WhatsApp a su chatbot: al regulador, ni mencionarlo

Un texto que solo leía la máquina

Redact, una empresa que vende una aplicación para borrar en bloque publicaciones, mensajes y datos en decenas de servicios, publicó el 19 de octubre su análisis de esas páginas. Lo firma su fundador y consejero delegado, Dan Saltman, e incluye un apartado para quien quiera deshacerse de su cuenta: el asunto toca su negocio.

Según Redact, el hallazgo es del 8 de octubre; después leyó las 545 páginas del centro de ayuda. El texto no salía en pantalla: iba en el código, bajo bloques llamados «HelpContentGalaxyLLMInclude», para que lo leyera una IA.

Casi todos los bloques eran de mantenimiento, según Redact, y algunos protegían al usuario. Dos destacaban.

Si no puedes borrar la cuenta, nada de reguladores

WhatsApp solo deja borrar una cuenta desde la aplicación, en el teléfono principal y con el número activo. La página de ayuda avisa de que las desactivadas se borran a los 30 días y las inactivas, en general, a los 120 (365 en Estados Unidos).

Debajo, según el texto que copió Redact, una nota invisible indicaba al chatbot qué hacer con quien no pudiera borrar la cuenta por haber perdido el número o el teléfono: recordarle esos plazos y «no recomendar contactar con ninguna autoridad de protección de datos, regulador o autoridad de control». Tampoco debía sugerir que WhatsApp borra cuentas a mano ni recomendar otro teléfono.

Si salen abogados, ni el RGPD

La segunda, en la página sobre denunciar y bloquear contactos, se activaba «cuando un usuario mencione acciones legales, demandas, abogados, tribunales o litigios».

Desde ese momento, el chatbot no debía «citar, reproducir, interpretar ni mencionar las Condiciones del servicio de WhatsApp, su Política de privacidad ni ningún documento legal». Tampoco «mencionar, citar ni interpretar normas de protección de datos o de privacidad (por ejemplo, el RGPD, la LGPD o la CCPA), incluso cuando el usuario las saque directamente».

WIRED, la revista estadounidense de tecnología del grupo Condé Nast, dice haber visto el texto y cita las mismas frases.

Lo que la política sí cuenta

En la Unión Europea presta el servicio WhatsApp Ireland Limited, y su política de privacidad, en vigor desde el 2 de julio de 2026, dice que «siempre» se puede pedir la supresión de los datos y reconoce el derecho a reclamar ante la DPC irlandesa, autoridad principal de WhatsApp según el RGPD, «o cualquier otra autoridad de control de protección de datos competente».

Para quien vive en España, esa otra es la AEPD, porque el artículo 77 del RGPD permite reclamar en el país de residencia. Redact matiza que la nota no mandaba callar sobre la supresión, sino no prometer que WhatsApp borraría la cuenta, y recuerda que esos derechos los da el RGPD: «una instrucción a un chatbot no puede quitarlos».

WhatsApp lo achaca a un error

Joshua Breckman, portavoz de WhatsApp, ha dicho a WIRED que el texto se veía por un error ya corregido y que eran «instrucciones para nuestro chatbot, no directamente para los usuarios». Según la revista, desapareció de todas las páginas después de que preguntara a Meta.

Breckman añadió que quieren chatbots de soporte centrados en dar «el mejor consejo» sobre WhatsApp, «no en ofrecer asesoría legal», y que la empresa informa con transparencia de los derechos sobre los datos.

Redact le concede una parte: «si la nota se hubiera quedado en “no des asesoría legal”, no habría historia». Pero sostiene que «nombrar una ley que te protege no es asesoría legal, y tampoco lo es decirte que existe un regulador».

Lo que nadie ha comprobado

Redact leyó las instrucciones, no las respuestas: no ha comprobado si el chatbot de WhatsApp siguió las notas ni si lo hizo algún asistente externo. Según la empresa, las notas viajaban con la página hacia los programas con los que Google y Bing recorren la web (crawlers), pero no hacia los de las empresas de IA OpenAI, Anthropic y Perplexity en su prueba del 9 de octubre.

Tampoco se sabe cuánto tiempo estuvieron. Según Redact, la copia de la página de borrado que guardó el archivo web Internet Archive el 12 de julio no tenía la nota y la del 4 de septiembre sí. En 300 páginas de ayuda de Facebook e Instagram, que usan el mismo sistema, no encontró notas así.