IA en el comercio minorista: 6 usos reales en una pyme con tiendas y qué exige el Reglamento de IA, el RGPD y la ley de consumidores

IA en el comercio minorista: 6 usos reales en una pyme con tiendas y qué exige el Reglamento de IA, el RGPD y la ley de consumidores

Un comercio de electrodomésticos y electrónica tiene tres tiendas en Valencia y una web que ya factura una cuarta parte de las ventas. La responsable de marketing redacta las fichas de producto y las campañas con ChatGPT o Gemini. La web tiene un chatbot que responde de noche. El programa de gestión propone pedidos a proveedores y sugiere precios. Y en las tiendas, las cámaras nuevas cuentan personas y avisan de «comportamientos sospechosos».

El comercio adopta la inteligencia artificial sin un proyecto: llega en el software de gestión, en la plataforma de la tienda online y en la última actualización de las cámaras. Cada una de esas herramientas convierte a la empresa en responsable del despliegue según el Reglamento (UE) 2024/1689, con obligaciones ya en vigor. Y en una tienda la IA toca enseguida a dos colectivos: clientes (precios, perfiles, imágenes) y plantilla (turnos, rendimiento). Ahí mandan el RGPD, la LOPDGDD, la ley de consumidores y el Estatuto de los Trabajadores antes que el Reglamento de IA. Este artículo ordena los seis usos más frecuentes, lo que exige cada uno, un caso práctico y una checklist.

Qué hace ya la IA en un comercio de tamaño medio

Esta clasificación es la que recoge el registro de sistemas de IA del Kit de Cumplimiento AI Act para pymes: cada herramienta inscrita con su nivel de riesgo, los datos que trata, el proveedor y la fecha de revisión. En un comercio, la mayoría de esas herramientas no las ha comprado nadie como «IA»: vienen activadas en el TPV, en la plataforma de la tienda online o en el grabador de las cámaras.

Lo que exige el Reglamento de IA a un comercio

El ómnibus digital sobre IA, publicado en el DOUE el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio, fijó el calendario definitivo. Para una pyme comercial cuentan cuatro fechas:

• 2 de febrero de 2025: artículo 4, alfabetización en IA, y artículo 5, prácticas prohibidas. La obligación de formación no tiene umbral de plantilla y alcanza a quien usa las herramientas: marketing, atención al cliente, compras, administración y los encargados de tienda que manejan el TPV y las cámaras. El ómnibus suavizó la redacción («fomentar» la alfabetización), pero la prueba sigue siendo la misma: formación fechada, programa y certificado por persona. Lo detallamos en nuestro artículo sobre el artículo 4 del AI Act. Entre las prácticas prohibidas hay dos que afectan a una tienda: la categorización biométrica que deduce origen étnico, creencias u orientación sexual de los clientes, y el reconocimiento de emociones de la plantilla en el lugar de trabajo.
• 2 de agosto de 2026: artículo 50, transparencia. El chatbot debe decir que es una IA desde el primer mensaje. Las imágenes de producto o de ambiente generadas con IA que salen en la web, en el catálogo o en redes llevan marcado legible por máquina; los sistemas generativos que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para incorporarlo.
• 2 de diciembre de 2027: alto riesgo del Anexo III. Identificación biométrica remota, reconocimiento de emociones, cribado de candidatos, asignación de tareas y evaluación del rendimiento de la plantilla. 2 de agosto de 2028: Anexo I, IA integrada en productos regulados; afecta al fabricante de lo que usted vende, no a usted como comerciante.

Sobre la ley española: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, ha caducado con la disolución de las Cortes publicada en el BOE del 6 de octubre de 2026 y la convocatoria de elecciones para el 29 de noviembre. Deberá presentarse de nuevo. Cuando una futura ley entre en vigor, fijará el régimen sancionador nacional; mientras tanto se aplica el del Reglamento: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por las prácticas prohibidas y hasta 15 millones o el 3 % por el resto, con el importe menor para las pymes. La AESIA vigila el Reglamento; la AEPD, los datos personales. Y en el comercio la AEPD tiene criterio formado: en 2021 sancionó con 2,5 millones de euros a una gran cadena de supermercados por un sistema de reconocimiento facial en tiendas, y en octubre de 2026 ha recordado, en dos advertencias sobre videovigilancia con IA, que cada función de análisis automático debe justificarse por separado y que «la disponibilidad técnica no justifica por sí misma su uso». Para el calendario completo, lea Reglamento de IA: qué se aplica a su pyme en 2026.

Caso 1: fichas de producto, campañas y redes sociales

Qué hace la IA. Redacta fichas a partir de la hoja técnica del fabricante, traduce el catálogo, escribe los correos de campaña, genera imágenes de ambiente para la web y las redes. Para un comercio con miles de referencias es el uso que más horas libera.

