Un hotel o un restaurante que incorpora IA suele hacerlo en tres sitios: un asistente que contesta y reserva, una herramienta que ajusta los precios y, cada vez más, una cámara que reconoce caras. Para el AI Act son tres casos distintos, y ninguno es de alto riesgo por ser de hostelería. Esta pieza los clasifica uno por uno.
La clasificación, caso por caso
| Caso | Dónde cae | Quién tiene la obligación | Desde cuándo |
|---|---|---|---|
| Chatbot que atiende y reserva | Art. 50(1): transparencia | El proveedor del sistema | 2 de agosto de 2026 |
| Precio dinámico | Riesgo mínimo, salvo que entre en una prohibición del Art. 5 | — | El Art. 5, desde el 2 de febrero de 2025 |
| Verificar la identidad del huésped con su rostro | Fuera del anexo III, punto 1, letra a); dentro del Art. 9 del RGPD | El responsable del tratamiento (RGPD) | El RGPD, ya |
| Identificar a huéspedes o clientes a distancia | Anexo III, punto 1, letra a): alto riesgo | El responsable del despliegue (Art. 26) y el responsable del tratamiento (RGPD) | Art. 26: ver más abajo |
| Inferir emociones de la plantilla | Prohibido, Art. 5(1) f) | Todo el que lo use en el lugar de trabajo | 2 de febrero de 2025 |
El chatbot
El Art. 50(1) dice que «los proveedores garantizarán que los sistemas de IA destinados a interactuar directamente con personas físicas se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA», salvo que resulte evidente para una persona razonablemente informada.
La obligación es de quien diseña el sistema, no del hotel que lo instala en su web. Lo que sí le toca al hotel es comprobar, antes de contratarlo, que el asistente avisa de que es una IA. Es una comprobación interna de diligencia, no una obligación legal suya. El detalle está en quién debe avisar de que tu chatbot es una IA.
El precio dinámico
Ningún punto del anexo III recoge fijar el precio de una habitación, de un menú o de una mesa. El único precio que el anexo III califica de alto riesgo es el de los seguros de vida y de salud (punto 5, letra c), que no es el caso. Un sistema de precios dinámicos en hostelería es, de entrada, de riesgo mínimo.
La línea que lo cambiaría no es el precio dinámico en sí: es el Art. 5. Su letra a) prohíbe las técnicas «deliberadamente manipuladoras o engañosas» que alteren de manera sustancial el comportamiento de una persona y le causen, o puedan causarle, perjuicios considerables. Su letra b) prohíbe aprovechar las vulnerabilidades derivadas de la edad, la discapacidad o una situación social o económica específica con ese mismo efecto. Un precio que sube con la demanda no es eso. Un precio diseñado para explotar a quien no puede comparar, sí podría serlo.
Si el precio se calcula con datos de clientes identificados, además, entra el RGPD.
El reconocimiento facial
Aquí la palabra que decide es una distinción que el propio anexo III escribe.
Verificar —confirmar que el huésped que llega es quien hizo la reserva— está fuera: el anexo III, punto 1, letra a), excluye de la identificación biométrica remota los sistemas «destinados a ser utilizados con fines de verificación biométrica cuya única finalidad sea confirmar que una persona física concreta es la persona que afirma ser».
Identificar —reconocer en el vestíbulo a un cliente habitual o a alguien vetado, comparando su cara con una base de datos— sí es un sistema de identificación biométrica remota del anexo III, punto 1, letra a): alto riesgo. Quien lo despliega asume el Art. 26. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
En los dos casos, antes del AI Act está el RGPD. El rostro tratado para identificar a una persona es un dato biométrico, y el Art. 9 del RGPD prohíbe su tratamiento salvo que concurra una de sus excepciones. La AEPD ya tramitó un procedimiento sancionador por reconocimiento facial en establecimientos comerciales, y la parte más cara fue la falta de base jurídica. La diferencia entre verificar e identificar está desarrollada en esta pieza sobre biometría.
Y una línea roja que no depende del cliente: inferir las emociones de la plantilla —por ejemplo, analizar la cara del personal de sala para medir su actitud— está prohibido por el Art. 5(1) f) en los lugares de trabajo, salvo por motivos médicos o de seguridad.
Lo que esta pieza no trata
La normativa turística y la de protección de los consumidores, que regulan aspectos del precio y de la información al cliente por su cuenta. Y el régimen sancionador.
Contenido con arreglo al artículo 5, apartado 1, al artículo 26, al artículo 50, apartado 1, y al anexo III, puntos 1 y 5, del Reglamento (UE) 2024/1689, y al artículo 9 del Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.