía empresarial de SCEP: Implementación de Simple Certificate Enrollment Protocol para la seguridad automatizada de WiFi en campus
Esta guía de referencia técnica proporciona un diseño arquitectónico definitivo y una estrategia de implementación paso a paso para la distribución de certificados de WiFi empresarial mediante SCEP. Cubre las diferencias críticas entre SCEP y PKCS, la secuencia exacta de implementación requerida para el éxito y las estrategias de mitigación de riesgos del mundo real para los líderes de TI.
Cómo implementar SCEP para la inscripción automatizada de certificados WiFi
Esta guía explica cómo implementar SCEP (Simple Certificate Enrollment Protocol) para la inscripción automatizada de certificados WiFi en entornos empresariales. Cubre el diseño completo de la arquitectura, desde el diseño de PKI y la integración con MDM hasta la secuencia obligatoria de implementación de tres pasos, y muestra a los gerentes de TI y arquitectos de red cómo eliminar las credenciales compartidas, automatizar la gestión del ciclo de vida de los certificados y cumplir con los requisitos de PCI DSS y GDPR a escala.