El riesgo. Una ficha que atribuye a un frigorífico una clase energética que no tiene o una garantía de cinco años que no existe es publicidad engañosa y compromete a la empresa frente al cliente y a la autoridad de consumo. Una imagen generada que parece una foto del producto real puede inducir a error. En datos, el riesgo es menor: las hojas técnicas son públicas. Pero las tarifas de compra y los acuerdos con proveedores son secretos empresariales.

Qué debe hacer. Regla escrita: toda ficha y toda campaña generadas se revisan contra la documentación del fabricante antes de publicarse, y quien publica firma. Cuenta de empresa con contrato para todo lo que toque precios de compra. Marcado de las imágenes generadas y una línea en la web cuando una imagen de ambiente no es una fotografía del producto. Detalle en nuestro artículo sobre el artículo 50 del AI Act.

Caso 2: chatbot de atención al cliente en la web y en WhatsApp

Qué hace la IA. Responde sobre disponibilidad, plazos de entrega, devoluciones y garantías, a cualquier hora. Recoge el número de pedido y el teléfono para pasar el caso a una persona.

El riesgo. Transparencia y datos. Un chatbot que firma como «Laura, de atención al cliente» incumple el artículo 50 desde el 2 de agosto de 2026. Un chatbot que promete una devolución fuera de plazo o un precio que no existe compromete a la empresa: la ley de consumidores no distingue si la información la dio una persona o una máquina. Y los datos que recoge (pedido, dirección, teléfono, a veces una incidencia con un producto) son datos personales que necesitan información y contrato con el proveedor.

Qué debe hacer. Mención en el primer mensaje, con opción de hablar con una persona. Base de conocimiento limitada a su política comercial real, revisada por quien la conoce. Contrato de encargado con el proveedor del chatbot, cláusula informativa en la web y conservación limitada de las conversaciones.

Caso 3: previsión de demanda, reposición y precios

Qué hace la IA. Propone pedidos a proveedores según ventas, estacionalidad y campañas; detecta referencias sin rotación; sugiere precios en función de la competencia y del stock.

El riesgo. Bajo en el Reglamento de IA: la previsión de demanda y el pricing por producto son riesgo mínimo. El punto delicado es el precio personalizado: si la herramienta ajusta el precio según quién mira (historial, dispositivo, ubicación), el artículo 97 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios obliga a informar de que el precio se ha personalizado sobre la base de una decisión automatizada. Y un algoritmo de precios que se alinea con el de los competidores es un asunto de derecho de la competencia, no de IA.

Qué debe hacer. Mantener el pricing por producto, no por persona, salvo que quiera asumir la información precontractual correspondiente. Inscribir los módulos del ERP y del TPV en el registro de sistemas de IA. Aproveche la renovación del software de facturación que exige Verifactu (Real Decreto-ley 15/2025, sociedades desde el 1 de enero de 2027) para preguntar por escrito al proveedor qué IA incluye y adónde envía los datos.

Caso 4: cámaras con analítica en tienda

Qué hace la IA. Cuenta personas, mide el tiempo en cada sección, genera mapas de calor, detecta gestos asociados al hurto, y en algunos modelos reconoce caras para avisar de «clientes conflictivos» o para identificar a la plantilla.

El riesgo. Es el caso más delicado del comercio. Contar personas sin identificarlas es riesgo mínimo. Reconocer caras es tratar datos biométricos del artículo 9 del RGPD: la AEPD lo ha sancionado en tiendas y exige una base jurídica que en la práctica un comercio no tiene. Clasificar a los clientes por rasgos (edad, sexo, origen) roza la categorización biométrica prohibida por el artículo 5 del Reglamento de IA. Y si la misma cámara mide el rendimiento de cada dependiente o su «actitud», está ante el reconocimiento de emociones en el trabajo, prohibido, y ante un control laboral regulado por el artículo 20.3 del Estatuto de los Trabajadores y el artículo 89 de la LOPDGDD.

Qué debe hacer. Carteles informativos del artículo 22 de la LOPDGDD, conservación máxima de un mes, finalidad escrita (seguridad y conteo, no identificación), función de reconocimiento facial desactivada, evaluación de impacto antes de activar cualquier análisis de comportamiento, e información previa a la plantilla y a su representación legal si las cámaras alcanzan los puestos de trabajo. Nunca en probadores ni aseos.

Caso 5: fidelización, recomendaciones y marketing

Qué hace la IA. Segmenta la base de clientes, recomienda productos, decide a quién enviar cada campaña, predice quién va a dejar de comprar y redacta el correo.

