Has hecho tu app con IA en una tarde, la has lanzado y todavía no ha vendido nada. Aun así, puede acumular más de cien mil euros en multas. Las sanciones por privacidad y por comunicaciones comerciales no miran lo que facturas: miran lo que hace tu app con los datos de la gente.
Estos son los cuatro fallos que más se repiten en las apps hechas con IA, qué dice la ley española de cada uno y, al final, un prompt para que Claude los arregle.
Nota
Esto no es asesoría legal. Es una guía práctica para detectar y corregir los fallos más comunes. Si tu app trata datos sensibles o de menores, revisa tu caso con un profesional.
Los 4 fallos
Registro sin edad
Menores de 14 años en España: necesitas el permiso de sus padres.
Google Fonts desde Google
Envían la IP de cada visitante. Un juzgado alemán condenó a pagar 100 € a uno solo.
Cookies sin permiso
Infracción leve de la LSSI: hasta 30.000 €.
Email masivo sin consentimiento
Infracción grave de la LSSI: de 30.001 a 150.000 €.
1. Tu registro no pregunta la edad
Si tu app trata datos personales basándose en el consentimiento del usuario (lo normal en un registro), la edad importa. El artículo 7 de la LOPDGDD dice que en España solo los mayores de 14 años pueden dar ese consentimiento por sí mismos. Por debajo de esa edad, hace falta la autorización de quien tenga la patria potestad o la tutela.
Si tu formulario no pregunta nada, no tienes forma de saber si estás tratando datos de un menor sin permiso de sus padres.
Qué hacer: pide la fecha de nacimiento en el registro. Si sale menor de 14, bloquea el alta o pide el consentimiento verificable de un padre o tutor, y guarda constancia de ello.
2. Tus fuentes cargan desde los servidores de Google
Muchas webs (y casi todas las que genera una IA) cargan la tipografía con un enlace a fonts.googleapis.com. Cada vez que alguien abre tu web, su navegador se conecta a Google y le envía su dirección IP, sin haber dado permiso.
En enero de 2022, el Tribunal Regional de Múnich (LG München I, 20-01-2022, 3 O 17493/20) condenó al dueño de una web a pagar 100 € a un solo visitante por enviar su IP a Google de esta forma, y le prohibió seguir haciéndolo. La sentencia es alemana, pero se basa en el RGPD, que es el mismo en toda la UE. Después llegaron oleadas de reclamaciones copiando el caso.
Qué hacer: descarga las fuentes (Google las permite usar libremente) y sírvelas desde tu propio servidor. Si usas Next.js, next/font/google ya lo hace por ti: descarga las fuentes al compilar y no hace peticiones a Google desde el navegador. Haz lo mismo con cualquier otro recurso de terceros que reciba la IP del visitante (iconos, scripts, mapas o vídeos incrustados) o cárgalo solo después del consentimiento.
3. Tus cookies se activan sin pedir permiso
El artículo 22.2 de la LSSI exige el consentimiento del usuario, después de informarle, para instalar cookies que no sean estrictamente necesarias: analítica, publicidad, píxeles de Meta o TikTok… No cumplirlo es una infracción leve (art. 38.4 g), con multa de hasta 30.000 € (art. 39).
El fallo típico: Google Analytics o el píxel de Meta cargan nada más abrir la web y, como mucho, aparece un aviso de «usamos cookies» que no bloquea nada.
Qué hacer: un banner de consentimiento real. Aceptar y rechazar con el mismo peso visual, nada no necesario hasta que el usuario acepte, y la opción de cambiar de opinión después. La guía de cookies de la AEPD explica qué se considera consentimiento válido.
4. El email de «¡ya hemos lanzado!» a toda tu lista
Tienes una lista de gente que se registró, que te dejó su email en un formulario o que importaste de otra herramienta, y le mandas a todos el email de lanzamiento. Si no te dieron su consentimiento expreso para recibir comunicaciones comerciales, el artículo 21 de la LSSI lo prohíbe.
Y si el envío es masivo, la LSSI lo considera una infracción grave (art. 38.3 b): de 30.001 a 150.000 €. Si no es masivo, es leve: hasta 30.000 €.
Qué hacer: casilla de consentimiento sin marcar en el registro, separada de la aceptación de las condiciones. Guarda cuándo y cómo dio cada persona su permiso, y pon un enlace de baja que funcione en todos los emails.
Atención
Ninguna de estas multas depende de lo que factures. Además, la LSSI no sustituye al RGPD: si tratas datos personales sin base legal, las sanciones del RGPD van aparte.
El prompt para que Claude lo arregle todo
Pégalo en Claude Code dentro de la carpeta de tu proyecto (o en Claude con tu código adjunto). Revisa los cuatro puntos, cambia el código y te dice qué queda pendiente:
Revisa esta app como si fueras a la vez un abogado especialista en protección de datos en España y un desarrollador senior. Busca en el código y ARREGLA estos puntos, explicándome cada cambio:
1. REGISTRO Y EDAD: pide la fecha de nacimiento en el alta. Si el usuario tiene menos de 14 años, bloquea el registro o exige el consentimiento verificable de un padre o tutor (LOPDGDD, art. 7) y guarda constancia.
2. RECURSOS DE TERCEROS: localiza todo lo que se carga desde servidores ajenos y recibe la IP del visitante (Google Fonts, CDNs de iconos o scripts, mapas, vídeos incrustados). Descarga las fuentes y sírvelas desde nuestro propio dominio (en Next.js, usa next/font). Lo que no se pueda alojar, cárgalo solo después del consentimiento.
3. COOKIES: añade un banner de consentimiento real según la guía de la AEPD: aceptar y rechazar con el mismo peso, configuración por categorías y opción de cambiar la elección más tarde. No cargues analítica, píxeles de publicidad ni cookies no necesarias hasta que el usuario acepte.
4. EMAILS COMERCIALES: añade una casilla de consentimiento SIN marcar y separada de las condiciones en el registro y en los formularios. Guarda la fecha y el origen de cada consentimiento. Pon un enlace de baja que funcione en todos los emails y no envíes comunicaciones comerciales a quien no haya consentido (LSSI, art. 21).
5. TEXTOS LEGALES: comprueba que hay aviso legal, política de privacidad y política de cookies enlazados en el pie de página, y que describen lo que la app hace de verdad.
Al terminar, dame una tabla con lo que has cambiado (archivo y motivo) y una lista de lo que sigue pendiente o que debería revisar un abogado.Consejo
Si usas Claude Code, pídele antes que haga un plan («no cambies nada todavía, dime qué vas a tocar») y revisa la lista. Luego dale el visto bueno para que haga los cambios.
Checklist antes de lanzar
- El registro pide la edad y gestiona a los menores de 14.
- Ninguna fuente, icono o script carga desde servidores de terceros antes del consentimiento.
- Banner de cookies que bloquea analítica y píxeles hasta que el usuario acepta.
- Rechazar es tan fácil como aceptar.
- Casilla de consentimiento para emails, sin marcar y separada de las condiciones.
- Enlace de baja en todos los emails comerciales.
- Aviso legal, privacidad y cookies enlazados en el pie.
Fuentes: LOPDGDD y LSSI en el BOE, guía de cookies de la AEPD y sentencia del LG München I de 20-01-2022 (3 O 17493/20).