Sí: en España es legal que una inmobiliaria use un agente de IA para responder y calificar leads por WhatsApp, y no existe ninguna norma española o europea que lo prohíba. Lo que sí exige la ley son cuatro condiciones acumulativas: (1) una base legal válida del RGPD para tratar el teléfono del lead —normalmente el artículo 6.1.b (medidas precontractuales a petición del interesado) o el 6.1.a (consentimiento); (2) el consentimiento previo y específico del artículo 21 de la LSSI (Ley 34/2002) si el mensaje es comercial, porque WhatsApp es un "medio de comunicación electrónica equivalente" al correo electrónico; (3) transparencia —informar de que se está interactuando con un sistema de IA, obligación del artículo 50 del Reglamento (UE) 2024/1689 (Reglamento Europeo de IA o "AI Act"), aplicable desde el 2 de agosto de 2026; y (4) supervisión humana efectiva sobre cualquier decisión que afecte significativamente al interesado (artículo 22 del RGPD). Las cifras explican por qué merece la pena hacerlo bien. Responder un lead inmobiliario en menos de 5 minutos multiplica por 8–21 la probabilidad de calificarlo frente a hacerlo a los 30 minutos, según benchmarks del sector, y en España el coste por lead en campañas de Meta Ads para vivienda residencial se mueve entre 8 y 25 € (aprox. 9–27 USD), subiendo a 35–90 € (38–97 USD) en obra nueva y producto premium en Costa del Sol, Marbella o el Eixample. Con esos costes, dejar leads sin respuesta durante horas es caro; hacerlo mal legalmente lo es más: el RGPD permite sanciones de hasta 20 millones de euros o el 4 % de la facturación mundial, la LSSI llega a 150.000 € por infracción grave y el Reglamento de IA alcanza los 35 millones o el 7 % en prácticas prohibidas. Esta guía explica, paso a paso y con el detalle operativo que necesita una agencia, una promotora o un equipo de agentes en España: qué base legal usar en cada escenario, cómo redactar el formulario y el primer mensaje, qué contratos firmar con tus proveedores de IA, qué plazos de conservación aplican y qué te obliga ya el Reglamento de IA en 2026. Aviso importante: se trata de información general de carácter divulgativo, no de asesoramiento jurídico; antes de implantar cualquier flujo confirma tu caso concreto con tu abogado, tu delegado de protección de datos o tu equipo de cumplimiento.
¿Es legal en España que una IA responda y califique leads inmobiliarios por WhatsApp?
Es legal, y lo es porque ninguna de las normas aplicables regula "quién" escribe el mensaje, sino cómo se obtuvo el dato, qué se le comunica al usuario y quién responde de las consecuencias. El marco es una pila de cuatro normas: el RGPD (Reglamento UE 2016/679) y su desarrollo español, la LOPDGDD (Ley Orgánica 3/2018); la LSSI-CE (Ley 34/2002), cuyo artículo 21 gobierna las comunicaciones comerciales electrónicas; la Ley General de Telecomunicaciones 11/2022, cuyo artículo 66.1.b regula las llamadas comerciales no deseadas; y el Reglamento Europeo de IA (UE) 2024/1689. A esto se suma la normativa sectorial antidiscriminación: la Ley 15/2022 integral para la igualdad de trato y la Ley 12/2023 por el derecho a la vivienda prohíben denegar o condicionar el acceso a vivienda por origen racial, nacionalidad, religión, sexo, discapacidad u otras características protegidas. Un agente de IA que filtre leads no puede, ni directa ni indirectamente, replicar ese sesgo.
En el reparto de responsabilidades, la inmobiliaria es responsable del tratamiento. El proveedor del agente de IA, el CRM, la plataforma de mensajería y el modelo de lenguaje son encargados del tratamiento, y con cada uno hace falta un contrato del artículo 28 del RGPD. Meta actúa como encargado cuando usas WhatsApp Business Platform (la API oficial), no cuando usas WhatsApp Business gratuita desde un móvil personal —esa segunda vía, muy común en agencias pequeñas de Madrid o Valencia, es precisamente la que peor documentación deja y la que más problemas genera en una inspección.
Dos supervisores distintos vigilan cada capa: la AEPD (Agencia Española de Protección de Datos) para el dato personal, y la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, como autoridad nacional designada para el Reglamento de IA. Información general, no asesoramiento jurídico.
¿Qué base legal del RGPD ampara escribir a un lead por WhatsApp?