El riesgo. Perfilado. Todo ello es un tratamiento de datos personales con fines de marketing: base jurídica, información en la política de privacidad, derecho de oposición y, para los correos y mensajes, el consentimiento o la relación contractual previa que exige el artículo 21 de la LSSI. Si la segmentación deduce datos sensibles (salud a partir de compras de parafarmacia, por ejemplo), el riesgo sube de golpe. En el Reglamento de IA, en cambio, las recomendaciones de producto son riesgo mínimo.

Qué debe hacer. Describir el perfilado en la política de privacidad y en el registro de actividades de tratamiento, excluir categorías sensibles de la segmentación, ofrecer baja en un clic y verificar que el CRM es encargado del tratamiento con contrato y no entrena con sus datos.

Caso 6: cuadrantes, turnos y selección de dependientes

Qué hace la IA. Genera los cuadrantes según la afluencia prevista, asigna refuerzos en campaña, puntúa a los dependientes por ventas y criba candidaturas para la temporada.

El riesgo. Asignar tareas o evaluar a la plantilla con IA es alto riesgo del Anexo III desde el 2 de diciembre de 2027, y hoy ya rigen el artículo 22 del RGPD y el artículo 64.4 d) ET: si hay comité de empresa o delegados de personal, deben conocer los parámetros del sistema antes de desplegarlo. Un cuadrante generado por IA no exime del registro de jornada del artículo 34.9 ET ni del respeto al convenio de comercio aplicable.

Qué debe hacer. Generar cuadrantes es aceptable si una persona los valida y se informa a la representación legal. Puntuar o cribar exige inscribir la herramienta como alto riesgo, documentar en qué momento decide una persona y pedir al proveedor su hoja de ruta de conformidad. Lo desarrollamos en IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV.

Caso práctico: un comercio de 28 personas en Valencia

Ejemplo ilustrativo, construido a partir de situaciones habituales en nuestras auditorías. Comercio de electrodomésticos y electrónica, tres tiendas y venta online, 28 personas, delegados de personal, sin delegado de protección de datos.

Lo que encontramos. Marketing usaba ChatGPT con una cuenta gratuita y había pegado la tarifa de compra de un proveedor para «calcular márgenes». El chatbot de la web se presentaba con nombre de persona y había prometido una devolución a 60 días que la política de la empresa no contemplaba. El grabador de cámaras nuevo traía activado el reconocimiento facial «para detectar reincidentes», sin evaluación de impacto ni carteles actualizados. El planificador de turnos puntuaba a los dependientes por ticket medio y nadie lo había comunicado a los delegados.

Lo que corrigió, en este orden:

1. Registro de sistemas de IA: seis herramientas inscritas (asistente generativo, generador de imágenes, chatbot, módulos de previsión y precios del ERP, analítica de cámaras y planificador de turnos), con nivel de riesgo, datos, proveedor y responsable.
2. Cuenta de empresa con contrato para el asistente generativo, sin entrenamiento con los datos; cuentas personales y gratuitas prohibidas para trabajo.
3. Chatbot: aviso de IA en el primer mensaje, base de conocimiento limitada a la política comercial vigente, contrato de encargado y conservación de 90 días.
4. Cámaras: reconocimiento facial desactivado, carteles del artículo 22 de la LOPDGDD actualizados, conservación a un mes, evaluación de impacto pendiente antes de activar cualquier análisis de comportamiento, e información escrita a plantilla y delegados.
5. Turnos: puntuación individual desactivada; cuadrante generado por IA validado cada semana por la encargada; comunicación a los delegados conforme al artículo 64.4 d) ET.
6. Semáforo de datos para oficina y tienda (más abajo) y revisión humana obligatoria de fichas y campañas.
7. Formación de 45 minutos para oficina, marketing y encargados, con test y certificado; sesión corta de 20 minutos en tienda sobre qué no se consulta a un asistente y cómo se gestiona una pregunta del cliente sobre las cámaras.

Tiempo total: tres semanas. Coste principal: horas internas y el cambio de plan del asistente. Resultado colateral: la cadena pudo responder al cuestionario de un gran proveedor que le pedía una política de uso de IA para seguir en su programa de distribuidores.

El semáforo de datos de un comercio

El semáforo genérico de una política de uso de IA se adapta así a la tienda:

• Verde (herramienta validada o no validada): hojas técnicas públicas, textos de la web, redacción genérica de campañas y publicaciones, preguntas frecuentes sin datos.
• Ámbar (solo herramienta validada con contrato): tarifas de compra y márgenes, ventas por tienda y referencia, listados de stock, condiciones negociadas con proveedores.
• Rojo (ningún asistente generativo; solo el software de gestión cubierto por contrato): datos de clientes (nombre, pedido, dirección, teléfono, incidencias), imágenes de cámaras, DNI y datos de la plantilla, cuadrantes nominativos, datos de la tarjeta de fidelización, cualquier dato de salud deducible de una compra.

