RGPD e IA en la gestión de inquilinos y huéspedes: qué exige la ley

Un agente de IA que gestiona inquilinos o huéspedes trata datos personales en cada mensaje: nombre, teléfono, a veces DNI o pasaporte para el registro de viajeros, historial de reservas, incidencias reportadas, y en ocasiones datos de pago. El RGPD no hace ninguna excepción para que esto lo procese una IA en lugar de una persona — las obligaciones son las mismas, y en algunos aspectos hay que ser más explícito precisamente porque el tratamiento es automatizado.

La base legal del tratamiento

Antes de que un agente conteste el primer mensaje, tiene que estar claro bajo qué base legal se tratan esos datos. En la gestión de inquilinos y huéspedes, casi siempre es la ejecución del contrato de arrendamiento o de la reserva — no hace falta pedir un consentimiento aparte para gestionar el check-in de alguien que ya ha reservado, porque tratar sus datos es necesario para cumplir ese contrato. Donde sí hace falta consentimiento explícito es para usos que van más allá de gestionar la estancia: comunicaciones comerciales, encuestas de satisfacción con fines de marketing, o ceder datos a terceros que no participan en la prestación del servicio.

Los derechos del inquilino o huésped no cambian

Acceso, rectificación, supresión, portabilidad y oposición siguen aplicando igual cuando quien atiende es un agente de IA. En la práctica esto significa que el sistema tiene que poder responder a preguntas como “¿qué datos tenéis míos?” o “quiero que borréis mi historial” de forma verificable, no solo con una respuesta educada del agente. Si un inquilino pide la eliminación de sus datos y el agente contesta que “ya está hecho” sin que exista un proceso real detrás que lo garantice, eso es un incumplimiento, no un detalle de producto.

Minimización de datos: la IA no necesita saberlo todo

Un error frecuente al montar un agente conversacional es darle acceso a más información de la que necesita para resolver la conversación que tiene delante. Un agente que gestiona check-ins no necesita ver el histórico completo de pagos de todos los inquilinos de la cartera para responder dónde está la llave. La minimización de datos no es solo un principio legal — es también lo que limita el daño si algo falla: cuanto menos dato innecesario circula por el agente, menor es la superficie expuesta ante un error o un acceso indebido.

Plazos de conservación

Los datos de un inquilino o huésped no se pueden guardar indefinidamente “por si acaso”. Tiene que existir un criterio de cuánto tiempo se conserva cada tipo de dato después de que termine la relación —la estancia, el contrato— y qué pasa cuando se cumple ese plazo: anonimización o borrado efectivo. Esto es especialmente relevante en alquiler turístico y coliving, donde la rotación es alta y se acumulan históricos de personas que ya no tienen ninguna relación activa con la propiedad.

Qué garantías debe poder ofrecer el proveedor

Si la gestión de inquilinos o huéspedes se apoya en un proveedor externo de software con IA, ese proveedor actúa como encargado del tratamiento, y eso trae obligaciones concretas que hay que poder verificar, no dar por hecho:

• Contrato de encargado del tratamiento (DPA) firmable. No una cláusula genérica en los términos de uso, sino un documento que se pueda firmar y que recoja qué datos se tratan, con qué finalidad y bajo qué instrucciones del responsable.
• Cifrado de los datos, tanto en tránsito como en reposo, y control de quién dentro del proveedor puede acceder a las conversaciones y con qué justificación.
• Auditabilidad de las conversaciones. Poder consultar qué dijo el agente, cuándo y a quién, no solo para resolver una disputa con un inquilino sino para poder demostrar cumplimiento si lo pide una autoridad de control.
• Ubicación de los datos clara y, si hay transferencia fuera del Espacio Económico Europeo, las garantías correspondientes (cláusulas contractuales tipo u otro mecanismo válido).

Qué preguntar antes de contratar un proveedor de IA inmobiliaria

Antes de automatizar la atención a inquilinos o huéspedes con un agente de IA, conviene hacer estas preguntas concretas al proveedor, y desconfiar de cualquiera que no pueda responderlas con precisión:

1. ¿Puedo firmar un DPA, y qué cubre exactamente?
2. ¿Dónde se almacenan los datos y las conversaciones?
3. ¿Puedo consultar el historial completo de una conversación gestionada por el agente?
4. ¿Qué pasa con los datos de un inquilino o huésped cuando termina la relación con la propiedad?
5. ¿El agente tiene acceso solo a los datos de la cuenta correspondiente, o existe riesgo de que se mezclen datos entre distintos clientes del proveedor?

La responsabilidad no se delega del todo

Contratar un proveedor que cumple no exime al propietario o gestora de su propia responsabilidad como responsable del tratamiento. Hay que seguir teniendo claro qué datos se recogen, para qué se usan y durante cuánto tiempo, aunque la conversación la lleve un agente automatizado. La diferencia entre automatizar bien y automatizar mal, en términos de RGPD, no está en si se usa IA o no — está en si alguien puede explicar, con detalle verificable, qué hace el sistema con cada dato que toca.