Depende de cómo llegó ese teléfono, y aquí es donde se cometen la mayoría de los errores. Escenario 1: el usuario rellena un formulario en tu web o en un anuncio de Meta Lead Ads pidiendo información de una promoción concreta en Ruzafa o Nueva Andalucía. Responderle es una medida precontractual adoptada a petición del interesado, artículo 6.1.b del RGPD: no necesitas consentimiento para el tratamiento en sí. Escenario 2: quieres además enviarle novedades, otras promociones o seguimientos comerciales. Eso ya es comunicación comercial y, por vía LSSI, exige consentimiento previo, expreso, informado y granular —una casilla específica para "comunicaciones comerciales por WhatsApp", no una casilla genérica de "acepto la política de privacidad". Escenario 3: contacto en frío a partir de un listado comprado o scrapeado de un portal. Sin base legal y sin consentimiento: prohibido, y es la conducta que más resoluciones sancionadoras genera.
El interés legítimo (artículo 6.1.f) tiene un recorrido muy limitado aquí. Puede sostener el envío a clientes previos de productos o servicios similares —la llamada "soft opt-in" del propio artículo 21.2 LSSI, que requiere que los datos se obtuvieran lícitamente en el marco de una compraventa o arrendamiento anterior y que en cada mensaje se ofrezca la baja—, pero no ampara el contacto a desconocidos.
Sea cual sea la base, la información del artículo 13 debe darse en el momento de la recogida: identidad del responsable, finalidades, base legal, plazos de conservación, destinatarios, transferencias internacionales y derechos. Y hay que llevar registro de actividades de tratamiento (artículo 30) y prueba del consentimiento: fecha, hora, IP, versión del texto aceptado y captura del formulario. Sin esa prueba, la carga probatoria juega en tu contra. Información general, no asesoramiento jurídico.
¿Qué exige la LSSI para WhatsApp, SMS y llamadas comerciales automatizadas?
El artículo 21 de la LSSI prohíbe enviar comunicaciones publicitarias o promocionales "por correo electrónico u otro medio de comunicación electrónica equivalente" que no hubieran sido solicitadas o expresamente autorizadas. La AEPD y la doctrina consolidada consideran WhatsApp, Telegram, SMS y mensajería in-app dentro de esa categoría: el canal no cambia la regla. En la práctica esto significa tres obligaciones operativas concretas. Primera: identificar al remitente. El mensaje debe permitir identificar sin lugar a dudas al anunciante —nombre comercial de la inmobiliaria, no un número anónimo. Segunda: identificar el carácter comercial cuando lo sea. Tercera: ofrecer un procedimiento sencillo y gratuito de oposición, que en WhatsApp se resuelve con una línea del tipo "Escribe BAJA para dejar de recibir mensajes", procesada automáticamente y con efecto inmediato en el CRM.
Las sanciones de la LSSI son propias e independientes de las del RGPD: infracción leve hasta 30.000 €, grave de 30.001 a 150.000 €. El envío masivo sin consentimiento se ha venido calificando como grave.
Para las llamadas —relevante si tu Estate Funnel incluye un agente de voz con IA— el artículo 66.1.b de la Ley General de Telecomunicaciones 11/2022 reconoce a los usuarios el derecho a no recibir llamadas comerciales no deseadas, y la AEPD desarrolló su interpretación en su Circular 1/2023. En términos prácticos: consentimiento previo, o una base legal muy sólida y documentada; consulta obligatoria de la Lista Robinson cuando corresponda; identificación al inicio de la llamada; y horarios razonables. A esto se suma la capa contractual de Meta: WhatsApp Business Platform exige opt-in verificable, plantillas aprobadas para iniciar conversación fuera de la ventana de servicio de 24 horas, y penaliza los números con alta tasa de bloqueos o reportes degradando su nivel de calidad hasta el bloqueo. Información general, no asesoramiento jurídico.
¿Qué obliga ya el Reglamento Europeo de IA a una inmobiliaria en 2026?
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 con aplicación escalonada. Desde el 2 de febrero de 2025 son aplicables el Título sobre prácticas prohibidas (artículo 5) y el artículo 4 de alfabetización en IA, que obliga a proveedores y responsables del despliegue a garantizar un nivel suficiente de formación en IA de su personal: si tus agentes de Madrid o Málaga trabajan con un asistente de IA, necesitas formación documentada, no un correo interno. Desde el 2 de agosto de 2025 aplican las obligaciones de modelos de IA de uso general y el régimen de gobernanza y sanciones. Desde el 2 de agosto de 2026 aplica el grueso del Reglamento, incluidas las obligaciones de transparencia del artículo 50 y los sistemas de alto riesgo del Anexo III; los productos del Anexo I llegan en agosto de 2027. Conviene verificar el calendario vigente: la Comisión propuso en noviembre de 2025 un paquete "Digital Omnibus" que podría reajustar algunos plazos de alto riesgo, y su tramitación puede alterar fechas.