Una regla sencilla para la tienda: si en la pantalla sale un nombre de cliente o una cara, no se envía a una IA externa.

Checklist: 10 puntos antes de que su comercio use IA

1. ¿Tiene un registro de sistemas de IA que incluya los módulos activados en el TPV, el ERP, la plataforma de ecommerce y el grabador de cámaras?
2. ¿Cada herramienta que recibe tarifas, ventas o datos de clientes tiene contrato, exclusión de entrenamiento y ubicación de datos conocida?
3. ¿Están prohibidas por escrito las cuentas personales y gratuitas para trabajo?
4. ¿El chatbot avisa de que es una IA y solo responde con su política comercial real?
5. ¿Las imágenes generadas que publica van marcadas y, cuando procede, con mención?
6. ¿El reconocimiento facial está desactivado y los carteles de videovigilancia son los del artículo 22 de la LOPDGDD?
7. ¿Ninguna herramienta clasifica a los clientes por rasgos ni mide emociones o «actitud» de la plantilla?
8. ¿Si personaliza precios, informa de ello antes de la compra?
9. ¿Las herramientas que asignan turnos, puntúan o criban personas están identificadas como alto riesgo, con una persona que decide y con información a los delegados?
10. ¿Oficina, marketing y encargados han recibido una formación fechada, con certificado individual?

Si responde «no» a tres o más, pare antes de seguir. La checklist gratuita AI Act para pymes le sitúa en tres minutos. El Kit de Cumplimiento AI Act para pymes incluye el registro de sistemas de IA, la política corporativa, las normas de uso con el semáforo de datos, el módulo de formación con certificado y la guía de implantación: los documentos que el comercio del caso práctico tuvo que construir. Si prefiere que alguien revise sus herramientas, sus cámaras y sus contratos con usted, la Auditoría Estratégica de IA lo hace en una sesión de dos horas con informe escrito. Y tiene la versión resumida del sector en Reglamento de IA para distribución y comercio.

Preguntas frecuentes

¿Puedo usar reconocimiento facial para detectar a quien ya ha robado en mi tienda?

En la práctica, no. Es un tratamiento de datos biométricos del artículo 9 del RGPD que exige una base jurídica reforzada, y la AEPD ya ha sancionado a un gran comercio por hacerlo. En el Reglamento de IA, la identificación biométrica remota es alto riesgo del Anexo III. Una lista de incidencias gestionada por personas y la denuncia ante la policía siguen siendo la vía.

¿El chatbot de mi tienda online me obliga a algo más que a decir que es una IA?

Sí. Además del aviso del artículo 50, el chatbot trata datos personales (contrato de encargado, información en la política de privacidad, conservación limitada) y lo que afirma le compromete frente al consumidor. Limite su base de conocimiento a su política comercial real y revísela cuando cambie.

¿Tengo que formar a los dependientes que no usan ordenador?

El artículo 4 alcanza a quien utiliza sistemas de IA. Si el personal de tienda solo cobra en el TPV, la formación puede centrarse en oficina, marketing y encargados. Si consulta al chatbot interno, usa un asistente en el móvil o maneja las cámaras, forma parte del grupo. Documente ese criterio en su política.

Para seguir leyendo

• Reglamento de IA: qué se aplica a su pyme en 2026
• Política de uso de IA en la empresa: plantilla y contenido
• Artículo 4 del AI Act: formación en IA obligatoria en pymes
• Artículo 50 del AI Act: transparencia de contenidos IA, qué debe hacer su pyme desde el 2 de agosto de 2026
• IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV
• IA en la construcción: 6 usos reales en una pyme de obra y qué exige el Reglamento de IA, el RGPD y el Estatuto de los Trabajadores
• IA en asesorías y gestorías: 6 usos reales y qué exige el Reglamento de IA, el RGPD y el secreto profesional
• RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD
• Registro de sistemas de IA en la pyme: plantilla, columnas y método para inventariar sus usos (2026)

Este artículo se ofrece con carácter general, a fecha de 29 de octubre de 2026, y no constituye asesoramiento jurídico. El caso práctico es ilustrativo. El proyecto de ley orgánica española se menciona como caducado tras la disolución de las Cortes; cuando una futura ley entre en vigor, revise esta información. Adapte el contenido a su situación, a su convenio colectivo de comercio y a sus contratos con proveedores y plataformas y, si es necesario, hágalo validar por un profesional.