XGen AI

El widget captura cada mensaje que escribe el visitante, la respuesta del asistente, un identificador de conversación, la URL de la página, el referente, la dirección IP y el agente de usuario. Suele escribir una cookie de sesión y un identificador de asistente en local storage. Como los prompts son texto libre, las transcripciones pueden contener datos personales, datos de contacto, números de cuenta y a menudo categorías especiales del Art. 9 RGPD como salud, religión u opinión política. XGen AI puede conservar transcripciones para filtrado de seguridad, depuración y control de calidad y reenviarlas a OpenAI o Anthropic para la inferencia.

Sí. El cargador de XGen AI escribe identificadores en el dispositivo, lo que activa el Art. 5(3) ePrivacy, y envía el contenido de la conversación a encargados en Estados Unidos, lo que exige consentimiento Art. 6(1)(a) RGPD. Si los usuarios pueden compartir datos del Art. 9, la base jurídica debe ser el consentimiento explícito del Art. 9(2)(a). El widget debe permanecer bloqueado tras una CMP hasta que el visitante opte por el sí, y el aviso de transparencia del Art. 50 EU AI Act debe ser visible en la propia interfaz de chat.

Para la mayoría de casos la base jurídica es el consentimiento Art. 6(1)(a) RGPD más el Art. 5(3) ePrivacy para el almacenamiento en el dispositivo. El espacio de trabajo XGen AI del operador trata datos del empleador por contrato (Art. 6(1)(b) RGPD) y puede apoyarse en el interés legítimo (Art. 6(1)(f)) para seguridad y detección de abuso. Si el chatbot trata datos del Art. 9, el operador debe basarse en el consentimiento explícito (Art. 9(2)(a)) o en otra excepción del Art. 9. El AI Act añade obligaciones de transparencia independientes.

Sí. Los servidores de XGen AI están en Estados Unidos y los prompts se reenvían a OpenAI y Anthropic, también estadounidenses. Las transferencias se apoyan en el EU US Data Privacy Framework cuando el proveedor está certificado o en Cláusulas Contractuales Tipo con medidas suplementarias. Un Análisis de Impacto de Transferencia conforme a Schrems II es obligatorio y debe abordar específicamente el riesgo FISA 702 para contenido textual. Los operadores deben fijar la región de inferencia, desactivar el entrenamiento con datos del cliente y documentar el cifrado y los controles de acceso entre la UE y el endpoint estadounidense.

Casi siempre sí. Combinar generación automatizada de contenido con IA, prompts en texto libre que pueden incluir datos del Art. 9, transferencias a un tercer país no adecuado y despliegue a gran escala en un sitio web satisface varios criterios del CEPD. La EIPD debe describir el caso de uso del asistente, los flujos de datos, la retención, los subencargados (OpenAI, Anthropic), el riesgo de alucinación y re identificación, la clasificación bajo el AI Act (riesgo limitado o alto) y las medidas de mitigación (redacción de prompt, opt out de entrenamiento, retención corta, revisión humana).

Bloquea el cargador de XGen AI tras la CMP e inyéctalo solo tras el consentimiento. Desactiva el entrenamiento sobre datos del cliente en OpenAI y Anthropic, aplica redacción de prompts o detección de PII antes de la inferencia, fija una retención corta de transcripciones y restringe el acceso al estricto necesario. Publica un aviso de privacidad de IA que nombre a XGen AI y a los proveedores en cascada como subencargados, coloca el descargo de transparencia del AI Act en la interfaz de chat y ofrece al usuario una forma clara de descargar o borrar su historial.

Para despliegues exclusivamente en la UE considera asistentes open source autohospedados (Mistral, Llama, Falcon) sobre infraestructura europea (OVH, Scaleway, Hetzner, IONOS). Alternativas gestionadas con residencia UE son Mistral La Plateforme (París), Aleph Alpha (Heidelberg) y Azure OpenAI Europa Oeste con contratos de residencia. Estas opciones mantienen orquestación e inferencia dentro del EEE, simplifican la postura Schrems II y eliminan la exposición FISA 702, a cambio de cierta menor paridad funcional respecto a XGen AI.

Revisa el aviso de privacidad de IA y la documentación técnica del AI Act al menos cada seis meses y cada vez que cambies la plantilla del prompt, sustituyas el modelo subyacente, añadas una nueva fuente de datos, cambies de subencargado o abras el chatbot a una nueva categoría de usuarios. Repite los tests de inyección de prompts y sesgos, actualiza el inventario de cookies si cambia la configuración del widget y vuelve a solicitar consentimiento cuando evolucionen finalidades sustantivas, por ejemplo al activar memoria entre sesiones o analítica sobre transcripciones.