Para una inmobiliaria, tres artículos importan. El artículo 50 exige informar a las personas físicas de que están interactuando con un sistema de IA, salvo que sea obvio, y marcar los contenidos sintéticos —relevante si generas home staging virtual, vídeos o voces con IA. El artículo 5 prohíbe técnicas manipuladoras o de explotación de vulnerabilidades: un bot que presione a un comprador vulnerable entra en zona roja. Y el Anexo III convierte en alto riesgo, entre otros, los sistemas de reconocimiento de emociones y los de evaluación de solvencia crediticia de personas físicas —ojo si tu IA "prequalifica hipoteca". Multas: hasta 35 M€ o 7 % por prácticas prohibidas, 15 M€ o 3 % por el resto. Información general, no asesoramiento jurídico.
¿Cuándo la calificación automática de leads choca con el artículo 22 del RGPD?
El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente de modo similar al interesado. La clave está en "significativamente". Asignar a un lead un scoring interno de 0 a 100 y enrutarlo a un agente senior o a un flujo de nurturing rara vez alcanza ese umbral: no se le deniega nada. Pero la sentencia del TJUE en el asunto C-634/21 (SCHUFA, diciembre de 2023) amplió el foco al establecer que la propia generación automatizada de una puntuación puede constituir por sí misma una decisión del artículo 22 cuando terceros la utilizan de forma determinante para decidir sobre la persona.
Traducido a la operativa inmobiliaria: si tu IA descarta automáticamente a alguien de una promoción, le niega una visita, le cierra el acceso a un producto financiero o excluye su expediente de la lista de reservas sin intervención humana, estás en terreno del artículo 22 y necesitas una de las tres excepciones del apartado 2 (necesidad contractual, autorización legal o consentimiento explícito) más medidas de salvaguarda: derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión.
El riesgo añadido es el sesgo. Un modelo que aprenda de históricos puede correlacionar código postal, apellido o idioma con probabilidad de compra y acabar filtrando de facto por origen —lo que activa la Ley 15/2022 y la Ley 12/2023, con independencia del RGPD. El diseño defendible es simple: la IA recopila, ordena y prioriza; la persona decide. En el Estate Funnel de Growth Estate el agente responde en segundos, hace las preguntas de calificación y agenda, pero cualquier descarte definitivo queda registrado y revisado por un humano, con trazabilidad de conversación exportable. Información general, no asesoramiento jurídico.
¿Cómo redactar el formulario, el aviso de IA y el primer mensaje que cumplen?
El punto de fricción real no es el bot: es el formulario. Un formulario defendible en España lleva, como mínimo, cuatro elementos separados. Uno, los campos estrictamente necesarios —minimización de datos del artículo 5.1.c: nombre, teléfono, email y zona de interés bastan; el sueldo o el estado civil en un primer contacto son difíciles de justificar. Dos, una capa informativa breve con enlace a la política de privacidad completa: quién es el responsable, para qué, base legal, plazo, si hay transferencias fuera del EEE y cómo ejercer derechos. Tres, casillas separadas y no premarcadas: una para "quiero recibir información de esta promoción por WhatsApp" y otra distinta para "quiero recibir otras promociones y novedades comerciales". Cuatro, el registro de la prueba: timestamp, IP, versión del texto legal y origen de la campaña.
En el primer mensaje de WhatsApp, la fórmula que resuelve LSSI y artículo 50 del Reglamento de IA a la vez cabe en tres líneas: identidad de la empresa, naturaleza del interlocutor y salida. Por ejemplo: "Hola Marta, soy el asistente virtual de [Inmobiliaria X]. Te escribo por tu solicitud de información sobre [promoción] en [zona]. Soy un sistema de IA; si prefieres hablar con un agente, dime 'agente'. Escribe BAJA para no recibir más mensajes." Es corta, cumple y —según benchmarks del sector— no penaliza la conversión: la tasa de respuesta en WhatsApp se mantiene muy por encima del email, con aperturas habituales del 85–95 % frente al 15–25 % del correo.
Dos detalles más que evitan sustos: no uses el bot para prometer condiciones financieras o precios que no puedas sostener, porque generan responsabilidad precontractual; y guarda el histórico completo de la conversación, que es tu mejor prueba tanto ante la AEPD como ante una reclamación de consumo. Información general, no asesoramiento jurídico.
¿Qué contratos, transferencias internacionales y plazos de conservación necesitas?
Cada proveedor que toque el dato del lead necesita un contrato de encargado del tratamiento conforme al artículo 28 del RGPD: la plataforma de mensajería, el CRM, el proveedor del agente de IA, el modelo de lenguaje, el motor de voz sintética y la herramienta de analítica. Ese contrato debe fijar objeto, duración, finalidad, tipos de datos, obligación de confidencialidad, medidas de seguridad del artículo 32, régimen de subencargados, asistencia en derechos y brechas, y devolución o supresión al finalizar. Sin ese papel firmado, la infracción existe aunque nunca haya un incidente.
El segundo frente son las transferencias internacionales (capítulo V, artículos 44 a 49). La mayoría de proveedores de IA y de mensajería son estadounidenses. Las vías habituales son la decisión de adecuación del EU-US Data Privacy Framework de julio de 2023 cuando el proveedor está certificado, o las Cláusulas Contractuales Tipo con una evaluación de impacto de la transferencia (TIA) documentada. Conviene revisar periódicamente el estado del marco de adecuación, que ha sido y sigue siendo objeto de escrutinio judicial y político. Verifica también si el proveedor ofrece residencia de datos en la UE y si tus conversaciones se usan o no para entrenar modelos: exige la opción de no entrenamiento por contrato.
Sobre conservación, no hay un plazo único. Para un lead comercial que nunca convierte, lo razonable es un plazo definido y revisable —12 a 24 meses es la práctica habitual— con supresión o bloqueo posterior. Para clientes reales, la Ley 10/2010 de prevención del blanqueo de capitales obliga a los agentes inmobiliarios, como sujetos obligados, a conservar la documentación de diligencia debida 10 años, y el Código de Comercio impone 6 años a la documentación mercantil. Añade: evaluación de impacto (artículo 35) si hay perfilado a gran escala o tecnología innovadora, y notificación de brechas a la AEPD en 72 horas (artículo 33). Información general, no asesoramiento jurídico.
¿Cuánto cuesta cumplir frente a lo que cuesta la multa, y por dónde empezar?
El cálculo suele decidir el debate. Poner en regla una operación inmobiliaria mediana en España —revisión de formularios, política de privacidad, registro de tratamientos, contratos de encargado, texto de consentimiento y protocolo de derechos— se mueve, según benchmarks del sector, en torno a 800–3.000 € (aprox. 865–3.240 USD) de implantación y 80–300 € (86–324 USD) mensuales de mantenimiento externalizado; una evaluación de impacto formal añade unos 1.500–5.000 €. El coste técnico del canal es menor de lo que se cree: en WhatsApp Business Platform las plantillas de utilidad y servicio se han abaratado mucho y las de marketing en España rondan cifras del orden de 0,05–0,09 € por mensaje según el tarifario vigente de Meta, que conviene comprobar antes de presupuestar.
Enfrente: hasta 20 M€ o el 4 % de facturación global por RGPD, hasta 150.000 € por infracción grave de LSSI, y hasta 35 M€ o el 7 % en el Reglamento de IA (con la regla de que para pymes se aplica el importe menor de los dos). Añade el coste invisible: la suspensión del número de WhatsApp por exceso de bloqueos deja sin canal a todo el equipo comercial de un día para otro.
Una secuencia de arranque razonable en cinco pasos: (1) inventaría de dónde viene cada lead y con qué prueba de consentimiento; (2) rehaz formularios y textos legales con casillas granulares; (3) firma contratos del artículo 28 y documenta transferencias; (4) define en el bot el aviso de IA, la palabra clave de baja y el punto de escalado a humano, y documenta que ninguna decisión relevante es puramente automática; (5) forma al equipo (artículo 4 del Reglamento de IA) y registra esa formación. Es exactamente el orden con el que en Growth Estate montamos la capa de IA del Estate Funnel antes de encender una sola campaña. Información general, no asesoramiento jurídico: confirma tu caso con tu asesor legal.
Preguntas frecuentes
Puedes responder a lo que te ha pedido. Si el usuario solicitó información sobre una vivienda concreta, contestarle encaja en el artículo 6.1.b del RGPD como medida precontractual a petición del interesado, y ese primer contacto de respuesta no es publicidad no solicitada. Lo que no puedes hacer sin la casilla específica es enviarle después promociones distintas, novedades, newsletters o seguimientos comerciales: eso es comunicación comercial y el artículo 21 de la LSSI exige consentimiento previo y expreso para el canal. Por seguridad probatoria, lo recomendable es incluir en el formulario una casilla granular no premarcada para WhatsApp y conservar el registro (fecha, hora, IP, texto aceptado). Es información general, no asesoramiento jurídico.